burp suit篡改数据

Burp Suite里那个Proxy标签页，篡改是数据我干这行最常用的东西。拦截请求，篡改改数据，数据转发，篡改一套流程行云流水。数据但真正玩明白的篡改人，不会只盯着那个简单的数据Intercept开关。 拿个实际场景说。篡改上周测一个电商站，数据下单接口传了个价格字段，篡改`price=199.00`。数据我把它改成`price=0.01`，篡改服务器居然照单全收。数据这不是篡改漏洞，这是他们开发根本没做服务端校验。Burp在这儿只是个工具，真正的问题是设计缺陷。但没这工具，你连试的机会都没有。 改数据这事，分几个层次。最基础的是改参数值，像上面那个改价格。稍微进阶点的，是改请求头。有次碰到个接口，判断用户角色靠一个自定义头`X-Admin: false`，我改成`true`，直接进了后台管理页面。这活儿看着简单，但你要是不懂HTTP结构，不知道哪些头能影响业务逻辑，改一百次也白搭。 再往深了说，是改编码和序列化格式。JSON、XML、form-data，甚至Java的序列化对象，Burp都能让你在转发前随意揉捏。有回遇到个登录接口，密码字段是Base64编码的，我把它改成编码后的`admin`，绕过了前端限制，后端直接认了。这种小聪明，纸上谈兵没用，得真上手试。 关键点在于，Burp的Intercept不只是让你看数据，它给你一个时间窗口——请求发出前，响应返回前，你可以在这个间隙里思考、修改、试探。这种控制感是别的工具给不了的。像ZAP也干这活，但Burp的交互设计更顺手，尤其是那个Repeater标签，改完数据发一次，再改再发，比在拦截里反复开关高效多了。 但别迷信工具。Burp只是放大器，你脑子里的思路才是核心。见过好多人，装了Burp就以为自己是黑客，其实连HTTP状态码都分不清。改数据前你得先想清楚：这个参数后端怎么解析？有没有二次校验？改了之后会不会触发风控？这些判断力，得靠踩坑积累。 最后说个反直觉的事。有时候，故意不改数据反而更有用。拦截到一个请求，原样放行，但观察响应差异。或者只改一个字节，看报错信息泄露什么。Burp的Comparer功能就是干这个的，对比两次响应，差异点往往是突破口。这种细活，比无脑改价格有意思多了。 工具就在那儿，怎么用是你的事。别指望它替你思考，它只是让你能看到那些原本藏在网络层里的细节。改数据这活儿，改的不是数据，是逻辑。