# Burp Suite 抓包与安全测试工作流（标准化实操流程，适配Web渗透、OWASP Top10复现） > 适用：本地靶场测试；**严禁未经授权抓取、测试公网业务站点** > 核心思路：信息收集 → 抓包代理配置 → 流量记录 → 人工测试（Repeater）→ 自动化Payload测试（Intruder）→ 漏洞验证 → 证据留存 ## 前置准备 1. Burp 代理监听：Proxy → Settings → Proxy Listeners，默认`127.0.0.1:8080` 2. 浏览器：独立浏览器 + FoxyProxy插件，一键切换代理开关 3. HTTPS抓包前提：代理开启状态，访问`http://burp`下载CA证书，导入浏览器并信任 4. 目标：DVWA / Pikachu / Vulhub Web靶场，确认网络互通 ## 完整工作流（7步） ### 步骤1：前期信息收集（Burp外，Nmap+目录扫描） - Nmap：探测IP、端口、Web服务版本 - 目录扫描：ffuf / dirsearch 扫描后台、备份文件、接口路径 > 作用：拿到待测试URL清单，再进入Burp抓包测试 ### 步骤2：代理开启，捕获流量 1. 打开FoxyProxy，启用代理（127.0.0.1:8080） 2. Burp → Proxy → Intercept：`Intercept is off`（默认放行，先收集全部流量） 3. 打开HTTP history，访问靶场网站，浏览全站点页面 > HTTP history 自动记录所有请求响应；静态资源（图片、css、js）建议过滤，减少干扰 > 过滤设置：HTTP History过滤器，勾选Hide image、Hide css、Hide javascript > 如需拦截修改请求：把Intercept切换为`on`，浏览器发包会暂停在Burp，手动修改请求包后Forward放行。 ### 步骤3：梳理请求，筛选待测试入口 从HTTP history筛选可测试点： - GET参数：`?id=1`、`?user=xxx`（注入、XSS、越权） - POST表单：登录框、搜索框、文件上传表单 - Cookie、请求头、JSON接口（现在前后端分离项目高频） - 后台管理接口 操作：选中目标请求，`Ctrl+R`发送到Repeater（重放器） ### 步骤4：Repeater 手工漏洞验证（核心，OWASP漏洞验证主力） Repeater用来**修改请求、重复发包，观察响应差异** 通用测试思路： 1. 原始包发送，保存原始响应作为基准 2. 修改参数，插入Payload： - SQL注入：`' and 1=1-- -` - XSS：`` - 目录遍历：`../` 3. 发送请求，对比响应包（Comparer工具对比两次返回差异） 4. 判断漏洞是否存在，**留存请求+响应截图**（报告证据） > 测试要点： > - 观察状态码、页面回显、报错信息、返回长度 > - 区分：页面单纯回显payload ≠ 漏洞可利用（如XSS被CSP拦截） ### 步骤5：Intruder 自动化批量测试（爆破/参数遍历） 适用场景：弱口令爆破、ID越权遍历、验证码暴力测试 1. 在Repeater的请求包，标记要替换的位置，用`§ §`包裹标记payload位置 2. 发送到Intruder 3. Payload配置： - Sniper（狙击手：单变量，最常用） - Battering ram（撞锤：多位置使用相同payload） - Pitchfork（干草叉：多变量，一一对应） - Cluster bomb（集群炸弹：多变量笛卡尔积，组合最多） 4. 加载字典/数字序列，开始攻击 5. 根据响应长度、状态码、关键词筛选异常结果 > ⚠️ 社区版限制：无多线程，速度很慢；仅靶场练习。 ### 步骤6：辅助工具联动（Decoder / Comparer） - Decoder：URL、Base64、HTML实体编码/解码，对Payload编码调试 - Comparer：对比两个响应包的差异，盲注、布尔注入、越权判断非常好用 - Logger：记录所有请求，方便回溯 ### 步骤7：漏洞确认、证据整理、清理环境 1. 复现漏洞，保留完整请求包、响应包、页面截图 2. 记录：URL、参数、Payload、影响范围、修复建议 3. 测试完毕：关闭浏览器代理，关闭Burp项目，清理靶场环境 ## 常用漏洞标准测试思路（Burp内操作） 1. **SQL注入**：参数后加单引号，看是否报错；再用and 1=1 / and 1=2判断布尔注入 2. **反射XSS**：插入``，观察是否执行弹窗，检查CSP 3. **文件上传**：上传php脚本，修改Content-Type、文件名后缀绕过前端校验 4. **水平越权**：修改请求里用户ID，看是否能查看他人数据（Comparer对比响应） 5. **CSRF**：抓包查看请求是否校验token，Cookie是否设置SameSite ## 高频踩坑清单 1. HTTPS证书报错：未导入Burp CA证书，或者导入时没有勾选信任 2. 抓不到127.0.0.1：浏览器代理例外列表把localhost/127.0.0.1排除，需要删掉 3. 提交payload页面无变化：要看Burp响应包，不要只看浏览器页面渲染结果 4. 重复静态资源太多：开启HTTP history过滤，隐藏图片、css/js 5. Intruder爆破大量请求导致靶场卡顿：降低请求速率，仅本地靶场使用 ## 精简工作流一句话 > 收集资产 → 代理抓包收集流量 → 筛选接口送入Repeater手工测漏洞 → Intruder批量遍历/爆破 → 验证漏洞留存证据。 ## 推荐练习顺序 1. HTTP基础，GET/POST请求修改（Repeater） 2. XSS反射型、存储型 3. SQL注入 4. 文件上传漏洞 5. 水平越权 6. CSRF 7. 弱口令爆破（Intruder）