用途：通过代理式测试方法，对 Web 应用进行 HTTP 流量拦截、请求修改、重放与漏洞排查的系统化安全测试。仅限获得系统所有者明确书面许可的授权安全评估、防御验证或受控教学环境；未获确认时保持只读并提供防御性建议，优先使用沙箱或一次性虚拟机。
主要能力：代理拦截与修改请求；查看并过滤 HTTP 历史与站点地图；设置目标范围；Repeater 手动重放测试；Dashboard 自动化扫描（Professional 版）；Intruder 攻击（Sniper、Battering ram、Pitchfork、Cluster bomb）；常见载荷测试如 SQL 注入、XSS、路径遍历、命令注入；请求修改示例包括改 price、userId、qty、隐藏字段。
使用方式：安装 Burp Suite Community 或 Professional，启动项目，保持代理监听 127.0.0.1:8080，浏览器配置代理或使用内置浏览器，为 HTTPS 拦截安装 CA 证书。拦截流程为开启 Intercept、访问目标、审阅并 Forward；手动测试可通过右键 Send to Repeater，发送至 Intruder 前用 § 标记载荷位置。
限制：Community 版不提供自动化扫描器；部分站点阻止代理流量，HSTS 或证书固定需额外配置；重扫描可能触发 WAF 封禁。使用时须设置目标范围，限制扫描速率，避免拒绝服务，并手动复核扫描结果中的误报。