Burp Suite 核心功能与关键配置项
三、核心功能与关键配置项
Burp Suite 各模块的分工如下表所示。
| 模块 | 主要用途 | 使用要点 |
|---|---|---|
| Proxy | 拦截、查看、修改流量 | Intercept 开关与匹配规则决定拦截哪些请求 |
| HTTP history | 查看历史请求与响应 | 配合范围过滤，是排查的起点 |
| Repeater | 手工改包重放 | 可保存多个标签页对比不同变体 |
| Intruder | 批量变体请求 | 四种攻击类型决定载荷组合方式 |
| Scanner | 自动扫描（Pro） | 主动扫描会向目标发大量请求，须确认授权允许 |
| Decoder | 编码解码 | 处理 Base64、URL 编码、哈希等 |
| Comparer | 两个请求或响应的差异对比 | 定位细微差异时非常有用 |
| Sequencer | 随机性分析 | 评估会话令牌、验证码等的随机质量 |
| Collaborator | 带外检测（Pro） | 用于无回显的命令执行与 SSRF 验证 |
| Extender | 扩展管理 | 注意扩展的权限与稳定性影响 |
Intruder 的四种攻击类型是必须掌握的基础概念。Sniper 逐个位置尝试载荷，适合单参数枚举；Battering ram 在所有位置填同一个载荷，适合测试同一个值出现在多处的情况；Pitchfork 让多个载荷列表并行推进，适合用户名与口令需要一一对应的情况；Cluster bomb 做笛卡尔积组合，覆盖面最广但请求数量会迅速膨胀。选择错误会浪费大量请求，也会给目标带来不必要的压力。
几个使用中的纪律值得写进操作规范。控制请求速率：即使是授权测试，过快的请求也可能拖垮目标业务，尤其在生产环境。要在 Intruder 的资源池设置里限制并发与请求间隔。限制扫描范围：Scanner 的主动扫描只应在明确允许的路径上运行。记录关键操作：每次发现问题的请求应当保存到工程文件里，并在报告里标注时间与请求特征，便于对方复核。
关于文件上传与命令执行这类高危测试，有一条重要原则：验证到"能执行一个无害命令并看到回显"即可停止，不要继续做任何提权、横向移动或数据读取。多数授权书里都会明确禁止这类操作，越界不仅是合规问题，也可能造成实际损害。
