burpsuite教程（文档）

这份资料是一份 Burp Suite 的纯文档教程，没有配套视频，内容以操作说明和参数解释为主。对于想系统梳理 Burp 各模块功能、又不想被视频节奏牵着走的开发者，文档形式反而更方便对照实践：遇到某个抓包场景，直接翻到对应章节查配置项和字段含义，比拖进度条找片段高效得多。

这份资料的技术定位

Burp Suite 是 Web 安全测试中最常用的代理工具，核心能力集中在拦截代理、请求重放、扫描与爆破这几块。文档类教程的价值在于把每个模块的界面元素、配置项、快捷键和典型用法讲清楚，读者可以边看边在自己的环境里复现。需要注意，Burp 的版本迭代较快，Community 版与 Professional 版在扫描器、Intruder 速率限制上差异明显，文档中的截图和菜单路径可能与当前版本有出入，遇到对不上的地方以实际界面为准，重点理解功能逻辑而不是死记菜单位置。

项目结构与可复用模块

从工程视角看，Burp 的使用可以拆成几条相对独立的能力线，文档通常也是按这个顺序组织的：

• 代理与证书配置：浏览器或移动端流量如何导入 Burp，HTTPS 证书安装与信任链处理，这是后面所有操作的前提。
• Proxy 与 HTTP history：拦截、放行、修改请求响应，以及如何用过滤条件从历史记录里筛出目标流量。
• Repeater：把单条请求拎出来反复改参数重放，适合验证越权、参数污染、注入类问题。
• Intruder：四种攻击类型（Sniper、Battering ram、Pitchfork、Cluster bomb）的适用场景，配合 payload 集合做爆破或枚举。
• Decoder 与 Comparer：编码转换和响应差异对比，属于辅助但高频使用的工具。

这几块可以当作独立模块来练：每读完一节，找一個自己搭的测试环境（本地靶场或授权范围内的站点）走一遍完整流程，把配置和 payload 记下来，后续做同类任务时直接复用。

和软考考证方向的关系

资料被归在软考考证分类下，实际内容偏向 Web 安全测试实操，与软考中信息安全、网络安全的考点有部分交集，比如 HTTP 协议细节、常见 Web 漏洞原理、代理与抓包的基本概念。但 Burp 本身是工具教程，不能替代软考的理论教材。合理的用法是：把这份文档当作理解 HTTP 交互和漏洞验证手段的补充材料，考试复习仍以考纲和真题为主，工具操作用来加深对协议和漏洞成因的直观认识。

自学路径建议

建议按「先跑通链路，再练单点，最后串流程」的顺序推进。第一步把代理和证书配好，确认能抓到 HTTPS 流量；第二步逐个模块练，Repeater 和 Intruder 是重点，多花时间在 payload 构造和攻击类型选择上；第三步找一个完整的授权靶场，从信息收集到漏洞验证走一遍，把各模块串起来用。文档类资料的短板是缺少演示，遇到不理解的地方可以配合官方文档或靶场环境自己验证。学完后整理一份自己的配置清单和常用 payload 笔记，比单纯收藏文件更有价值。