Kali Linux里的Burp Suite，说白了就是给HTTP请求做“手术”的工具。我见过太多新手打开它，盯着代理设置发呆，然后关掉——这玩意儿确实不友好，但一旦摸清门道，它就是Web渗透的瑞士军刀。 先把Burp跑起来，默认监听127.0.0.1:8080。浏览器配好代理，访问任意网站，你会在Proxy的HTTP history里看到每个请求像流水一样刷过。这时候别急着点，右键那条请求，Send to Repeater。Repeater才是你真正工作的地方——左边改参，右边看响应，来回试，直到服务器露出破绽。 拿个真实案例说事。去年我测一个后台登录框，密码字段直接明文传输，这倒不稀奇。但把username参数改成`admin' OR '1'='1`，响应居然返回了200和一个管理员的session cookie。服务器把输入拼进SQL查询，连参数化都没做。这种洞在Burp里就是三分钟的事：抓包、改参、放行，完事。 再说说Intruder。它是个暴力破解器，但别只会拿它跑密码。位置标记（§）可以放在任何地方——把请求里的`id=1`改成`id=§1§`，加载一个数字字典，跑一轮，看响应长度差异。响应长度一样？那可能只是页面模板，得看状态码或者时间差。有次我测一个文件下载接口，参数是`file=report.pdf`，用Intruder换`file=../../etc/passwd`，响应直接吐出了root行。当时我手都在抖，这种路径穿越居然没人发现。 别忽视那个不起眼的Decoder。它不只做Base64解码。有回碰到一个参数，值是`%24%7B...%7D`这种双重编码的URL，Decoder一层层剥，剥到第三层发现是SpEL表达式注入。服务器把解码后的内容当表达式执行，直接可以调`Runtime.exec()`。要是没这工具，光靠肉眼猜编码层数，得疯。 最容易被忽略的是Comparer。它对比两个响应包，找差异。用在对登录逻辑测试时特别管用——一个正确密码和一个错误密码的响应，长度只差几个字节。但如果你把用户名改成`admin`，密码随便填，和完全不存在用户的响应对比，差几个字节就能判断用户是否存在。这招叫用户枚举，很多系统根本没防。 有人觉得Burp的插件越多越好，我倒觉得默认功能够用了。装了一堆扩展，反而拖慢启动速度，还容易干扰流量。真正的高手用Burp，往往就是Proxy、Repeater、Intruder三个模块来回切，偶尔用下Comparer和Decoder。工具是死的，思路才是活的。 最后提一句，Burp的证书得装到系统信任列表里，不然HTTPS流量全被拦截。很多新手卡在这步就放弃了，其实就一个导出证书、导入浏览器的事。别怕折腾，渗透测试本来就是不断试错的过程。工具给你的是放大镜，不是望远镜——能不能看到洞，还得看你自己的眼睛够不够毒。