内容摘要：Burpsuite扫目录这事儿，真没网上吹得那么玄乎。我拿它扫一个政府外包站点时，三分钟就翻出了/backup/文件夹——里面躺着去年七月的数据库备份，解压密码是admin123。那一刻我甚至有点同情

Burpsuite扫目录这事儿，描网真没网上吹得那么玄乎。站目我拿它扫一个政府外包站点时，描网三分钟就翻出了/backup/文件夹——里面躺着去年七月的站目数据库备份，解压密码是描网admin123。那一刻我甚至有点同情运维，站目但手可没停。描网

工具本身不复杂。站目装上Burp后，描网切到Target选项卡，站目右键目标域名选Engagement tools → Discover content。描网弹出的站目窗口里有个“Session is not running”的提示，别慌，描网那是站目让你点右下角的Start。真正要动脑子的描网是那些配置项——默认的单词列表又老又短，扫出来的全是/images/、/css/这种废话。我一般直接勾选Use custom wordlist，丢进去一个从GitHub扒下来的dirsearch.txt，十几万条路径，扫起来像在挖矿，风扇嗡嗡转。

但别指望它像DirBuster那样暴力。Burp的Discover content更像“智能爬虫加字典混合体”——它会从已抓取的页面里提取链接，再递归探测。有一次扫一个React单页应用，页面源码里全是window._ROUTES_这种JS变量，Burp居然顺着爬出了三个隐藏管理接口。这点比纯字典扫描强，因为有些路径根本不在字典里，而是藏在页面逻辑中。

最烦人的是扫描速度。默认线程数低得可怜，扫个中型站点要半小时。我习惯在Scan Configuration里把线程拉到15，超时设成5000毫秒，再把Follow redirects关了——不然碰到301重定向，Burp会傻乎乎地跟着跳，结果扫出一堆重复内容。实际跑起来，平均每秒能发40个请求，但目标服务器要是扛不住，IP被封就得不偿失。所以别对着一台生产服务器猛扫，先测测对方WAF的脾气。

真正考验人的是结果分析。扫完会弹出一长串200状态码的路径，大部分是/favicon.ico或者/robots.txt这类没用的东西。我有个习惯：按响应大小排序，把那些Content-Length在1KB到50KB之间的文件挨个点开看。为什么是这个区间？太小可能是空页面，太大多半是静态资源。有一次就是这么发现/api/v1/debug的——返回的JSON里直接带着用户手机号，连登录都没做。

对了，扫描时记得开Burp的Logging功能。这玩意儿能把所有请求存成文件，万一扫到一半断网，还能用日志离线分析。我吃过亏——扫了四十分钟没保存，结果目标服务器崩了，Burp也闪退，全白干。现在每次扫完第一件事就是导出CSV，按路径、状态码、响应长度排序，再手动标记几个可疑目标。

最后说句大实话：Burp扫目录只是开胃菜。真正有用的信息往往藏在扫描结果的后半段——那些403或者500状态的路径。403说明路径存在但没权限，值得手动试几个参数；500则可能是未处理的异常，说不定能撞出个报错页面泄露代码路径。别嫌麻烦，每个状态码都是一条线索。