Burp Suite 社区版怎么用：免费抓包工具，给网站做安全自查

做站的人多少都怕过这几件事：网站被人刷接口、后台被暴力破解、表单被注入垃圾数据。想提前知道自己的站扛不扛得住，就得站在攻击者的角度看一遍请求。Burp Suite 就是干这个的，安全圈公认的 Web 测试标杆工具，免费社区版对站长来说完全够用，这篇说说它怎么下、怎么用。

Burp Suite 什么来头

Burp Suite 由 PortSwigger 公司出品，做 Web 应用安全测试的几乎人手一个，很多安全岗位招聘都直接写"熟悉 Burp"。它一个安装包里带两个版本：社区版免费，包含代理抓包、HTTP 历史、Repeater、Decoder、Sequencer、Comparer 这些核心手工测试工具，Intruder 是演示版；专业版多了自动化漏洞扫描和高级工作流，那是渗透测试团队用的。个人站长用社区版足够，学习成本也低。

免费版能干什么

最常用的是代理抓包：浏览器流量经过 Burp，每个 HTTP/HTTPS 请求都能在历史里看到，登录、提交、上传这些动作的完整参数一目了然。抓到的请求右键发到 Repeater，可以随意改参数再重放，比如把商品数量改成负数、把用户 ID 换成别人的，用来测接口有没有做权限校验，这是自查越权漏洞最直接的办法。Decoder 能快速做 URL、Base64 编解码，分析可疑参数很有用。浏览器里装上证书后 HTTPS 也能解密看，配合 Wappalyzer 先看清站点技术栈，再针对性测试，效率高不少。

上手三步

第一步，去官网 portswigger.net 的 Downloads 页下载安装包，Windows、macOS、Linux 都有，安装时选 Community Edition 就行。第二步，打开 Burp，默认代理地址是 127.0.0.1:8080，在浏览器或系统代理里把这个地址配上。第三步，访问目标站点，回到 Burp 的 Proxy 历史里就能看到所有请求，右键 Send to Repeater 开始改包重放。抓 HTTPS 需要先到 Proxy 设置里下载 CA 证书装到系统里，装完才能解密查看。

给站长的自查建议

重点测三个地方：登录接口有没有做频率限制，表单参数能不能篡改，翻页和详情接口能不能越权访问别人的数据。测之前记住一条底线——只测自己授权范围内的站点，拿别人的站练手属于违法，这条不能碰。发现问题的，配合 Nginx 做限流和访问控制，大部分常见漏洞能挡掉大半。工具免费、教程也多，花一个下午把抓包改包跑通，网站的安全感能提升一截。

来源：黑帽工具网（/QQ号：25496334），转载请保留出处和链接！

本文链接：https://www.seozhaopin.com/ruanjianjieshao/13045.html