Burp Suite Web Application Testing

用途：使用 Burp Suite 对 Web 应用进行安全测试，包括拦截与修改 HTTP 流量、分析重放请求、自动化漏洞扫描以及手动测试工作流。

主要能力：

1. 流量拦截与修改：通过 Proxy > Intercept 捕获请求，在转发前直接编辑请求参数（如价格、用户 ID、数量、隐藏字段），用于测试业务逻辑、访问控制和输入验证。
2. 目标范围设置：在 Target > Site map 中将目标主机加入 scope，并通过显示过滤器仅查看范围内流量，减少第三方请求干扰。
3. Repeater 手动测试：将请求发送至 Repeater，反复修改参数并发送、对比响应，查找错误信息、版本泄露、响应长度差异和时延差异。
4. 自动化扫描（仅 Professional 版）：在 Dashboard 新建扫描，选择 Lightweight、Fast、Balanced 或 Deep 模式，在 Issues 标签查看发现的问题、请求、响应及修复建议。
5. Intruder 攻击：定义 payload 位置与攻击类型（Sniper、Battering ram、Pitchfork、Cluster bomb），配置 payload 集合并分析结果。

必要用法与环境：安装 Burp Suite Community 或 Professional，启动带临时或命名项目，代理监听 127.0.0.1:8080，浏览器配置使用 Burp 代理或使用内置浏览器，并安装 CA 证书以拦截 HTTPS。可通过右键菜单将请求发送至 Repeater（Ctrl+R / Cmd+R）或 Intruder（Ctrl+I / Cmd+I）。

限制：Community 版不含自动化扫描器，Intruder 功能受限；部分站点可能阻止代理流量；HSTS 或证书固定可能需要额外配置；高强度扫描可能触发 WAF 拦截。仅可测试已获授权的应用，应配置 scope、限制扫描速率并记录所有操作。