burpsuite漏洞挖掘

Burp Suite 最狠的洞挖地方不在扫描器，而在 Repeater。洞挖很多人装完 Burp，洞挖点一下 Scanner，洞挖等报告出来，洞挖然后关掉。洞挖这跟买台显微镜只看载玻片上的洞挖灰没区别。真正挖到漏洞的洞挖人，时间大多花在 Repeater 和 Intruder 上，洞挖一遍遍改请求、洞挖看响应差异。洞挖

我见过一个案例。洞挖某电商站点的洞挖优惠券接口，正常请求是洞挖 POST /api/coupon/receive，body 里带 couponId。洞挖用 Scanner 扫，没报任何问题。手动拿到 Repeater 里，把 couponId 从 1001 改成 1002，返回“领取成功”。再改成 1003，还是成功。这就是典型的越权，Scanner 不一定会标红，因为它不理解业务逻辑。

Burp 的 Proxy 历史记录是另一个被低估的入口。很多人只把它当抓包工具，抓完就丢。实际上，把历史记录按 URL 排序，找那些带 id、uid、orderNo 参数的请求，逐个丢进 Repeater 改数字，十分钟能测出三四个越权。这比等 Scanner 跑半小时有效得多。

Intruder 的用法也有讲究。别一上来就 Sniper 跑字典。先看请求里哪些参数是服务端真正信任的。比如一个登录接口，username 和 password 之外还有个 role 字段，前端传的是 user。把它改成 admin，如果响应里返回了管理员 token，这就是水平越权加权限提升。Intruder 在这里的作用不是爆破，是批量验证参数篡改后的响应长度差异。

说到响应长度，这是 Burp 里最实用的一个指标。Repeater 里改一个参数，看 Response 的 Content-Length 有没有变。变了，说明服务端逻辑有分支。没变，可能这个参数根本没被处理。我习惯把几个可疑请求并排开在 Repeater 标签页里，改同一个位置，对比三个响应。差异往往藏在 Set-Cookie、JSON 里的某个字段、或者 HTTP 状态码从 200 变成 302。

Scanner 不是没用，但得会用。它的主动扫描适合找 SQL 注入、XSS 这类有固定模式的漏洞。配置的时候，把 Audit 阶段的 Optimize for 改成 Thorough，不然很多边界情况会漏。另外，Scanner 的 Report 里有个 Issue Detail，点开看它发的 payload 和收到的响应。有时候它报了个低危的 Input returned in response，你顺着这个点手动构造，能把它变成反射型 XSS。

还有个细节：Burp 的 Match and Replace 规则。在 Proxy 设置里加一条，把请求里的 User-Agent 统一替换成某个特定值，再配合 Logger 过滤，能快速筛选出移动端接口。很多 App 的 API 鉴权比 Web 端松，因为开发觉得 App 里请求不好改。实际上用 Burp 代理一下，改 deviceId 或者 sign 参数，照样能绕。

最后说个反直觉的：别太依赖 Burp 的 CSRF Token 检测。它经常误报。有些站点 Token 是绑定在 Cookie 里的，Burp 删掉 Token 重放，服务端照样通过。这时候得手动看 Token 的生成逻辑，是不是只做了 Base64 编码，或者跟 Session 无关。挖漏洞这件事，工具给的是线索，判断得自己来。