Burp插件开发 视频教程

围绕 Burp Suite 做插件开发，本质上是写一个能挂进 Burp 运行时、并调用它暴露出来的扩展接口的 Java 程序。这套视频教程的价值不在于教你点 Burp 的按钮，而在于把「插件如何与 Burp 交互」这件事拆开讲清楚：从扩展 API 的入口在哪、请求响应对象怎么拿、UI 面板怎么注册，到一个能跑起来的完整插件怎么打包加载。如果你已经会写 Java，也对 HTTP 代理有基本概念，这份资料适合拿来边看边对照敲代码。

技术栈与前置条件

Burp 插件开发的官方路径是 Java，依赖 Burp 提供的扩展 API（IBurpExtender是绕不开的起点，IExtensionHelpers、IHttpListener这类接口会在实际功能里反复出现）。教程默认你具备 Java 基础语法、能看懂接口与回调，同时对 HTTP 报文结构（请求行、头部、Body）有直观认识。构建工具方面通常涉及 Maven 或直接依赖管理，把 Burp 的 jar 作为编译期依赖引入，是第一个容易踩坑的地方——版本对不上，编译能过、加载报错。

因此看这套内容前，建议先确认两件事：本地 Burp 能正常加载一个空壳插件；你的 IDE 能正确引入 Burp 的扩展接口。这两步走通，后面所有功能模块才有意义。

项目结构：一个插件的骨架

一个 Burp 插件工程通常包含几个固定角色：实现IBurpExtender的主入口类负责向 Burp 注册自己；监听类承接 HTTP 流量或消息；工具类处理编码、参数解析、正则匹配这类重复劳动；如果带界面，还要有 Swing 面板的注册逻辑，把自定义 Tab 塞进 Burp 主窗口。教程如果按这个结构推进，你会看到每个类各自承担什么、生命周期由谁触发。

这里真正值得对照的是「注册—回调」这条链路：Burp 在什么时机调用你的registerExtenderCallbacks，你又在什么时机把监听器挂上去。理解了这条链路，换任何功能需求都只是替换回调里的处理逻辑。

可复用模块与实战落点

插件开发中有几块代码是高度可复用的，也是自学时最该沉淀下来的：

• 流量拦截与改写：实现IHttpListener后，对请求或响应做增删改，比如自动加头、替换参数、按规则打标。这块是绝大多数插件的核心。
• 自定义 UI 面板：用 Swing 写界面并注册成 Burp 的 Tab，把扫描结果或操作入口可视化，避免只靠控制台输出。
• 消息编辑与工具调用：借助IExtensionHelpers构造或解析 HTTP 消息，调用 Burp 自带的能力而不重复造轮子。
• 被动/主动扫描扩展：挂到扫描器上，对流量做定制化检测，适合把日常手工验证规则固化成插件。

视频教程如果覆盖到其中两三项并串成一个完整 Demo，就已经具备对照实践的价值。重点不是把每个 API 都背下来，而是知道需求来了该去哪个接口里找钩子。

怎么用这份资料自学

建议不要一口气刷完视频。每看完一个功能点，就自己在工程里复现一遍：先让插件能加载，再让回调能打印出流量，最后再接业务逻辑。顺序反了会卡在环境上很久。每完成两三个小节，把当节涉及的接口、调用时机、踩过的坑记成一份短笔记——插件开发的坑大多集中在依赖版本、加载时机和线程模型上，这些不记下来，下次还得重踩。

最终检验标准很直接：不看视频，独立写一个能拦截指定请求、修改参数并输出日志的插件，从零建工程到在 Burp 里加载成功。能独立走完这一遍，这套教程的目的就达到了。源码和笔记适合放在手边随时翻，但真正的理解来自你自己那一遍复现。