burp-suite-testing

用途：使用 Burp Suite 的集成工具集开展 Web 应用安全测试，涵盖 HTTP 流量拦截与修改、请求分析与重放、自动化漏洞扫描（仅专业版）以及人工测试流程，通过基于代理的方式发现和验证 Web 漏洞。

主要能力：

1. 拦截与修改：通过 Proxy > Intercept 开关捕获请求，在转发前修改请求参数（如 price、userId、qty、隐藏字段 isAdmin），验证业务逻辑与访问控制问题。
2. HTTP 历史记录：在 Proxy > HTTP history 查看完整请求/响应，支持排序与过滤。
3. 目标范围：在 Target > Site map 右键目标主机选择 Add to scope，并勾选 Show only in-scope items 以减少噪音。
4. Repeater：右键请求选择 Send to Repeater，修改参数后点 Send 重复测试并对比响应。
5. 自动化扫描（仅专业版）：在 Dashboard 新建扫描，可选 Lightweight、Fast、Balanced、Deep 等模式，在 Issues 标签查看问题、请求与响应。
6. Intruder：使用 § 标记 payload 位置，支持 Sniper、Battering ram、Pitchfork、Cluster bomb 攻击类型，并按响应长度、状态码、grep 分析结果。

必要用法：需安装 Burp Suite Community 或 Professional，启动项目并确保代理监听 127.0.0.1:8080，浏览器配置该代理或使用 Burp 内置浏览器，HTTPS 拦截需安装 CA 证书（访问 http://burp 下载）。常用快捷键：转发 Ctrl/Cmd+F、丢弃 Ctrl/Cmd+D、发送到 Repeater Ctrl/Cmd+R、发送到 Intruder Ctrl/Cmd+I、切换拦截 Ctrl/Cmd+T。

适用场景：仅限获得授权的应用；可用于业务逻辑测试、认证绕过验证、信息泄露排查等。

限制：社区版无自动化扫描器，Intruder 功能受限；部分站点可能阻止代理流量，HSTS/证书固定需额外配置；大量扫描可能触发 WAF 拦截，应限速避免拒绝服务。测试前务必设置目标范围，定期保存项目，并人工复核扫描结果以排除误报。