用途：Burp Suite 是 Web 应用安全测试的集成平台，从测绘攻击面到发现并利用漏洞。适用于 Web 应用渗透测试（审计 SQLi、XSS、SSRF、IDOR 等 OWASP Top 10 漏洞）、实时拦截与篡改 Web 及移动 App 的 API 请求、对预发布环境运行主动与被动扫描，以及通过 Montoya API 或 Python/Java 编写自定义安全扩展。
主要能力：以中间人 HTTP/HTTPS 代理形式位于客户端与后端之间（默认监听 127.0.0.1:8080），可开关拦截；Repeater 用于隔离单个请求并重放修改后的载荷以分析响应；Intruder 在指定位置自动注入载荷，发现注入缺陷与隐藏端点；Proxy 的 Match & Replace 规则可自动替换授权头或 User-Agent。
使用方式：启动 Burp Suite 并确认 8080 端口代理监听已启用；从 http://burp 导出 Burp CA 证书并安装到系统信任库；用自定义代理启动目标浏览器：chromium --proxy-server="http://127.0.0.1:8080" --ignore-certificate-errors。
限制与注意事项：仅在专用测试浏览器配置中信任 PortSwigger CA 证书，不要系统级安装；严格将目标主机加入 Target > Scope 并只显示范围内条目；对 Intruder 自动化攻击限速，避免触发 WAF 或压垮预发布数据库；未经授权不要对生产环境运行主动扫描；代理监听器应绑定 127.0.0.1，不要暴露在 0.0.0.0。常见问题：SSL 握手失败通常是 CA 证书未被信任；页面无限加载通常是 Intercept 处于开启状态。具体收费、价格与平台信息暂未提供。