Burp Suite 安装与部署：代理配置、证书与工程管理
二、安装与部署：代理配置、证书与工程管理
Burp Suite 是 Java 应用，官方提供 Community（免费）与 Professional（付费）两个版本。Community 版包含代理、重放器、解码器等核心手工测试功能，适合学习与手工测试；Professional 版增加了自动扫描与 Collaborator 等能力。选择哪个版本取决于测试任务是否需要自动化扫描。
- 准备 Java 运行环境。启动前先确认 Java 版本满足要求，版本过低会直接启动失败：
java -version - 启动并创建工程。用
--project-file指定工程文件，可以把这次测试的全部流量与配置保存下来，便于事后回溯，这是留痕的重要一环：
对于内存需求较大的测试，可以调大堆内存：java -jar burpsuite_pro.jar \ --project-file=/path/to/engagement-2026-01.burp \ --config-file=/path/to/scope-config.jsonjava -Xmx4g -jar burpsuite_pro.jar --project-file=engagement.burp - 配置代理监听。默认监听
127.0.0.1:8080。建议只监听本地回环地址，不要监听0.0.0.0，避免把代理暴露给同网段的其他人。Proxy → Options中可以添加多个监听器，也可以配置上游代理链。 - 安装 CA 证书。这一步是让浏览器信任 Burp 的中间人证书，否则访问 HTTPS 站点会报证书错误。流程是：浏览器设置代理指向
127.0.0.1:8080，访问http://burp下载 CA 证书，导入到浏览器或操作系统的受信任根证书区。测试结束后务必记得移除这张证书，尤其是在个人电脑上。 - 配置目标范围。在
Target → Scope里把授权范围内的域名与 IP 段加入，并勾选只记录范围内的流量。这一步既是为了合规（避免误扫授权外目标），也是为了让后续的自动扫描不在无关站点上浪费时间。 - 按需安装扩展。在
Extender → BApp Store里安装需要的扩展。安装前要评估扩展的可信度，因为扩展运行在 Burp 的进程内，权限与 Burp 本身相同。测试生产环境时建议只用必要的扩展。
常见问题与排查。
| 现象 | 根因 | 处理方式 |
|---|---|---|
| 浏览器报证书不受信任 | CA 证书未正确导入受信任根 | 重新导出并导入；确认导入到"受信任的根证书颁发机构" |
| 站点无法访问，提示连接被拒绝 | 代理监听未启动，或端口被占用 | 检查监听器状态；换一个端口 |
| 部分站点 TLS 握手失败 | 站点使用客户端证书或非标准 TLS 配置 | 在 TLS 设置中调整支持的协议与套件 |
| 移动端应用无法抓包 | 应用做了证书固定校验 | 需要按授权范围评估是否可用调试版本绕过，且必须书面向授权方说明 |
| 内存持续增长直到卡顿 | 长期测试积累的流量过大 | 定期清理历史记录，必要时分多个工程文件 |
| 启动报 Java 版本错误 | Java 版本过低或过高 | 按官方要求安装对应版本 |
| 请求体被自动修改 | 勾选了自动更新 Content-Length 等选项 | 按测试需要显式确认相关开关 |
| 扫描速度异常慢 | 并发与节流设置过于保守，或目标响应慢 | 调整并发与延迟设置，同时注意不要给目标造成压力 |
关于测试环境，还有两点需要强调。第一，不要把测试流量指向生产环境的真实数据接口，除非授权文件里明确写了允许。多数情况下应该先在预发布环境做验证，只有在授权方明确同意时才在生产做受限验证。第二，不要在测试过程中留下后门或修改业务数据，测试的目标是证明问题存在，不是改变系统状态。
