Burp 实战｜Burp Suite 是什么 & Web 安全测试方法论

第一次打开 Burp Suite 容易被一堆标签页吓退。这篇先讲清它是什么，再给出一套”从侦察到报告”的测试流程，后面每篇都是这套流程里的具体招式。

① 是什么

Burp Suite 是一个用 Java 写的 Web/API 安全测试平台，核心思路是”坐在浏览器和目标服务器中间当中间人”，从而拦截、修改、重放每一个请求。它把渗透测试常用的动作（抓包、改包、爆破、扫描）集成到一套图形工具里。

测试方法 指按阶段推进：明确范围 → 配置代理 → 爬取测绘 → 逐项测漏洞 → 出报告。

② 为什么重要

• 不站中间，就只能盲测；站中间才能精确看到请求/响应里的每一个薄弱点。
• 没有方法论，测试会变成”哪里顺手点哪里”，容易漏掉授权、会话这类隐性漏洞。
• Burp 是行业事实标准，掌握它就掌握了和同行、客户、扫描器对话的通用语言。

③ 核心概念拆解

• 中间人定位：浏览器把流量发给 Burp，Burp 再转发给服务器；回程同理。类比”邮差先拆信看一眼再送”。
• 测试四阶段：
  • 配置：设代理、装 CA 证书、圈定目标范围（Scope）。
  • 测绘：爬取+被动监听，画出站点地图与参数面。
  • 攻击：用 Repeater 手测、Intruder 爆破、Scanner 自动扫。
  • 收尾：用 Issue/报告功能把发现整理成交付物。
• OWASP 映射：本书配方基本对应 OWASP 测试指南（认证、授权、会话、输入…），学 Burp 也是在学这套框架。

④ 常见误区

• 误区 1：Burp 等于”一键扫描器”。Scanner 只是其中一块，手测（Repeater/Intruder）才是核心。
• 误区 2：上来就扫生产环境。应先在授权/预发环境，并把目标范围圈准，避免误伤。
• 误区 3：只测登录框。越权、逻辑、客户端漏洞往往藏在业务流里。

⑤ 一句话小结

Burp 是”中间人式”的 Web 安全测试平台；按”配置→测绘→攻击→报告”推进，才能把漏洞测全。

下一篇：安装配置与代理：让浏览器流量过 Burp

参考来源：Burp Suite Cookbook (2023)（本文为原创讲解，非转载原文）