# Burp Suite 实验环境配置备忘 > 用途：Web安全学习、OWASP Top10漏洞复现；仅用于本地靶场（DVWA、JuiceShop、Vulhub），**禁止抓包公网非授权网站**。 > 推荐组合：Burp + Firefox/Chrome + 本地靶场（虚拟机） ## 一、基础环境准备 1. Burp版本：Community（社区版，免费，无主动扫描，适合学习） / Professional专业版 2. 浏览器：Firefox 推荐（独立配置，不污染本机代理），也可用Chrome 3. 靶场：DVWA、OWASP Juice Shop、Vulhub Web靶场 4. 网络：靶场虚拟机与宿主机同网段，宿主机可访问靶场Web页面 ## 二、Burp代理配置 ### 1）Burp监听端口 - Proxy → Settings → Proxy Listeners → Add - Bind to port：`8080` - Bind to address：`127.0.0.1`（仅本机访问） > 如果是虚拟机浏览器访问宿主机Burp：填写宿主机内网IP，例如`192.168.1.100` ### 2）浏览器代理设置（Firefox推荐） 设置 → 网络设置 → 手动代理配置 - HTTP代理：`127.0.0.1`，端口`8080` - 勾选：也将此代理用于HTTPS和FTP - 例外：`localhost,127.0.0.1`（**默认要去掉！靶场如果是127.0.0.1，不抓包就是这个原因**） > 推荐插件：FoxyProxy，一键切换代理开关（非常实用） ## 三、HTTPS抓包（导入Burp CA证书【最容易踩坑】） 1. Burp打开：`http://burp`（浏览器代理开启状态访问） 2. 页面右上角下载 `cacert.der` 证书 3. Firefox：设置 → 隐私与安全 → 证书 → 查看证书 → 证书颁发机构 → 导入 - 选择cacert.der，勾选【信任此CA颁发的网站证书】 4. 导入成功后，HTTPS页面不再报证书错误，Burp可解密HTTPS流量 > 排坑： > - 证书导入后依然报错：确认浏览器代理正常、证书勾选信任、重启浏览器 > - Chrome导入：设置 → 隐私和安全 → 安全 → 管理证书 → 受信任的根证书颁发机构 ## 四、核心模块基础备忘 ### Proxy（代理） - Intercept：**拦截开关**（on=拦截请求，off=直接放行） - HTTP history：所有http/https流量记录，可筛选、重放 - WebSockets：抓包websocket流量 ### Repeater（重放器） 核心实验模块，修改请求包，重复发送Payload，验证注入、越权、XSS。 快捷键：选中请求 → `Ctrl+R` 发送到Repeater ### Intruder（爆破器） 用于密码爆破、参数遍历。 1. 选中要爆破的位置，`§`标记payload位置 2. Payload类型：字典、数字序列、字符替换 3. 配置payload集合，开始攻击 > 社区版限制：无多线程，速度慢 ### Decoder（编码解码） URL、Base64、HTML实体、Hex、Unicode，XSS/注入Payload编码调试。 ### Comparer（对比器） 对比两个响应包差异，判断布尔型SQL注入、判断是否存在越权。 ## 五、常用靶场访问示例 - DVWA：`http://192.168.x.x/dvwa` - JuiceShop：`http://127.0.0.1:3000` - Vulhub SQLi靶场：`http://192.168.x.x:8080` ## 六、常用实验配置项 1. 关闭Burp自动更新（社区版避免弹窗） 2. Project options → HTTP → Redirections：跟随重定向（Repeater按需开启） 3. Project options → TLS：默认设置，遇到特殊证书报错可勾选`Don't check` 4. 过滤器：HTTP history里过滤状态码、MIME类型，过滤静态图片/js/css，只看接口请求 ## 七、高频问题排查清单 1. 浏览器无法访问网页：代理端口不一致；Burp监听器没启动 2. HTTPS页面证书风险：未导入Burp CA证书，或者导入未勾选信任 3. 抓不到localhost：浏览器代理例外列表里删掉`127.0.0.1` 4. 发包无响应：靶场虚拟机防火墙拦截、靶场服务未启动、IP不通 5. 提交payload页面无变化：确认拦截放行，查看响应包看后端返回内容 6. 中文乱码：Burp设置→Display→字体编码，选择UTF-8 ## 八、安全红线 1. 只能抓自己搭建的本地靶场流量 2. 严禁对任何公网网站、业务系统抓包、注入、爆破，属于违法行为 3. 不要用Burp访问网银、企业后台等敏感站点 ## 九、推荐实验顺序（OWASP Top10配套练习） 1. HTTP基础、请求修改（Repeater） 2. XSS（反射型/存储型） 3. SQL注入 4. 文件上传漏洞 5. 越权访问 6. SSRF 7. CSRF 8. 弱口令爆破（Intruder）