用途：使用 Burp Suite 集成工具集执行 Web 应用安全测试，包括 HTTP 流量拦截与修改、请求分析与重放、自动化漏洞扫描及手工测试流程，通过基于代理的测试方法系统化发现和利用 Web 漏洞。
主要能力：拦截并修改 HTTP 请求/响应；查看 HTTP 历史与站点地图；设置目标范围过滤流量；使用 Repeater 手工重放与对比请求；使用 Intruder 进行自动化攻击（Sniper、Battering ram、Pitchfork、Cluster bomb）；Professional 版可运行自动化扫描并查看问题报告。
使用方式：需安装 Burp Suite Community 或 Professional 版，使用内置浏览器或配置外部浏览器，代理监听默认 127.0.0.1:8080，并安装 CA 证书以拦截 HTTPS。核心流程为：在 Proxy > Intercept 开启拦截并转发请求；在 HTTP history 查看流量；右键发送到 Repeater 或 Intruder；在 Target > Site map 将目标加入 scope；Professional 版在 Dashboard 新建扫描并查看 Issues。
适用场景：授权范围内的 Web 应用安全测试，如业务逻辑测试（价格篡改）、认证绕过、信息泄露、SQL 注入、XSS、路径遍历、命令注入等漏洞验证。
限制：Community 版无自动化扫描器，Intruder 功能受限；部分站点可能阻止代理流量；HSTS 或证书固定需额外配置；高强度扫描可能触发 WAF 拦截。仅可测试已获授权的应用，应设置 scope 防止越界测试，并对扫描限速以避免拒绝服务。