BurpSuite 2025.6 操作指南

一、环境安装与配置

1. 系统要求

• Java 21+：强制要求（旧版不支持）

• 支持平台：Windows（x64/ARM64）、macOS（Intel/ARM）、Linux（x64/ARM64）

2. 安装步骤

1. 下载安装包：

• 官方下载地址：Burp Suite Pro 2025.6 

• 或第三方资源（需验证安全性）

• Windows：双击 .exe 文件，按向导完成。

• Linux/macOS：执行 .sh 或 .dmg 安装脚本。

• 启动后选择手动激活（Manual Activation），复制请求码至注册机生成响应码。

3. 证书配置（抓HTTPS流量）

1. 导出证书：

• Burp → Proxy → Options → Import/export CA certificate → 导出 DER 格式证书。

• Firefox：设置 → 隐私与安全 → 查看证书 → 导入并勾选“信任此CA”。

• Chrome：设置 → 安全 → 管理证书 → 导入至“受信任的根证书颁发机构”。

4. 代理设置

• 浏览器代理：使用插件（如 SwitchyOmega）配置 127.0.0.1:8080。

• 移动端抓包：手机WiFi代理设置为电脑IP + 端口 8080，并安装Burp CA证书

二、核心模块操作详解

1. Proxy（代理拦截）

• 拦截请求：Proxy → Intercept → 开启 Intercept is on，浏览器请求将被暂停，可修改后 Forward 或 Drop。

• 历史记录：HTTP history 查看所有流量，支持按状态码、URL关键词过滤。

2. Target（目标管理）

• 作用域设置：Target → Scope → 添加域名（如 *.example.com），避免非目标干扰。

• 站点地图：右键域名 → Expand branch 展开所有目录，快速分析站点结构。

3. Repeater（请求重放）

• AI自定义操作（2025.6新增）：

• 右键请求 → Send to Repeater → 点击 Custom Actions → 选择AI模板（如解释文本、编码转换）。

• 示例：自动Base64编码图像数据，用于测试AI模型API输入。

# AI自定义操作示例：Base64编码def encode_base64(input_text):    import base64    return base64.b64encode(input_text.encode()).decode()

4. Intruder（参数爆破）

• 四类攻击模式：

  模式	适用场景	AI测试用例
  Sniper	单参数轮替（如API密钥爆破）	批量测试对抗样本Fuzzing
  Cluster bomb	多参数组合（如用户名+密码）	同时篡改输入参数与模型ID2

• Payload配置：

• 使用预定义字典（如 XSS/SQLi）或自定义列表。

• 启用 Payload Processing 自动Base64编码（适配图像API）。

5. Scanner（漏洞扫描 - Pro版）

• AI增强扫描：

• 右键目标 → Active Scan，2025.6支持爬取与审计并行，效率提升30%。

• 重点检测项：

• 注入漏洞：SQLi、NoSQLi（尤其关注模型输入参数）。

• 敏感信息泄露：API密钥、训练数据暴露。

三、AI功能专项应用（2025.6版）

1. AI驱动的安全测试

• 对抗样本测试流程：

1. 生成对抗样本（如FGSM攻击图像）。

2. Base64编码后通过Proxy发送至模型API。

3. 观察响应：分类错误即攻击成功。

• 在Intruder中加载对抗样本数据集，批量发送并分析置信度变化。

2. AI积分与隐私

• 积分消耗：AI操作按请求复杂度计费（余额显示于右下角AI图标）。

• 数据安全：所有AI请求在Burp安全基础设施处理，数据不用于模型训练。

四、高阶实战技巧

1. API安全测试

• GraphQL渗透：

• 发送内省查询检测敏感字段：

{"query":"{ __schema { types { name fields { name } } }"}

• 批量查询攻击：复制100次子查询探测速率限制。

• gRPC测试：安装 Burp-gRPC 插件，加载 .proto 文件解析二进制流量。

2. WAF绕过

• 分块传输编码：使用 Chunked Coding Converter 插件绕过SQLi检测。

• IP伪造：添加头部 X-Forwarded-For: 随机IP 绕过速率限制。

3. 企业级集成

• CI/CD流水线：

# GitLab CI 示例burp_scan:  image: burpsuite/pro:latest  script:    - java -jar burpsuite_pro.jar --scan --config-file=scan.json

• 配置文件 scan.json 定义目标URL和检测项（如SQLi/XSS）。

• 自定义插件开发：使用 Montoya API 开发扫描插件（示例：检测API密钥泄露）。

五、常见问题解决

资源扩展：

• 官方文档：PortSwigger Academy

• 插件生态：BApp Store安装 Logger++（流量记录）、AutoRepeater（自动化测试）。本指南基于 Burp Suite 2025.6 编写，持续关注更新日志获取最新特性。

近七天上传文件列表

扫码加入知识星球：网络安全攻防（HVV）

下载本篇和全套资料

HVV（红队蓝队资料、威胁情报、技战法）

渗透测试、漏洞、代码审计、APT、DDOS、

勒索病毒、CTF、逆向