用途
该技能用于使用 Burp Suite 的集成工具集执行全面的 Web 应用安全测试，包括 HTTP 流量拦截与修改、请求分析与重放、自动化漏洞扫描以及手工测试工作流。它通过基于代理的测试方法，系统性地发现和利用 Web 应用漏洞。
主要能力
- HTTP 流量拦截与修改：通过 Proxy > Intercept 暂停、查看、修改并转发请求。
- HTTP 历史记录：在 Proxy > HTTP history 中查看完整请求/响应日志，支持排序与过滤。
- 目标范围设置：在 Target > Site map 中将目标主机加入 scope，过滤无关流量。
- Repeater 手工测试：将请求发送至 Repeater，修改参数并重发，分析响应差异。
- 自动化扫描：在 Dashboard 中新建扫描，支持 Lightweight、Fast、Balanced、Deep 等模式（仅 Professional 版）。
- Intruder 攻击：支持 Sniper、Battering ram、Pitchfork、Cluster bomb 四种攻击类型，用于参数模糊测试、凭据测试和暴力破解。
- 常见测试载荷：提供 SQL 注入、XSS、路径遍历、命令注入等测试载荷示例。
使用方式
环境准备
- 安装 Burp Suite Community 或 Professional Edition。
- 使用 Burp 内置浏览器或配置外部浏览器。
- 代理监听默认位于 127.0.0.1:8080。
- 为 HTTPS 拦截安装 CA 证书。
核心工作流
- 拦截 HTTP 流量：打开 Burp 浏览器，开启 Intercept，查看并转发请求，在 HTTP history 中查看日志。
- 修改请求：在拦截的请求中直接编辑参数值后转发，常见目标包括价格参数、用户 ID、数量值、隐藏字段等。
- 设置目标范围：将目标主机加入 scope，并选择仅显示范围内项目。
- 使用 Repeater：将请求发送至 Repeater，修改参数并发送，分析响应中的错误信息、版本泄露、响应长度差异、时间差异等。
- 运行自动化扫描：在 Dashboard 新建扫描，配置扫描模式并监控进度，在 Issues 标签查看漏洞详情。
- Intruder 攻击：定义 payload 位置，选择攻击类型，配置 payload 集，分析结果。
版本差异
- Proxy、Repeater、Extensions：Community 与 Professional 均支持。
- Intruder：Community 版功能受限，Professional 版完整。
- Scanner：仅 Professional 版支持。
适用场景
- 已获授权的 Web 应用安全测试。
- 业务逻辑测试（如价格篡改）。
- 认证绕过测试（如 SQL 注入）。
- 信息泄露测试（如错误信息暴露框架版本）。
- 参数模糊测试与暴力破解。
限制与约束
- 仅可测试已获授权的应用。
- 应配置 scope 防止意外测试范围外目标。
- 扫描需限速以避免拒绝服务。
- Community 版缺少自动化扫描器。
- 部分站点可能阻止代理流量。
- HSTS/证书固定可能需要额外配置。
- 大量扫描可能触发 WAF 拦截。
最佳实践
- 在广泛测试前始终设置目标范围。
- 使用 Burp 浏览器以获得可靠的拦截。
- 定期保存项目。
- 手动复核扫描结果以排除误报。
故障排查
- 浏览器未通过代理连接：检查代理监听、浏览器代理设置、防火墙，使用内置浏览器。
- HTTPS 拦截失败：安装 Burp CA 证书并重启浏览器。
- 性能缓慢：限制范围、禁用扩展、增加 Java 堆大小、关闭未用标签。
- 请求未被拦截：确认 Intercept 已开启、拦截规则未过滤目标、浏览器使用 Burp 代理、目标协议受支持。