Burpsuite这玩意儿，说白了就是个中间人。你浏览器发的请求，它先截下来，你改完了再放出去。就这么简单，但用好了能撬开半个互联网。

我头一回用的时候，差点被它的界面吓退。满屏的英文标签，什么Proxy、Repeater、Intruder，看着像飞机驾驶舱。实际上你只需要盯住两个地方：Proxy和Repeater。其他功能，等你真遇到瓶颈了再学不迟。

打开Burp，先看左上角那个Proxy标签。里面有个Intercept开关，默认是关的。你把它打开，然后去浏览器里随便点个链接——页面卡住了，别慌，这就是Burp把你的请求拦下来了。左边是原始请求数据，右边是返回内容，你可以在中间随意修改参数。改完了点Forward，请求才继续往前走。

这个拦截功能，干渗透测试的人天天用。比如你想试试登录接口有没有SQL注入，直接在用户名那里填个' or 1=1 --，然后点Forward，看服务器回什么。回了个登录成功，那这站就漏成筛子了。

但拦截有个毛病，太慢了。你点一个请求拦一次，烦得很。所以真正干活的时候，我一般把Intercept关掉，让流量直接过，然后去HTTP History里翻记录。这地方像个黑匣子，你浏览过的每个页面、每个Ajax请求、每个图片加载，全按时间顺序记着。想找某个接口？按Ctrl+F搜关键词，比在浏览器开发者工具里翻Network省事多了。

找到有意思的请求，右键Send to Repeater。Repeater才是Burp的灵魂所在。左边你可以随便改请求头、改参数、改Cookie，右边立刻显示服务器的新响应。改一下，发一下，看反应。这个过程特别像在实验室里做化学实验，只不过你滴进去的是payload，冒泡的是漏洞。

我记得有次测一个文件上传功能，前端限制了只能传jpg。我绕过前端，直接用Repeater把Content-Type改成image/jpeg，但文件内容是一段PHP代码。服务器居然没检查文件头，直接存下来了。后来我访问那个上传文件的路径，代码就执行了。整个过程不到十分钟，全靠Repeater一点点试出来的。

Intruder这东西，听着高级，其实就是暴力破解和参数枚举用的。你想测一个登录框有没有弱口令，选中密码字段，点Add，然后去Payloads标签里导入一个弱密码字典，点Start attack。它会自动用每个密码去试，然后按状态码、响应长度排序。状态码200且响应长度特别长的那个，八成就是对的。

不过Intruder免费版速度慢得跟蜗牛爬似的，因为它是单线程的。要是字典太大，建议换个工具或者用Turbo Intruder插件。别在Intruder上死磕，浪费时间。

还有个功能叫Decoder，干的是编码解码的活。有时候你看到请求参数里一串Base64，复制进去点Decode，立马看出明文内容。改完了再Encode回去，放Repeater里发出去。这套操作熟练了，对付那些简单混淆的接口参数基本不费劲。

最后说一句，Burp的社区版和专业版差距主要在速度和自动化上。新手用社区版练手完全够用，别急着找破解版。等你真的靠它挖到漏洞了，再考虑要不要花钱买专业版。

工具这东西，上手不难，难的是你脑子里有没有攻击的思路。Burp只是把你的手伸长了一点，真正决定你能摸到什么东西的，还是你的想象力。