用途
本技能用于在获得授权的前提下，使用 Burp Suite 的集成工具集执行全面的 Web 应用安全测试。其核心方法是通过基于代理的测试流程，对 HTTP 流量进行拦截与修改、请求分析与重放、自动化漏洞扫描以及手工测试，从而系统性地发现和验证 Web 应用漏洞。
技能明确限定使用范围：仅可用于授权的安全评估、防御性验证或受控的教学环境。
主要能力
- HTTP 流量拦截与修改：通过 Proxy > Intercept 控制请求的捕获与放行，可在转发前直接编辑请求头、参数与请求体。
- HTTP 历史记录：在 Proxy > HTTP history 中查看完整的请求/响应日志，支持按列排序与过滤。
- 目标范围设置：在 Target > Site map 中将目标主机加入 scope，并过滤 HTTP 历史，仅显示范围内流量。
- Repeater 手工测试：将请求发送至 Repeater，反复修改参数并重发，观察响应差异。
- 自动化扫描：在 Dashboard 中新建扫描任务，可选择 Lightweight、Fast、Balanced、Deep 等模式，并在 Issues 标签查看漏洞详情、触发请求与响应。
- Intruder 攻击：支持 Sniper、Battering ram、Pitchfork、Cluster bomb 四种攻击类型，可配置 payload 位置与载荷集，并对结果按响应长度、状态码或 grep 进行筛选。
使用方式
- 环境准备：安装 Burp Suite 社区版或专业版，启动项目，确保代理监听器在 127.0.0.1:8080 处于活动状态，浏览器配置使用 Burp 代理（或使用 Burp 内置浏览器），并安装 CA 证书以拦截 HTTPS。
- 拦截流量：打开 Burp 浏览器，开启 Intercept，访问目标 URL，查看并转发被拦截的请求，随后在 HTTP history 中查看完整流量。
- 修改请求：在拦截到的请求中直接编辑参数值（如价格、用户 ID、数量、隐藏字段），再转发。
- 设置范围：将目标主机加入 scope，并启用“仅显示范围内项目”过滤。
- Repeater 测试：将感兴趣的请求发送至 Repeater，修改参数后发送，分析响应中的错误信息、版本泄露、响应长度差异或时间差异。
- 自动化扫描（仅专业版）：在 Dashboard 新建扫描，配置扫描模式，监控进度并在 Issues 中查看结果。
- Intruder 攻击：将请求发送至 Intruder，用 § 标记 payload 位置，选择攻击类型并配置载荷，分析结果。
适用场景
- 授权范围内的 Web 应用安全评估与渗透测试。
- 防御性验证，例如验证业务逻辑、访问控制、输入校验等防护是否有效。
- 受控教学环境中的安全测试演示与练习。
限制与注意事项
- 仅限授权使用：只能测试已获授权的应用，应配置 scope 防止意外测试范围外目标，并对扫描进行限速以避免拒绝服务。
- 版本差异：社区版没有自动化扫描器，Intruder 功能受限；专业版具备完整 Intruder 与扫描器。
- 技术限制：部分站点可能阻止代理流量；HSTS 或证书固定可能需要额外配置；高强度扫描可能触发 WAF 拦截。
- 最佳实践：在广泛测试前先设置目标范围，使用 Burp 内置浏览器以获得可靠拦截，定期保存项目，并人工复核扫描结果以减少误报。
- 故障排查：若浏览器无法通过代理连接，检查代理监听器、浏览器代理设置与防火墙；若 HTTPS 拦截失败，安装 Burp CA 证书并重启浏览器；若性能缓慢，可限制范围、禁用扩展、增大 Java 堆内存；若请求未被拦截，确认 Intercept 已开启且规则未过滤目标。