Burp Suite使用教程：别把它当扫描器，用教当它是用教个抓包放大镜

很多人装完Burp Suite，第一件事就是用教点那个红色的“Spider”或者“Scanner”，然后盯着进度条发呆。用教这完全用错了方向。用教Burp最值钱的用教功能，是用教那个看起来不起眼的Proxy标签页——它就是个放大镜，让你看清浏览器和服务器之间到底在传什么鬼东西。用教

打开Burp，用教默认监听在127.0.0.1:8080。用教浏览器设好代理，用教访问任何一个http页面，用教你会在Proxy→HTTP History里看到请求像流水一样刷出来。用教这时候别急着看响应，用教先点开一个请求，用教看Raw标签。你会看到GET /index.php HTTP/1.1，下面跟着一堆Host、User-Agent、Cookie。这就是浏览器替你干的活，平时你看不见，现在全暴露了。

我见过最典型的场景：一个登录框，前端JS做了密码加密，你以为提交的是明文密码，结果抓包一看，好家伙，参数叫encrypted_pwd，值是Base64编码的“123456”。这就是Burp的价值——它让你知道前端说的“安全”到底是不是在放屁。

改包，比你想的简单

在HTTP History里右键一个请求，选“Send to Repeater”。Repeater就是给你手工改包用的。把请求里的参数值改掉，点“Go”，右边响应区立刻刷新。比如你看到购物车接口传的是product_id=1&quantity=2，你改成quantity=200，如果服务器没校验，订单金额可能直接翻100倍。别笑，这类漏洞在真实站点上仍然常见，尤其是一些内部系统。

改包时有个小技巧：注意Content-Type。如果是application/x-www-form-urlencoded，直接改参数就行。如果是JSON格式，你改了值还要小心括号和引号别弄破。改完先看响应状态码，200不代表成功，很多接口返回200但里面带着“error”字段，你得学会看响应体。

Intruder不是暴力破解专用工具

很多人把Intruder当密码爆破器用，打上字典就开始狂跑。其实它更适合做参数遍历。比如一个下载接口download.php?file=report_2023.pdf，你把file参数设为字典，字典里放着report_2022.pdf、report_2021.pdf、../../etc/passwd，跑一圈就能发现是否存在路径穿越或者越权访问。

配置Intruder时，Positions选“Sniper”模式，只标记一个参数位置。Payloads里选“Simple list”，把你要试的值贴进去。跑完看响应长度，长度异常的往往就是有问题的。别直接看状态码，200的响应里可能藏着目录列表，404的响应里也可能带着“root:x:0:0”的内容。

你真正该练的是看响应

Burp的响应区默认是渲染后的HTML，但你要习惯点一下“Raw”看原始代码。有时候漏洞提示就藏在注释里，比如。这种傻事程序员真干得出来。还有的响应头会泄露服务器版本、框架类型，这些信息能帮你后续找对应的公开漏洞。

我建议你花一下午时间，拿自己搭的DVWA靶场练手。开Burp，把每个请求都抓下来看一遍，改一遍，再放出去。等你看惯了那些请求和响应的格式，再去测真实站点，心里才有底。

最后说句实话：Burp的扫描器功能不是不能用，但别依赖它。自动扫描出来的多半是低危信息泄露或者版本过旧，真正能拿权限的漏洞，往往需要你手动改几个参数才触发。工具只是放大镜，眼睛还是你自己的。