Burp Suite Web Application Testing

用途：使用 Burp Suite 集成工具集执行 Web 应用安全测试，包括 HTTP 流量拦截与修改、请求分析与重放、自动化漏洞扫描及手工测试工作流，通过基于代理的测试方法系统化发现和利用 Web 漏洞。

前提：需安装 Burp Suite 社区版或专业版，使用内置浏览器或配置外部浏览器，准备目标 URL 及认证凭据（如适用）。代理监听默认在 127.0.0.1:8080，需为 HTTPS 拦截安装 CA 证书。社区版与专业版差异：代理、Repeater、扩展均支持；Intruder 社区版受限、专业版完整；Scanner 仅专业版提供。

主要能力与用法：

1. 拦截流量：Proxy > Intercept 开关控制请求暂停或放行，Forward 转发，HTTP history 查看完整请求响应。
2. 修改请求：在拦截编辑器中直接改参数（如 price、userId、qty、隐藏字段），再 Forward 发送。
3. 设置范围：Target > Site map 右键目标主机 Add to scope，并在 HTTP history 过滤仅显示范围内条目。
4. Repeater：右键请求 Send to Repeater，修改参数后 Send，对比响应差异。
5. 自动扫描（仅专业版）：Dashboard > New scan，可选 Lightweight、Fast、Balanced、Deep 模式，在 Issues 查看漏洞详情与修复建议。
6. Intruder：定义 § 标记的 payload 位置，选择 Sniper、Battering ram、Pitchfork、Cluster bomb 攻击类型，配置 payload 集合并分析结果。

适用场景：业务逻辑测试（如价格篡改）、认证绕过、信息泄露、SQL 注入、XSS、路径遍历、命令注入等 Web 漏洞验证。

限制与注意：仅测试已授权应用；配置范围避免越界；扫描限速防止拒绝服务；社区版无自动扫描器；部分站点可能阻断代理流量；HSTS 或证书固定需额外配置；大量扫描可能触发 WAF 拦截。建议先设范围、使用内置浏览器、定期保存项目并人工复核扫描结果。