Burp Suite Web Application Testing

Burp Suite Web Application Testing - Web 应用安全测试完整指南

技能概述

这是一个专业的 Burp Suite 使用指南，帮助您掌握 HTTP 流量拦截、请求修改、漏洞扫描和渗透测试的核心操作，系统性地发现 Web 应用安全漏洞。

适用场景

1. Web 应用渗透测试

需要对目标网站进行安全评估时，使用 Burp Suite 拦截并分析 HTTP 流量，发现 SQL 注入、XSS、权限绕过等常见漏洞。通过 Repeater 重放请求、Intruder 自动化攻击和 Scanner 漏洞扫描，全面提升测试效率。

2. 业务逻辑安全验证

测试电商价格篡改、越权访问、认证绕过等业务逻辑漏洞时，直接拦截并修改请求参数，验证服务器是否对客户端输入进行充分验证。例如修改购物车价格参数、测试其他用户数据访问权限等。

3. API 接口安全测试

对 REST API、GraphQL 接口进行安全检测时，通过 Burp Proxy 捕获 API 请求，使用 Repeater 测试参数篡改、注入攻击和未授权访问，确保接口安全性。

核心功能

HTTP 流量拦截与修改

通过 Burp Proxy 模块拦截浏览器与服务器之间的所有 HTTP/HTTPS 流量，实时查看请求头、参数和响应内容。在请求发送到服务器之前修改任何参数，测试是否存在输入验证漏洞。支持一键启用/禁用拦截，方便快速切换测试模式。

Repeater 请求重放

将任意请求发送到 Repeater 进行手动测试，快速迭代不同参数组合，无需重复操作浏览器。支持请求历史导航、响应对比和长度排序，高效识别异常响应。是进行模糊测试和手动漏洞挖掘的核心工具。

自动化漏洞扫描（Professional 版）

使用 Burp Scanner 自动发现常见安全漏洞，包括注入攻击、跨站脚本、信息泄露等。提供四种扫描模式（Lightweight、Fast、Balanced、Deep），根据测试需求选择合适的深度和时长。扫描结果包含详细的漏洞描述、复现请求和修复建议。

常见问题

Burp Suite 免费版能用吗？

Community 免费版提供 Proxy、Repeater 和 Intruder（功能受限）等核心模块，足够应对大部分手动渗透测试需求。主要限制是缺少自动化 Scanner 漏洞扫描功能。如果是学习或个人使用，免费版完全够用；企业级批量扫描建议使用 Professional 版。

为什么拦截不到 HTTPS 请求？

HTTPS 流量需要安装并信任 Burp Suite 的 CA 证书才能解密。操作步骤：1）在浏览器访问 http://burp 下载证书；2）将证书导入浏览器或系统的受信任根证书颁发机构；3）重启浏览器。安装成功后，HTTPS 流量即可正常拦截和查看。

Burp Suite 扫描会被封吗？

高强度扫描可能触发目标服务器的 WAF 防护或速率限制，导致 IP 被封。建议：1）扫描前与目标方确认；2）使用 Balanced 或 Lightweight 模式；3）设置合理的请求速率；4）配合测试环境进行扫描。Burp 提供扫描速率控制功能，可根据目标响应动态调整。