用途：使用 Burp Suite 集成工具集执行 Web 应用安全测试，包括 HTTP 流量拦截与修改、请求分析与重放、自动化漏洞扫描及手动测试工作流，通过基于代理的测试方法系统化发现和利用 Web 漏洞。
主要能力：拦截并修改 HTTP 请求/响应；查看 HTTP 历史与站点地图；设置目标范围过滤流量；使用 Repeater 手动重放和修改请求；使用 Intruder 进行自动化攻击（Sniper、Battering ram、Pitchfork、Cluster bomb）；Professional 版可运行自动化扫描并查看问题报告。
使用方式：安装 Burp Suite Community 或 Professional 版，启动项目，代理监听默认 127.0.0.1:8080，浏览器配置 Burp 代理或使用内置浏览器，安装 CA 证书以拦截 HTTPS。核心流程包括：Proxy > Intercept 开启拦截并转发请求；Proxy > HTTP history 查看流量；Target > Site map 添加目标到 scope；右键请求发送到 Repeater 或 Intruder；Dashboard 新建扫描（仅 Professional）。
适用场景：授权范围内的 Web 应用安全测试，如业务逻辑测试（价格篡改）、认证绕过、信息泄露、SQL 注入、XSS、路径遍历、命令注入等漏洞验证。
限制：仅可测试已授权应用；Community 版无自动化扫描器；部分站点可能阻止代理流量；HSTS/证书固定需额外配置；大量扫描可能触发 WAF 拦截；需设置 scope 避免越界测试并限速防止拒绝服务。