2020年11月22日小于 1 分钟
01. Burp Suite 安装和环境配置
Burp Suite是一个集成化的渗透测试工具，它集合了多种渗透测试组件，使我们自动化地或手工地能更好的完成对web应用的渗透测试和攻击。在渗透测试中，我们使用Burp Suite将使得测试工作变得更加容易和方便，即使在不需要娴熟的技巧的情况下，只有我们熟悉Burp Suite的使用，也使得渗透测试工作变得轻松和高效。
2026/1/23大约 4 分钟
Burp Suite 是 PortSwigger 公司出品的集成化 Web 应用安全测试平台，名字来源于“抓包”时发出的“burp”声。
Burp Suite 将代理、扫描、爆破、重放、解码等十几种工具整合在同一界面，形成一条从流量捕获到漏洞验证的完整工作链，被白帽子视为“Web 渗透 Swiss Army Knife”。
与同领域工具相比：
- OWASP ZAP 同样开源免费，社区活跃，但 Scanner 深度与 Intruder 并发性能略逊，UI 响应在大项目时稍显迟缓；
- Netsparker 以“Proof-Based Scanning”著称，报告可直接提交工单，然而价格高昂且仅支持 Windows；
- Nessus 侧重主机与协议级漏洞，对 Web 业务逻辑缺陷覆盖不足。
2026/1/23大约 6 分钟
第二章 Burp Suite代理和浏览器设置
Burp Suite代理工具是以拦截代理的方式，拦截所有通过代理的网络流量，如客户端的请求数据、服务器端的返回信息等。Burp Suite主要拦截http和https协议的流量，通过拦截，Burp Suite以中间人的方式，可以对客户端请求数据、服务端返回做各种处理，以达到安全评估测试的目的。
在日常工作中，我们最常用的web客户端就是的web浏览器，我们可以通过代理的设置，做到对web浏览器的流量拦截，并对经过Burp Suite代理的流量数据进行处理。
下面我们就分别看看IE、Firefox、Google Chrome下是如何配置Burp Suite代理的。
2026/1/23大约 3 分钟
第三章 如何使用Burp Suite代理
Burp Proxy 是Burp Suite以用户驱动测试流程功能的核心，通过代理模式，可以让我们拦截、查看、修改所有在客户端和服务端之间传输的数据。
本章主要讲述以下内容：
- Burp Proxy基本使用
- 数据拦截与控制
- 可选项配置Options
- 历史记录History
Burp Proxy基本使用
通过上一章的学习，我们对Burp Suite代理模式和浏览器代理设置有了基本的了解。Burp Proxy的使用是一个循序渐进的过程，刚开始使用时，可能并不能很快就获取你所期望的结果，慢慢地当你熟悉了它的功能和使用方法，你就可以用它很好地对一个产品系统做安全能力评估。 一般使用Burp Proxy时，大体涉及环节如下：
2026/1/23大约 15 分钟