内容摘要：Burp Suite这玩意儿，说白了就是给HTTP请求做“手术”的一把刀。你浏览器发出的每个请求，它都能拦下来，让你看清楚里面到底藏着什么。我见过太多人第一次打开它时的表情——满屏的英文菜单，一堆看不

Burp Suite这玩意儿，抓包说白了就是工具给HTTP请求做“手术”的一把刀。你浏览器发出的抓包每个请求，它都能拦下来，工具让你看清楚里面到底藏着什么。抓包我见过太多人第一次打开它时的工具表情——满屏的英文菜单，一堆看不懂的抓包标签页，直接劝退。工具但你要是抓包真花点时间摸透它，会发现这工具比你的工具同事靠谱多了。

我最常用的抓包是它的Proxy功能。本地开个代理端口，工具浏览器流量全从这儿过。抓包你登录某个网站时，工具密码是抓包怎么传的？是明文还是加密？点一下“Intercept is on”，请求就卡在那儿不动了。你可以随意改里面的参数——把价格改成0.01，把VIP字段从false改成true，把用户ID换成别人的。这些操作在真实环境里就是漏洞，而Burp Suite就是那个让你提前看见漏洞的放大镜。

但光会拦截还不够。你拿到的请求是一堆Raw格式的文本，看着头大。这时候就得靠Repeater了。它像是一个实验台，你复制一个请求过去，改一行参数，点Send，服务器返回什么，立刻显示在右边。我曾经在测试一个电商平台时，发现它的优惠券接口没校验用户身份。用Repeater把请求里的用户ID换成另一个人的，居然成功调用了别人的优惠券。这种细节，光靠浏览器开发者工具是发现不了的。

再说说Scanner，这功能经常被人忽略，但其实很实用。它自动帮你扫常见的SQL注入、XSS这类问题。不过别太依赖它——扫描器报“安全”不代表真安全，报“危险”也不一定真能利用。我见过有人拿扫描结果直接写报告，结果被客户怼回来，因为那些“高危漏洞”只是参数校验不严，实际攻击路径根本走不通。工具是死的，你得学会判断。

还有个功能叫Intruder，专门用来做暴力破解或者参数枚举。比如你想测试某个后台登录接口有没有弱口令，把用户名和密码字段标记成变量，字典一挂，线程一开，跑就完了。但用的时候小心点，别把人家服务器搞崩了，也别在没授权的情况下乱试——这玩意儿动静大，容易把自己送进去。

实际工作中，我最烦的就是那些打开Burp Suite却只会点Next的人。工具给你提供了无数种视角，但核心还是你得懂HTTP协议，懂Cookie和Session机制，懂编码和加密。Burp Suite只是把这些概念变成了可视化操作。你拿它抓一个微信小程序的包，会发现数据全加密了，这时候就得配合其他工具去分析算法。工具永远在迭代，思路才是硬通货。

用久了你会发现，Burp Suite更像是一个习惯。每次测试新目标，我第一件事就是挂上它的代理，清空浏览器缓存，然后像侦探一样翻看每一个请求。它不生产漏洞，只是漏洞的搬运工——前提是你得知道自己在找什么。