火狐浏览器配合Burp Suite抓包，火狐核心就一句话：把火狐的火狐流量骗到Burp的监听端口上。这事听起来简单，火狐但坑不少，火狐尤其新手容易卡在“代理设了却抓不到”的火狐尴尬上。

先装插件。火狐火狐商店里搜“FoxyProxy Standard”，火狐装上后点图标，火狐选“添加代理”。火狐名字随便填，火狐比如“Burp”，火狐IP填127.0.0.1，火狐端口填8080——这是火狐Burp默认监听地址。保存后，火狐再点图标选“Burp”，火狐代理就切过去了。这时候打开Burp，确认Proxy标签下的Intercept是开着的，浏览器随便访问个http网站，比如http://example.com，请求立刻被拦下来，界面里出现一堆乱码似的HTTP头。

但问题来了。你访问https网站，比如https://www.baidu.com，火狐会报错“您的连接并不安全”。别慌，这是证书问题。Burp默认生成了一个假CA证书，浏览器不认。解决办法：在Burp里导出证书——Proxy选项→Import/Export CA Certificate→导出为der格式。然后火狐设置里搜“证书”，点“查看证书”，进“证书颁发机构”标签，导入刚才导出的文件，勾选“信任由此证书颁发机构标识的网站”。重启浏览器，再访问https，就通了。

抓包时有个小细节容易忽略：火狐的“增强跟踪保护”默认开着，有些请求它直接拦截了，根本没发出去，你自然抓不到。要么在地址栏左侧盾牌图标里关掉保护，要么干脆在设置里把“自定义”级别里的所有跟踪防护关掉。不然你盯着Burp空空的列表，以为代理没配好，实际是火狐自己把流量吞了。

再说个实战场景。你抓一个登录接口，输入用户名密码，点登录，Burp里看到POST请求，里面参数是明文——比如“username=admin&password=123456”。这时候你可以右键这个请求，选“Send to Repeater”，改参数重放，测弱口令或SQL注入。但注意，火狐的缓存可能干扰你。比如你点提交，浏览器直接从缓存里返回了结果，根本没发请求。解决办法：在火狐开发者工具（F12）里勾选“禁用缓存”，再配合Burp抓包，就干净了。

还有种情况是WebSocket流量。普通HTTP请求Burp能拦，但WebSocket帧在默认配置下不显示。你得在Burp的Proxy设置里，找到“WebSocket”选项卡，勾选“允许WebSocket拦截”。不然你调试实时聊天或股票推送功能时，看到消息在页面上变了，但Burp里就是没记录。

最后提个建议。别把Burp和系统代理搞混。有些教程让你在系统网络设置里改代理，那样会影响到所有浏览器和软件，容易造成混乱。用FoxyProxy只给火狐设置代理，别的软件不受影响。抓完包，点FoxyProxy图标选“禁用”，火狐立刻恢复直连，干净利落。

这套流程跑通后，你会发现抓包不只是看数据，更像是在看浏览器和服务器之间的悄悄话。Burp的Intruder模块还能做暴力破解，但那是后话。先把代理、证书、缓存这几个坎迈过去，剩下的就是多练。