1. 项目概述为什么你需要掌握BurpSuite抓包如果你对网络安全、渗透测试或者仅仅是好奇手机App和网站后台到底在“聊”些什么感兴趣那么抓包工具就是你不可或缺的“眼睛”和“耳朵”。在众多工具中BurpSuite无疑是这个领域的瑞士军刀功能强大且生态成熟。但很多新手面对它复杂的界面和英文环境往往第一步就被劝退了。这篇教程的目的就是帮你跨过这个门槛用最直白的方式从零开始让你不仅能装上BurpSuite更能用它抓到第一个数据包看懂里面最基本的信息。简单来说抓包就是截获并分析你的设备电脑或手机与服务器之间传输的网络数据。这就像在邮局截获并拆开一封封信件查看里面的内容。BurpSuite扮演的就是这个“邮局检查员”的角色。无论是测试一个网页表单的安全性还是逆向分析某个App的API接口抓包都是最基础、最核心的第一步。网上教程很多但要么过于简略要么一上来就讲高阶功能对小白极不友好。我将结合自己踩过的无数坑带你走一遍最稳妥、最清晰的入门路径。2. 环境准备与BurpSuite安装工欲善其事必先利其器。在开始抓包之前我们需要搭建一个合适的环境。这个过程看似简单但却是新手最容易出错的地方很多“连接不上”、“证书问题”都源于此。2.1 获取BurpSuite社区版足矣首先你需要下载BurpSuite。直接访问PortSwigger官网搜索“BurpSuite官网下载”即可找到这是最安全、最推荐的渠道避免第三方渠道带来的捆绑软件或后门风险。官网提供了两个主要版本专业版Professional和社区版Community。对于入门学习社区版完全足够。它包含了核心的代理Proxy、爬虫Spider、重放Repeater和入侵者Intruder等模块这些正是我们抓包和分析的基础。专业版提供了更强大的自动化扫描和高级漏洞检测功能那是等你成为进阶玩家后再考虑的事情。下载时根据你的操作系统选择。对于Windows用户建议下载.exe安装包macOS用户下载.dmgLinux用户则可以选择.sh安装脚本或.jar通用包。我个人的习惯是无论什么系统都保留一个.jar版本因为用Java命令运行最为灵活尤其是在需要指定内存等参数时。2.2 安装与首次运行避开第一个坑安装过程就是一路“Next”没什么好说的。安装完成后首次运行BurpSuite它会让你选择临时项目还是保存项目。对于新手直接选择“Temporary project”临时项目即可然后点击“Next”直到看到主界面。这里你会遇到第一个可能的问题BurpSuite的启动速度。社区版启动相对较慢尤其是第一次启动时因为它需要初始化环境并检查更新。请耐心等待如果长时间卡住可以尝试以管理员身份运行或者检查网络连接是否正常。主界面默认是英文的。虽然网上有很多“BurpSuite汉化”教程和汉化包但我强烈不建议新手使用汉化版。原因有三第一汉化包可能版本不匹配导致界面错乱或功能异常第二几乎所有权威资料、漏洞报告和技术讨论都使用英文术语提前熟悉英文界面有利于你后续深入学习第三汉化有时并不准确可能误导你对功能的理解。克服最初的陌生感后你会发现英文界面并不复杂。2.3 配置系统与浏览器代理BurpSuite的核心是代理服务器。它需要在你的电脑上开启一个本地端口默认是127.0.0.1:8080监听经过的网络流量。因此我们需要告诉系统和浏览器将流量发送到这个代理上。1. 配置操作系统代理可选但推荐在系统设置中配置代理可以让绝大多数应用程序包括一些不遵循浏览器代理设置的软件的流量都经过Burp。以Windows为例打开“设置” - “网络和Internet” - “代理”。在“手动设置代理”下打开“使用代理服务器”。地址填写127.0.0.1端口填写8080。切记不要勾选“对于本地地址不使用代理服务器”这个框不要打勾。因为我们的Burp就运行在本地127.0.0.1如果勾选了本地流量就无法被捕获。注意配置系统代理后你所有的网络流量都会尝试走Burp。如果Burp没开或者卡住了可能会导致你无法上网。因此在不用Burp抓包时记得回来关闭这个系统代理。2. 配置浏览器代理更常用、更灵活我更推荐使用浏览器插件来管理代理这样可以在抓包和正常浏览之间快速切换。以Chrome或Edge为例安装插件如“SwitchyOmega”或“FoxyProxy”。在插件中新建一个情景模式命名为“Burp”。代理协议选择HTTP 代理服务器为127.0.0.1端口8080。然后你可以通过点击插件图标快速在“直接连接”和“Burp代理”模式间切换。这样只有当你需要抓包时才将浏览器流量导向Burp不影响其他软件的正常使用。3. 核心原理BurpSuite如何工作在动手之前花几分钟理解原理能让你在遇到问题时知道从哪里排查。BurpSuite作为一个中间人Man-in-the-Middle, MITM代理其工作流程可以概括为以下几步监听Burp在本地127.0.0.1:8080启动一个代理服务器等待流量。转发你将浏览器或系统的代理设置为指向Burp。当你访问一个网站比如http://test.com时请求不再直接发给test.com的服务器而是先发给了本机的Burp。拦截与修改可选Burp的“拦截”Intercept功能如果开启会暂停这个请求让你查看甚至修改其中的参数比如把密码从123改成admin然后再决定是放行还是丢弃。转发请求Burp将可能被你修改过的请求原样转发给目标服务器test.com。接收响应服务器处理请求后将响应数据网页内容、JSON数据等发回给Burp。拦截与修改响应可选同样如果响应拦截开启你可以查看或修改服务器返回的数据。返回客户端Burp最终将响应数据返回给你的浏览器浏览器渲染出页面。整个过程Burp就像一个透明的“中转站”和“检查站”。而要实现对HTTPS流量的解密和查看这是抓包中最关键的部分还需要安装BurpSuite的CA证书到你的设备受信任的根证书颁发机构中。否则你只能看到一堆加密的乱码。我们会在下一节详细讲解证书安装。4. 实战抓取第一个HTTP/HTTPS数据包理论说再多不如动手试一次。让我们完成一次完整的抓包流程目标是抓取一个HTTP请求和响应。4.1 安装BurpSuite的CA证书这是抓取HTTPS流量的关键步骤也是问题高发区。如果不安装证书浏览器会因证书不被信任而中断HTTPS连接你会看到“您的连接不是私密连接”等错误。步骤确保BurpSuite正在运行并且代理监听已开启默认就是开启的。在你的浏览器中已配置好代理指向Burp访问http://burpsuite或http://127.0.0.1:8080。这会打开BurpSuite自带的证书下载页面。点击“CA Certificate”按钮下载cacert.der证书文件。安装证书到系统受信任的根证书区Windows双击下载的.der文件选择“安装证书” - “当前用户” - “将所有的证书都放入下列存储” - “浏览” - 选择“受信任的根证书颁发机构” - 完成。macOS双击.der文件会打开“钥匙串访问”。找到刚导入的证书通常叫PortSwigger CA双击它在“信任”设置中将“使用此证书时”设置为“始终信任”。浏览器有时还需要在浏览器的证书管理器中单独导入该证书Chrome/Edge使用系统证书库一般不需要。实操心得安装证书后务必重启浏览器。很多同学卡在HTTPS抓不到包就是因为证书安装后没有重启浏览器生效。另外如果你更换了BurpSuite比如重装或换了版本可能需要删除旧的证书并重新安装。4.2 配置BurpSuite代理监听与拦截回到BurpSuite主界面顶部菜单栏找到“Proxy”标签页其下有几个子标签Intercept拦截开关。Intercept is on表示开启拦截所有流经代理的请求/响应会被暂停Intercept is off表示关闭拦截流量直接通过。HTTP history历史记录。所有经过Burp的请求和响应都会在这里留下记录即使拦截关闭。这是你后续分析的主要窗口。Options代理监听设置。这里可以查看和修改代理监听器。默认情况下Burp已经设置好了一个监听127.0.0.1:8080的代理。我们通常不需要改动。现在确保“Intercept”标签页下的拦截是关闭状态Intercept is off。4.3 抓取并分析一个简单请求发起请求打开你的浏览器确保代理已设置为Burp访问一个简单的HTTP网站比如http://httpbin.org/get。这是一个专门用于测试HTTP请求的网站。查看历史切换回BurpSuite点击“Proxy” - “HTTP history”。你应该能看到一条记录目标主机是httpbin.org。分析请求点击这条记录下方会分成左右两栏。右栏的“Request”显示了你浏览器发出的原始请求。你可以看到请求行GET /get HTTP/1.1表示使用GET方法请求路径是/get协议是HTTP/1.1。请求头Headers包含Host、User-Agent你的浏览器标识、Accept等关键信息。请求体Body对于这个GET请求体是空的。如果是POST提交表单参数会在这里。分析响应点击右栏的“Response”可以看到服务器返回的数据。通常是JSON格式里面回显了你的请求头等信息。恭喜你已经完成了第一次被动抓包这只是在“记录”流量。接下来我们试试更有趣的——主动拦截和修改。4.4 拦截并修改请求重放攻击初体验开启拦截在BurpSuite的“Proxy” - “Intercept”标签页点击Intercept is off按钮将其变为Intercept is on。触发请求回到浏览器刷新刚才的页面http://httpbin.org/get或者访问一个新页面。拦截请求此时浏览器会卡住等待响应。因为请求被Burp拦截了。切回BurpSuite你会看到被拦截的请求详情显示在“Intercept”标签页。修改请求在请求头区域你可以随意修改。例如在请求头末尾添加一行X-Custom-Header: HackedByMe。放行请求点击Forward按钮将修改后的请求发送给服务器。查看结果浏览器页面加载完成。你可以回到“HTTP history”找到最新的那条记录查看“Response”。在服务器返回的JSON中你应该能在headers字段里找到你添加的X-Custom-Header及其值。这个简单的操作模拟了攻击者修改请求参数的过程。比如将商品价格从100元改为1元然后提交订单就是基于这个原理。5. 抓包进阶应对复杂场景与移动端抓包掌握了基础抓包后你会遇到更实际的需求抓取手机App的流量或者处理一些难以抓包的应用如微信小程序、使用了证书绑定的App。5.1 抓取手机App流量原理和抓电脑浏览器一样让手机的流量经过电脑上运行的BurpSuite代理。前提是手机和电脑需要在同一个局域网连接同一个Wi-Fi。步骤查询电脑的局域网IP在电脑上打开命令提示符CMD或终端输入ipconfigWindows或ifconfigmacOS/Linux找到无线局域网适配器的IPv4地址例如192.168.1.105。配置Burp监听所有接口默认Burp只监听127.0.0.1本机手机无法连接。需要修改监听设置。进入“Proxy” - “Options”。找到“Proxy Listeners”列表编辑默认的那条127.0.0.1:8080。将“Bind to address”从“Loopback only”改为“All interfaces”或直接指定你的电脑局域网IP如192.168.1.105。点击“OK”。在手机上安装Burp的CA证书这是最关键也是最麻烦的一步。因为手机系统对证书安装有更严格的限制。在手机浏览器中访问http://你的电脑IP:8080例如http://192.168.1.105:8080。点击“CA Certificate”下载证书文件。安卓手机通常需要将文件后缀改为.crt以便识别。安卓进入“设置” - “安全/更多安全设置” - “加密与凭据” - “安装证书” - “CA证书”找到下载的文件并安装。对于Android 7.0及以上如果App设置了网络安全配置仅安装用户证书可能不够还需要将证书安装到系统证书区这通常需要Root权限。iOS下载后进入“设置” - “已下载的描述文件”安装然后在“设置” - “通用” - “关于本机” - “证书信任设置”中完全信任刚刚安装的根证书。配置手机Wi-Fi代理在手机的Wi-Fi设置中长按当前连接的Wi-Fi选择“修改网络” - “高级选项” - “代理”选择“手动”主机名填电脑IP192.168.1.105端口填8080。测试在手机上打开浏览器访问一个HTTP网站查看BurpSuite的“HTTP history”是否有记录。避坑指南手机抓包失败十有八九是证书问题。常见现象是HTTP能抓到HTTPS全是乱码或连接失败。请务必确认1. 手机和电脑在同一网络2. 手机正确安装了CA证书且是Burp当前运行实例的证书如果重装过Burp证书会变3. 对于某些App尤其是银行、支付类它们可能使用了证书绑定SSL Pinning技术会校验服务器证书是否与预设的匹配导致即使安装了Burp证书也无法解密。对付证书绑定需要更高级的手段如使用Xposed框架、Frida等工具进行Hook这超出了入门范围。5.2 使用雷电模拟器等安卓模拟器抓包在电脑上使用安卓模拟器如雷电模拟器、夜神模拟器运行手机App并抓包是另一种非常方便的方式因为它避免了复杂的手机网络配置和证书安装问题。步骤以雷电模拟器为例在电脑上安装并启动雷电模拟器。模拟器内设置代理模拟器的网络和实体手机类似。进入模拟器的“设置” - “WLAN” - 长按已连接的“WiredSSID”网络 - “修改网络” - 显示高级选项 - 代理选择“手动”代理服务器主机名填写你电脑的局域网IP注意不是127.0.0.1因为对于模拟器来说Burp运行在宿主电脑上需要填宿主电脑的IP端口8080。在模拟器中安装Burp CA证书在模拟器内置浏览器中访问http://burpsuite或http://电脑IP:8080下载证书。安装过程与实体安卓手机类似。配置Burp监听所有接口同手机抓包步骤2。在模拟器中运行目标AppBurpSuite即可捕获流量。这种方法的好处是环境可控截图、文件传输方便非常适合学习和测试。5.3 处理微信小程序等特殊场景微信小程序的抓包原理和普通App一样但因为它运行在微信这个“超级App”内部有时会遇到困难。你需要确保的是微信这个App本身的流量经过了Burp代理。按照上述手机抓包的步骤配置好手机全局代理并安装好证书后理论上就能抓到小程序的流量。但同样微信或小程序本身可能启用证书绑定。如果遇到HTTPS流量无法解密的情况可以尝试以下方法使用老版本的微信可能证书绑定较弱。使用专门处理证书绑定的工具在已Root的手机上配合使用。尝试抓取小程序的HTTP流量有时一些配置、图片资源等仍在使用HTTP。6. 核心模块详解Proxy以外的实用工具BurpSuite不止能抓包它是一套工具集。了解其他几个核心模块能极大提升你的测试效率。6.1 Repeater重放器手动测试利器这是我最常用的模块之一堪称“手动测试的瑞士军刀”。在“HTTP history”中右键点击任意一条请求选择“Send to Repeater”该请求就会被发送到Repeater模块。在Repeater中你可以随意修改请求的任何部分URL、参数、头、体。多次发送修改后的请求每次只需点击“Send”。实时对比不同请求对应的响应。用于测试比如手动测试SQL注入你可以修改id1为id1发送观察响应是否有数据库报错信息测试越权修改用户ID参数为他人ID发送看是否能访问他人数据。它的界面分为左右两栏左请求右响应非常直观。你可以同时打开多个Repeater标签页对比测试不同场景。6.2 Intruder入侵者自动化模糊测试当你想对某个参数进行大量、系统的测试时比如暴力破解登录密码、遍历目录、检测SQL注入的各类Payload手动在Repeater里改太累了。Intruder就是干这个的自动化工具。基本使用流程定位攻击点从“Proxy history”或“Target”站点地图中右键选择一个请求发送到Intruder。选择攻击类型在Intruder的“Positions”标签页Burp会自动用§符号标记一些它认为可能是参数的变量。你可以清除所有Clear §然后手动选中你想测试的值如密码字段点击“Add §”将其标记为攻击载荷位置。顶部有四种攻击模式Sniper对单个位置依次使用载荷列表。最常用。Battering ram多个位置使用相同的载荷。Pitchfork每个位置使用不同的载荷列表需载荷集数量与位置数相同。Cluster bomb每个位置使用不同的载荷列表并进行笛卡尔积组合穷举所有组合。配置载荷切换到“Payloads”标签页。根据你的测试目的选择载荷类型。最简单的就是“Simple list”你可以手动添加如admin,123456,password也可以从文件加载一个密码字典。开始攻击点击右上角的“Start attack”。Intruder会弹出一个新窗口自动用载荷替换标记位置并发起大量请求。分析结果攻击窗口会列出所有请求和响应。你可以根据响应长度、状态码、返回内容关键词等来排序和筛选找出异常响应比如登录成功的响应可能长度不同或包含“欢迎”字样。注意事项使用Intruder进行暴力破解等操作必须获得明确授权且要注意频率避免对目标服务器造成拒绝服务攻击DoS。在测试自己搭建的靶场或获得授权的测试环境中进行。6.3 Decoder解码器与Comparer对比器这两个是小而美的工具。Decoder用于对各种编码、哈希进行解码和编码。比如你看到一个参数是%E4%B8%AD%E6%96%87丢进Decoder选择URL decode立刻得到“中文”。支持Base64、URL、HTML、Hex、ASCII以及各种哈希算法MD5、SHA1等的编码/解码/哈希计算。Comparer用于对比两段文本或二进制数据的差异。在安全测试中非常有用比如对比登录成功和失败时服务器返回的响应有何细微差别或者对比修改某个参数前后响应的变化。它支持单词对比和字节对比两种模式并用颜色高亮显示差异。7. 常见问题排查与解决实录在实际操作中你一定会遇到各种问题。这里汇总了新手最常见的几个“坑”及其解决方案。7.1 问题浏览器显示“连接被重置”或“无法连接到代理服务器”可能原因1BurpSuite代理未运行或监听端口错误。排查检查BurpSuite“Proxy” - “Options”中127.0.0.1:8080的监听器是否处于“Running”状态。尝试修改监听端口如8090并同步修改浏览器代理设置。可能原因2浏览器代理设置错误。排查确认浏览器插件或系统代理设置的IP和端口与Burp监听的一致。检查是否有其他软件如某些VPN、其他抓包工具如Fiddler占用了8080端口。可以在命令行运行netstat -ano | findstr :8080(Windows) 或lsof -i :8080(macOS/Linux) 查看端口占用情况。可能原因3防火墙或安全软件阻止。排查暂时关闭Windows Defender防火墙或其他第三方安全软件如360、电脑管家试试。将BurpSuite添加到防火墙的白名单中。7.2 问题能抓到HTTP包但HTTPS包是乱码或显示“Client TLS handshake failed”可能原因1CA证书未安装或未正确信任。排查这是最常见的原因。请严格按照4.1节的步骤重新下载并安装CA证书到“受信任的根证书颁发机构”。安装后务必重启浏览器。对于手机抓包确保证书已正确安装到系统证书区安卓可能需要Root。可能原因2目标网站使用了HSTSHTTP严格传输安全或证书绑定。排查对于HSTS可以尝试在浏览器中访问chrome://net-internals/#hsts(Chrome/Edge)在“Delete domain security policies”中删除该域名然后重启浏览器再试。对于严格的证书绑定常规方法无效需使用更高级的绕过技术。可能原因3Burp的TLS协议版本不匹配。排查进入BurpSuite “Proxy” - “Options” - 编辑监听器 - 点击“Request handling”标签页 - 找到“Support invisible proxying”并勾选。同时在“TLS”设置中可以尝试勾选所有TLS版本1.0, 1.1, 1.2, 1.3以增加兼容性。7.3 问题手机/模拟器无法连接Burp代理可能原因1电脑防火墙。排查确保电脑的防火墙允许入站连接对8080端口或你设置的端口的访问。可以在防火墙设置中新建一条入站规则允许TCP端口8080。可能原因2IP地址错误。排查确认手机和电脑连接的是同一个Wi-Fi网络不能一个连Wi-Fi一个用网线且在不同网段。在电脑上用ipconfig获取的是无线网卡的IP而不是以太网卡的IP。可能原因3代理设置未保存。排查在手机Wi-Fi设置中配置代理后有时需要忘记网络重新连接或者重启Wi-Fi开关才能生效。7.4 问题BurpSuite拦截Intercept开启后浏览器页面一直加载中可能原因请求被拦截但未在Burp中操作。解决这很正常因为请求被Burp暂停了。你需要切换到BurpSuite的“Proxy” - “Intercept”标签页看到被拦截的请求后点击Forward放行或者Drop丢弃。如果你不想拦截当前请求可以直接在Burp里点击Intercept is on将其关闭浏览器请求就会继续。7.5 问题如何保存和加载项目状态BurpSuite社区版不支持保存项目文件.burp但你可以通过以下方式间接保存工作保存配置Project options和User options中的设置可以导出为JSON文件。保存流量Proxy-HTTP history中的记录可以全选后右键Save selected items保存为XML文件以后可以导入回放。但更推荐使用Logger模块社区版可用进行更灵活的日志记录。复制信息重要的请求可以右键Copy to file保存为单个文件。8. 安全与伦理正确使用抓包技能最后也是最重要的一点我们必须严肃讨论抓包技术的使用边界。能力越大责任越大。仅用于授权测试绝对不要对任何你没有明确书面授权授权测试范围、时间、目标的网站、App或系统进行抓包和渗透测试。这不仅是道德问题更是违法行为如《网络安全法》、《刑法》中关于非法侵入计算机信息系统罪的规定。搭建自己的测试环境学习阶段最好的方式是自己在本地搭建靶场。例如OWASP的WebGoat、DVWA或者使用一些在线的合法攻防演练平台如HackTheBox、PentesterLab的某些免费靶场。在这些环境中你可以放心大胆地使用所有技术而无需担心法律风险。尊重隐私抓包过程中你可能会看到一些敏感数据如他人的会话Cookie、个人信息。在测试授权系统时也应妥善处理这些数据避免泄露。用于正向目的将这项技能用于安全研究、漏洞挖掘并通过正规渠道提交漏洞报告、开发调试、接口分析等合法合规的场景。抓包是网络安全技术的基石是一把钥匙。希望这篇超详细的入门指南能帮你顺利打开这扇门在合法合规的道路上探索更广阔的技术世界。记住遇到问题多搜索善用“BurpSuite 如何...”加上你的错误信息、多实践每一个坑踩过去都是宝贵的经验。
BurpSuite抓包入门：从零掌握HTTP/HTTPS流量分析与移动端抓包
发布时间：2026/6/24 7:26:04
1. 项目概述为什么你需要掌握BurpSuite抓包如果你对网络安全、渗透测试或者仅仅是好奇手机App和网站后台到底在“聊”些什么感兴趣那么抓包工具就是你不可或缺的“眼睛”和“耳朵”。在众多工具中BurpSuite无疑是这个领域的瑞士军刀功能强大且生态成熟。但很多新手面对它复杂的界面和英文环境往往第一步就被劝退了。这篇教程的目的就是帮你跨过这个门槛用最直白的方式从零开始让你不仅能装上BurpSuite更能用它抓到第一个数据包看懂里面最基本的信息。简单来说抓包就是截获并分析你的设备电脑或手机与服务器之间传输的网络数据。这就像在邮局截获并拆开一封封信件查看里面的内容。BurpSuite扮演的就是这个“邮局检查员”的角色。无论是测试一个网页表单的安全性还是逆向分析某个App的API接口抓包都是最基础、最核心的第一步。网上教程很多但要么过于简略要么一上来就讲高阶功能对小白极不友好。我将结合自己踩过的无数坑带你走一遍最稳妥、最清晰的入门路径。2. 环境准备与BurpSuite安装工欲善其事必先利其器。在开始抓包之前我们需要搭建一个合适的环境。这个过程看似简单但却是新手最容易出错的地方很多“连接不上”、“证书问题”都源于此。2.1 获取BurpSuite社区版足矣首先你需要下载BurpSuite。直接访问PortSwigger官网搜索“BurpSuite官网下载”即可找到这是最安全、最推荐的渠道避免第三方渠道带来的捆绑软件或后门风险。官网提供了两个主要版本专业版Professional和社区版Community。对于入门学习社区版完全足够。它包含了核心的代理Proxy、爬虫Spider、重放Repeater和入侵者Intruder等模块这些正是我们抓包和分析的基础。专业版提供了更强大的自动化扫描和高级漏洞检测功能那是等你成为进阶玩家后再考虑的事情。下载时根据你的操作系统选择。对于Windows用户建议下载.exe安装包macOS用户下载.dmgLinux用户则可以选择.sh安装脚本或.jar通用包。我个人的习惯是无论什么系统都保留一个.jar版本因为用Java命令运行最为灵活尤其是在需要指定内存等参数时。2.2 安装与首次运行避开第一个坑安装过程就是一路“Next”没什么好说的。安装完成后首次运行BurpSuite它会让你选择临时项目还是保存项目。对于新手直接选择“Temporary project”临时项目即可然后点击“Next”直到看到主界面。这里你会遇到第一个可能的问题BurpSuite的启动速度。社区版启动相对较慢尤其是第一次启动时因为它需要初始化环境并检查更新。请耐心等待如果长时间卡住可以尝试以管理员身份运行或者检查网络连接是否正常。主界面默认是英文的。虽然网上有很多“BurpSuite汉化”教程和汉化包但我强烈不建议新手使用汉化版。原因有三第一汉化包可能版本不匹配导致界面错乱或功能异常第二几乎所有权威资料、漏洞报告和技术讨论都使用英文术语提前熟悉英文界面有利于你后续深入学习第三汉化有时并不准确可能误导你对功能的理解。克服最初的陌生感后你会发现英文界面并不复杂。2.3 配置系统与浏览器代理BurpSuite的核心是代理服务器。它需要在你的电脑上开启一个本地端口默认是127.0.0.1:8080监听经过的网络流量。因此我们需要告诉系统和浏览器将流量发送到这个代理上。1. 配置操作系统代理可选但推荐在系统设置中配置代理可以让绝大多数应用程序包括一些不遵循浏览器代理设置的软件的流量都经过Burp。以Windows为例打开“设置” - “网络和Internet” - “代理”。在“手动设置代理”下打开“使用代理服务器”。地址填写127.0.0.1端口填写8080。切记不要勾选“对于本地地址不使用代理服务器”这个框不要打勾。因为我们的Burp就运行在本地127.0.0.1如果勾选了本地流量就无法被捕获。注意配置系统代理后你所有的网络流量都会尝试走Burp。如果Burp没开或者卡住了可能会导致你无法上网。因此在不用Burp抓包时记得回来关闭这个系统代理。2. 配置浏览器代理更常用、更灵活我更推荐使用浏览器插件来管理代理这样可以在抓包和正常浏览之间快速切换。以Chrome或Edge为例安装插件如“SwitchyOmega”或“FoxyProxy”。在插件中新建一个情景模式命名为“Burp”。代理协议选择HTTP 代理服务器为127.0.0.1端口8080。然后你可以通过点击插件图标快速在“直接连接”和“Burp代理”模式间切换。这样只有当你需要抓包时才将浏览器流量导向Burp不影响其他软件的正常使用。3. 核心原理BurpSuite如何工作在动手之前花几分钟理解原理能让你在遇到问题时知道从哪里排查。BurpSuite作为一个中间人Man-in-the-Middle, MITM代理其工作流程可以概括为以下几步监听Burp在本地127.0.0.1:8080启动一个代理服务器等待流量。转发你将浏览器或系统的代理设置为指向Burp。当你访问一个网站比如http://test.com时请求不再直接发给test.com的服务器而是先发给了本机的Burp。拦截与修改可选Burp的“拦截”Intercept功能如果开启会暂停这个请求让你查看甚至修改其中的参数比如把密码从123改成admin然后再决定是放行还是丢弃。转发请求Burp将可能被你修改过的请求原样转发给目标服务器test.com。接收响应服务器处理请求后将响应数据网页内容、JSON数据等发回给Burp。拦截与修改响应可选同样如果响应拦截开启你可以查看或修改服务器返回的数据。返回客户端Burp最终将响应数据返回给你的浏览器浏览器渲染出页面。整个过程Burp就像一个透明的“中转站”和“检查站”。而要实现对HTTPS流量的解密和查看这是抓包中最关键的部分还需要安装BurpSuite的CA证书到你的设备受信任的根证书颁发机构中。否则你只能看到一堆加密的乱码。我们会在下一节详细讲解证书安装。4. 实战抓取第一个HTTP/HTTPS数据包理论说再多不如动手试一次。让我们完成一次完整的抓包流程目标是抓取一个HTTP请求和响应。4.1 安装BurpSuite的CA证书这是抓取HTTPS流量的关键步骤也是问题高发区。如果不安装证书浏览器会因证书不被信任而中断HTTPS连接你会看到“您的连接不是私密连接”等错误。步骤确保BurpSuite正在运行并且代理监听已开启默认就是开启的。在你的浏览器中已配置好代理指向Burp访问http://burpsuite或http://127.0.0.1:8080。这会打开BurpSuite自带的证书下载页面。点击“CA Certificate”按钮下载cacert.der证书文件。安装证书到系统受信任的根证书区Windows双击下载的.der文件选择“安装证书” - “当前用户” - “将所有的证书都放入下列存储” - “浏览” - 选择“受信任的根证书颁发机构” - 完成。macOS双击.der文件会打开“钥匙串访问”。找到刚导入的证书通常叫PortSwigger CA双击它在“信任”设置中将“使用此证书时”设置为“始终信任”。浏览器有时还需要在浏览器的证书管理器中单独导入该证书Chrome/Edge使用系统证书库一般不需要。实操心得安装证书后务必重启浏览器。很多同学卡在HTTPS抓不到包就是因为证书安装后没有重启浏览器生效。另外如果你更换了BurpSuite比如重装或换了版本可能需要删除旧的证书并重新安装。4.2 配置BurpSuite代理监听与拦截回到BurpSuite主界面顶部菜单栏找到“Proxy”标签页其下有几个子标签Intercept拦截开关。Intercept is on表示开启拦截所有流经代理的请求/响应会被暂停Intercept is off表示关闭拦截流量直接通过。HTTP history历史记录。所有经过Burp的请求和响应都会在这里留下记录即使拦截关闭。这是你后续分析的主要窗口。Options代理监听设置。这里可以查看和修改代理监听器。默认情况下Burp已经设置好了一个监听127.0.0.1:8080的代理。我们通常不需要改动。现在确保“Intercept”标签页下的拦截是关闭状态Intercept is off。4.3 抓取并分析一个简单请求发起请求打开你的浏览器确保代理已设置为Burp访问一个简单的HTTP网站比如http://httpbin.org/get。这是一个专门用于测试HTTP请求的网站。查看历史切换回BurpSuite点击“Proxy” - “HTTP history”。你应该能看到一条记录目标主机是httpbin.org。分析请求点击这条记录下方会分成左右两栏。右栏的“Request”显示了你浏览器发出的原始请求。你可以看到请求行GET /get HTTP/1.1表示使用GET方法请求路径是/get协议是HTTP/1.1。请求头Headers包含Host、User-Agent你的浏览器标识、Accept等关键信息。请求体Body对于这个GET请求体是空的。如果是POST提交表单参数会在这里。分析响应点击右栏的“Response”可以看到服务器返回的数据。通常是JSON格式里面回显了你的请求头等信息。恭喜你已经完成了第一次被动抓包这只是在“记录”流量。接下来我们试试更有趣的——主动拦截和修改。4.4 拦截并修改请求重放攻击初体验开启拦截在BurpSuite的“Proxy” - “Intercept”标签页点击Intercept is off按钮将其变为Intercept is on。触发请求回到浏览器刷新刚才的页面http://httpbin.org/get或者访问一个新页面。拦截请求此时浏览器会卡住等待响应。因为请求被Burp拦截了。切回BurpSuite你会看到被拦截的请求详情显示在“Intercept”标签页。修改请求在请求头区域你可以随意修改。例如在请求头末尾添加一行X-Custom-Header: HackedByMe。放行请求点击Forward按钮将修改后的请求发送给服务器。查看结果浏览器页面加载完成。你可以回到“HTTP history”找到最新的那条记录查看“Response”。在服务器返回的JSON中你应该能在headers字段里找到你添加的X-Custom-Header及其值。这个简单的操作模拟了攻击者修改请求参数的过程。比如将商品价格从100元改为1元然后提交订单就是基于这个原理。5. 抓包进阶应对复杂场景与移动端抓包掌握了基础抓包后你会遇到更实际的需求抓取手机App的流量或者处理一些难以抓包的应用如微信小程序、使用了证书绑定的App。5.1 抓取手机App流量原理和抓电脑浏览器一样让手机的流量经过电脑上运行的BurpSuite代理。前提是手机和电脑需要在同一个局域网连接同一个Wi-Fi。步骤查询电脑的局域网IP在电脑上打开命令提示符CMD或终端输入ipconfigWindows或ifconfigmacOS/Linux找到无线局域网适配器的IPv4地址例如192.168.1.105。配置Burp监听所有接口默认Burp只监听127.0.0.1本机手机无法连接。需要修改监听设置。进入“Proxy” - “Options”。找到“Proxy Listeners”列表编辑默认的那条127.0.0.1:8080。将“Bind to address”从“Loopback only”改为“All interfaces”或直接指定你的电脑局域网IP如192.168.1.105。点击“OK”。在手机上安装Burp的CA证书这是最关键也是最麻烦的一步。因为手机系统对证书安装有更严格的限制。在手机浏览器中访问http://你的电脑IP:8080例如http://192.168.1.105:8080。点击“CA Certificate”下载证书文件。安卓手机通常需要将文件后缀改为.crt以便识别。安卓进入“设置” - “安全/更多安全设置” - “加密与凭据” - “安装证书” - “CA证书”找到下载的文件并安装。对于Android 7.0及以上如果App设置了网络安全配置仅安装用户证书可能不够还需要将证书安装到系统证书区这通常需要Root权限。iOS下载后进入“设置” - “已下载的描述文件”安装然后在“设置” - “通用” - “关于本机” - “证书信任设置”中完全信任刚刚安装的根证书。配置手机Wi-Fi代理在手机的Wi-Fi设置中长按当前连接的Wi-Fi选择“修改网络” - “高级选项” - “代理”选择“手动”主机名填电脑IP192.168.1.105端口填8080。测试在手机上打开浏览器访问一个HTTP网站查看BurpSuite的“HTTP history”是否有记录。避坑指南手机抓包失败十有八九是证书问题。常见现象是HTTP能抓到HTTPS全是乱码或连接失败。请务必确认1. 手机和电脑在同一网络2. 手机正确安装了CA证书且是Burp当前运行实例的证书如果重装过Burp证书会变3. 对于某些App尤其是银行、支付类它们可能使用了证书绑定SSL Pinning技术会校验服务器证书是否与预设的匹配导致即使安装了Burp证书也无法解密。对付证书绑定需要更高级的手段如使用Xposed框架、Frida等工具进行Hook这超出了入门范围。5.2 使用雷电模拟器等安卓模拟器抓包在电脑上使用安卓模拟器如雷电模拟器、夜神模拟器运行手机App并抓包是另一种非常方便的方式因为它避免了复杂的手机网络配置和证书安装问题。步骤以雷电模拟器为例在电脑上安装并启动雷电模拟器。模拟器内设置代理模拟器的网络和实体手机类似。进入模拟器的“设置” - “WLAN” - 长按已连接的“WiredSSID”网络 - “修改网络” - 显示高级选项 - 代理选择“手动”代理服务器主机名填写你电脑的局域网IP注意不是127.0.0.1因为对于模拟器来说Burp运行在宿主电脑上需要填宿主电脑的IP端口8080。在模拟器中安装Burp CA证书在模拟器内置浏览器中访问http://burpsuite或http://电脑IP:8080下载证书。安装过程与实体安卓手机类似。配置Burp监听所有接口同手机抓包步骤2。在模拟器中运行目标AppBurpSuite即可捕获流量。这种方法的好处是环境可控截图、文件传输方便非常适合学习和测试。5.3 处理微信小程序等特殊场景微信小程序的抓包原理和普通App一样但因为它运行在微信这个“超级App”内部有时会遇到困难。你需要确保的是微信这个App本身的流量经过了Burp代理。按照上述手机抓包的步骤配置好手机全局代理并安装好证书后理论上就能抓到小程序的流量。但同样微信或小程序本身可能启用证书绑定。如果遇到HTTPS流量无法解密的情况可以尝试以下方法使用老版本的微信可能证书绑定较弱。使用专门处理证书绑定的工具在已Root的手机上配合使用。尝试抓取小程序的HTTP流量有时一些配置、图片资源等仍在使用HTTP。6. 核心模块详解Proxy以外的实用工具BurpSuite不止能抓包它是一套工具集。了解其他几个核心模块能极大提升你的测试效率。6.1 Repeater重放器手动测试利器这是我最常用的模块之一堪称“手动测试的瑞士军刀”。在“HTTP history”中右键点击任意一条请求选择“Send to Repeater”该请求就会被发送到Repeater模块。在Repeater中你可以随意修改请求的任何部分URL、参数、头、体。多次发送修改后的请求每次只需点击“Send”。实时对比不同请求对应的响应。用于测试比如手动测试SQL注入你可以修改id1为id1发送观察响应是否有数据库报错信息测试越权修改用户ID参数为他人ID发送看是否能访问他人数据。它的界面分为左右两栏左请求右响应非常直观。你可以同时打开多个Repeater标签页对比测试不同场景。6.2 Intruder入侵者自动化模糊测试当你想对某个参数进行大量、系统的测试时比如暴力破解登录密码、遍历目录、检测SQL注入的各类Payload手动在Repeater里改太累了。Intruder就是干这个的自动化工具。基本使用流程定位攻击点从“Proxy history”或“Target”站点地图中右键选择一个请求发送到Intruder。选择攻击类型在Intruder的“Positions”标签页Burp会自动用§符号标记一些它认为可能是参数的变量。你可以清除所有Clear §然后手动选中你想测试的值如密码字段点击“Add §”将其标记为攻击载荷位置。顶部有四种攻击模式Sniper对单个位置依次使用载荷列表。最常用。Battering ram多个位置使用相同的载荷。Pitchfork每个位置使用不同的载荷列表需载荷集数量与位置数相同。Cluster bomb每个位置使用不同的载荷列表并进行笛卡尔积组合穷举所有组合。配置载荷切换到“Payloads”标签页。根据你的测试目的选择载荷类型。最简单的就是“Simple list”你可以手动添加如admin,123456,password也可以从文件加载一个密码字典。开始攻击点击右上角的“Start attack”。Intruder会弹出一个新窗口自动用载荷替换标记位置并发起大量请求。分析结果攻击窗口会列出所有请求和响应。你可以根据响应长度、状态码、返回内容关键词等来排序和筛选找出异常响应比如登录成功的响应可能长度不同或包含“欢迎”字样。注意事项使用Intruder进行暴力破解等操作必须获得明确授权且要注意频率避免对目标服务器造成拒绝服务攻击DoS。在测试自己搭建的靶场或获得授权的测试环境中进行。6.3 Decoder解码器与Comparer对比器这两个是小而美的工具。Decoder用于对各种编码、哈希进行解码和编码。比如你看到一个参数是%E4%B8%AD%E6%96%87丢进Decoder选择URL decode立刻得到“中文”。支持Base64、URL、HTML、Hex、ASCII以及各种哈希算法MD5、SHA1等的编码/解码/哈希计算。Comparer用于对比两段文本或二进制数据的差异。在安全测试中非常有用比如对比登录成功和失败时服务器返回的响应有何细微差别或者对比修改某个参数前后响应的变化。它支持单词对比和字节对比两种模式并用颜色高亮显示差异。7. 常见问题排查与解决实录在实际操作中你一定会遇到各种问题。这里汇总了新手最常见的几个“坑”及其解决方案。7.1 问题浏览器显示“连接被重置”或“无法连接到代理服务器”可能原因1BurpSuite代理未运行或监听端口错误。排查检查BurpSuite“Proxy” - “Options”中127.0.0.1:8080的监听器是否处于“Running”状态。尝试修改监听端口如8090并同步修改浏览器代理设置。可能原因2浏览器代理设置错误。排查确认浏览器插件或系统代理设置的IP和端口与Burp监听的一致。检查是否有其他软件如某些VPN、其他抓包工具如Fiddler占用了8080端口。可以在命令行运行netstat -ano | findstr :8080(Windows) 或lsof -i :8080(macOS/Linux) 查看端口占用情况。可能原因3防火墙或安全软件阻止。排查暂时关闭Windows Defender防火墙或其他第三方安全软件如360、电脑管家试试。将BurpSuite添加到防火墙的白名单中。7.2 问题能抓到HTTP包但HTTPS包是乱码或显示“Client TLS handshake failed”可能原因1CA证书未安装或未正确信任。排查这是最常见的原因。请严格按照4.1节的步骤重新下载并安装CA证书到“受信任的根证书颁发机构”。安装后务必重启浏览器。对于手机抓包确保证书已正确安装到系统证书区安卓可能需要Root。可能原因2目标网站使用了HSTSHTTP严格传输安全或证书绑定。排查对于HSTS可以尝试在浏览器中访问chrome://net-internals/#hsts(Chrome/Edge)在“Delete domain security policies”中删除该域名然后重启浏览器再试。对于严格的证书绑定常规方法无效需使用更高级的绕过技术。可能原因3Burp的TLS协议版本不匹配。排查进入BurpSuite “Proxy” - “Options” - 编辑监听器 - 点击“Request handling”标签页 - 找到“Support invisible proxying”并勾选。同时在“TLS”设置中可以尝试勾选所有TLS版本1.0, 1.1, 1.2, 1.3以增加兼容性。7.3 问题手机/模拟器无法连接Burp代理可能原因1电脑防火墙。排查确保电脑的防火墙允许入站连接对8080端口或你设置的端口的访问。可以在防火墙设置中新建一条入站规则允许TCP端口8080。可能原因2IP地址错误。排查确认手机和电脑连接的是同一个Wi-Fi网络不能一个连Wi-Fi一个用网线且在不同网段。在电脑上用ipconfig获取的是无线网卡的IP而不是以太网卡的IP。可能原因3代理设置未保存。排查在手机Wi-Fi设置中配置代理后有时需要忘记网络重新连接或者重启Wi-Fi开关才能生效。7.4 问题BurpSuite拦截Intercept开启后浏览器页面一直加载中可能原因请求被拦截但未在Burp中操作。解决这很正常因为请求被Burp暂停了。你需要切换到BurpSuite的“Proxy” - “Intercept”标签页看到被拦截的请求后点击Forward放行或者Drop丢弃。如果你不想拦截当前请求可以直接在Burp里点击Intercept is on将其关闭浏览器请求就会继续。7.5 问题如何保存和加载项目状态BurpSuite社区版不支持保存项目文件.burp但你可以通过以下方式间接保存工作保存配置Project options和User options中的设置可以导出为JSON文件。保存流量Proxy-HTTP history中的记录可以全选后右键Save selected items保存为XML文件以后可以导入回放。但更推荐使用Logger模块社区版可用进行更灵活的日志记录。复制信息重要的请求可以右键Copy to file保存为单个文件。8. 安全与伦理正确使用抓包技能最后也是最重要的一点我们必须严肃讨论抓包技术的使用边界。能力越大责任越大。仅用于授权测试绝对不要对任何你没有明确书面授权授权测试范围、时间、目标的网站、App或系统进行抓包和渗透测试。这不仅是道德问题更是违法行为如《网络安全法》、《刑法》中关于非法侵入计算机信息系统罪的规定。搭建自己的测试环境学习阶段最好的方式是自己在本地搭建靶场。例如OWASP的WebGoat、DVWA或者使用一些在线的合法攻防演练平台如HackTheBox、PentesterLab的某些免费靶场。在这些环境中你可以放心大胆地使用所有技术而无需担心法律风险。尊重隐私抓包过程中你可能会看到一些敏感数据如他人的会话Cookie、个人信息。在测试授权系统时也应妥善处理这些数据避免泄露。用于正向目的将这项技能用于安全研究、漏洞挖掘并通过正规渠道提交漏洞报告、开发调试、接口分析等合法合规的场景。抓包是网络安全技术的基石是一把钥匙。希望这篇超详细的入门指南能帮你顺利打开这扇门在合法合规的道路上探索更广阔的技术世界。记住遇到问题多搜索善用“BurpSuite 如何...”加上你的错误信息、多实践每一个坑踩过去都是宝贵的经验。
)
