Burp Suite on SoulJian小站

Burp Suite 深度实战：模块、插件与配置

Sat, 29 Aug 2026 23:50:00 +0800

写在前面：合法学习边界

Burp 仅用于授权测试。对非授权目标爆破、扫描可能触犯法律。

一、Burp 的定位

Burp 是 Web 渗透的“瑞士军刀”，核心是抓包改包 + 丰富的测试模块。

1

核心流程：Proxy 抓包 → Repeater 改包重放 → Intruder 爆破/fuzz

二、核心模块

1. Proxy（代理）

1
2
3
4


浏览器/APP 指向 Burp（127.0.0.1:8080）
抓 HTTPS 需装 Burp CA 证书
HTTP History：看历史请求
Intercept：拦截改包

2. Repeater（重放）

1
2


改包后反复发送，验证漏洞
渗透最常用的模块

3. Intruder（爆破/fuzz）

1
2
3


对参数做字典爆破/遍历
位置标记：§
场景：弱口令、ID 遍历、参数 fuzz

4. Decoder / Comparer

1
2


Decoder：编码解码（Base64/URL/Hex…）
Comparer：对比响应差异

5. Sequencer

1
2


分析 Token/Session 随机性
测会话可预测性

6. Extender（扩展）

1
2


加载插件（BApp 商店 + 外部 jar/python）
Burp 强大的核心在于扩展

三、常用插件（BApp 商店）

1
2
3
4
5


403bypasser：绕过 403 访问控制
Retire.js：检测过期 JS 库
WSDLer：接口发现
各种编码/解密插件
sqlmap 联动插件（调用 sqlmap）

四、关键配置

抓 HTTPS

1
2
3


代理端口 8080
设备装 Burp CA 证书
安卓 7+/iOS 需额外处理证书信任（见抓包文章）

上游代理 / 联动

1
2


Settings → Connections → Upstream Proxy
可串联 Yakit、公司出口代理

会话处理

1
2


Session Handling：自动带 Cookie/Token
Macros：自动完成登录获取会话

五、与工具联动

1
2
3
4


1. Burp 抓包 → 右键 Copy as curl → 喂给别的工具
2. Intruder 结果 → 手动验证
3. 导出请求 → sqlmap -r req.txt
4. Burp 被动流量 → nuclei/xray 补测

六、实战流程

1
2
3
4
5


1. Proxy 抓包，理清功能与接口
2. Repeater 手工测注入/越权/逻辑
3. Intruder 爆破/遍历
4. 插件 + 联动工具补全
5. 记录证据写报告

完整操作步骤

1
2
3
4
5


第 1 步：配置代理并装 CA 证书，抓 HTTPS
第 2 步：Proxy 摸清功能与接口
第 3 步：Repeater 手工测注入/越权/逻辑
第 4 步：Intruder 爆破/遍历参数
第 5 步：装插件 + 与 sqlmap/nuclei 联动

七、小结

Burp 的价值是“抓包 + 改包 + 扩展”。新手常用 Proxy/Repeater 就够了，进阶要用 Intruder 和 Extender 插件。它会和 sqlmap、nuclei、Yakit 联动，组合起来才是完整效率。熟练 Repeater 手工测试，是判断渗透水平的分水岭。

APP 抓包配置实战（Android / iOS）

Sat, 29 Aug 2026 21:10:00 +0800

写在前面：合法学习边界

抓包只用于授权目标。APP 流量含用户数据，非授权抓取可能违反法律与平台规则。

一、APP 抓包难点

APP 比 Web 更难抓包，难点集中：

1
2
3
4
5


1. HTTPS 加密 → 需装 CA 证书
2. 安卓 7+ 用户证书不被系统信任
3. iOS 需要手动信任证书
4. APP 做证书固定（SSL Pinning）
5. APP 检测代理（反抓包）

二、工具选择

1
2
3
4


抓包：Burp Suite（功能全）/ Charles（可视化好）/ mitmproxy（命令行+脚本）
绕过 Pinning：frida + objection / Xposed + JustTrustMe
环境：模拟器（雷电/MuMu/Genymotion）或真机
辅助：adb、Magisk、Cydia（iOS 越狱）

三、Android 抓包

第 1 步：Burp 开代理（127.0.0.1:8080）

第 2 步：设备连代理

1
2
3


WiFi 手动代理 → 电脑局域网 IP:8080
模拟器用 adb 也可：
adb shell settings put global http_proxy 192.168.x.x:8080

第 3 步：装 CA 证书

1
2
3
4
5


浏览器访问 http://burp/ → 下载 cacert.der → 改名 .cer 安装
安卓 7+ 系统应用不信任用户证书：
 方法1：安卓 7 以内模拟器
 方法2：root 后把证书转系统证书（openssl 转 pem → 放 /system/etc/security/cacerts）
 方法3：Magisk 模块 / JustTrustMe

第 4 步：验证

1

# 装好后，Burp 里能解密 APP 的 HTTPS 请求

四、iOS 抓包

第 1 步：连代理

1

WiFi 手动代理 → 电脑 IP:8080

第 2 步：安装并信任证书

1
2
3


Safari 访问 http://burp/ → 下载描述文件 → 安装
设置 → 通用 → 关于本机 → 证书信任设置 → 开启对 Burp 的完全信任
（iOS 10.3+ 必须手动信任，否则无效）

第 3 步：验证

五、绕过 SSL Pinning

装了证书仍抓不到 → APP 证书固定。常见绕过：

frida + objection（Android/iOS 通用）

1
2
3
4
5
6


pip install frida-tools objection
# 设备连接后
frida-ps -U
objection -g com.example.app explore
android sslpinning disable # Android
ios sslpinning disable # iOS

Xposed + JustTrustMe

1
2


安卓：Xposed 装 JustTrustMe 模块，全局禁用校验
iOS：越狱 + SSL Kill Switch 2 / 或 frida

六、绕过代理检测（反抓包）

有些 APP 检测系统代理，发现代理就拒绝联网。绕过：

1
2
3


方法1：不用系统代理，用 iptables 透明代理转发到 Burp
方法2：Proxifier / ProxyDroid 把 APP 流量强制代理
方法3：抓包工具走 VPN 模式（Charles 支持）

七、常见坑

1
2
3
4
5


安卓证书装了没效果 → 系统证书问题，用 JustTrustMe/系统证书
iOS 信任了还不行 → Pinning，用 frida/SSL Kill Switch
只有 CONNECT 无内容 → 证书没信任
APP 闪退/拒绝连接 → 代理检测，换透明代理
双 factor/风控 → 抓包动作别太频繁

影响与风险

APP 抓包被滥用会导致：

1
2
3


用户数据与接口泄露
支付/业务逻辑被篡改
隐私合规风险

测试能力本身中性，必须限定授权范围。

八、检测与防御（蓝队）

1
2
3
4


敏感接口证书固定
检测代理/模拟器/root（风控）
服务端鉴权与频控
抓包审计与告警

修复

1
2
3
4


敏感接口证书固定
检测代理/模拟器/root（风控）
服务端鉴权与频控
抓包流量审计告警

九、小结

APP 抓包 = 代理 + 证书信任 + 绕过 Pinning。Android 卡在“系统证书”，iOS 卡在“手动信任”，后面都卡在“Pinning”。把这套流程和 frida/objection 用熟，基本能覆盖绝大多数 APP 的 HTTPS 流量。

小程序抓包配置实战（Burp + 模拟器/真机）

Sat, 29 Aug 2026 21:00:00 +0800

写在前面：合法学习边界

抓包只用于授权目标。小程序流量常含用户数据，非授权抓取可能违反平台规则与法律。

一、为什么小程序抓包“难”

小程序请求大多走 HTTPS，且微信内置客户端对证书有校验，常见两个拦路虎：

1
2


1. HTTPS 加密 → 需要装 CA 证书才能解密
2. 证书固定（SSL Pinning）/ 代理检测 → 装上证书也抓不到

难点全在“证书信任”和“绕过校验”这两步，配置对了就能看到明文请求。

二、环境准备

1
2
3
4
5
6


Burp Suite（或 Charles/mitmproxy）
微信（手机/模拟器上）
模拟器：雷电 / MuMu / 逍遥（安卓 7 以内证书好处理）
或真机（安卓/iOS）
可选：Frida / objection（绕过 Pinning）
可选：Proxifier（电脑上抓微信流量）

三、方案 A：模拟器 + Burp（推荐入门）

第 1 步：Burp 开启代理

1
2


Burp → Proxy → Options → Proxy Listeners
确认监听 127.0.0.1:8080

第 2 步：模拟器网络代理指向 Burp

1
2


模拟器设置 → WLAN → 长按网络 → 修改网络
代理设 手动，主机填电脑局域网 IP（如 192.168.x.x），端口 8080

注意：模拟器要和电脑同一网络，别用 127.0.0.1（那是模拟器自己）。

第 3 步：下载并安装 CA 证书

1
2
3


模拟器浏览器访问 http://burp/ → 下载 cacert.der
把 .der 改名为 .cer
设置 → 安全 → 从存储设备安装证书

第 4 步：安卓 7+ 的关键坑

安卓 7.0 之后，用户安装的证书默认不被系统应用信任（微信算系统级信任问题）。解决：

1
2
3


方法1：用安卓 7 以内的模拟器（雷电默认可）
方法2：root 后把证书装进系统证书库
方法3：Magisk 模块 / JustTrustMe（见第五节）

第 5 步：验证

1

打开微信 → 进入小程序 → 操作 → Burp HTTP History 里看到明文请求

四、方案 B：真机 + Burp

1
2
3
4
5


手机和电脑同一 WiFi
手机 WiFi 代理设为电脑 IP:8080
浏览器访问 http://burp/ 下载证书并安装
安卓 7+ 仍需解决系统证书信任问题（root + 系统证书 或 绕过）
iOS：安装描述文件后，还要去 设置→通用→关于本机→证书信任设置 里手动信任

五、绕过 SSL Pinning / 代理检测

当装了证书仍抓不到（小程序的流量），通常是证书固定或代理检测：

Frida 方案（需 root/越狱或模拟器）

1
2
3
4
5
6
7


# 安装 frida + objection
pip install frida-tools objection
frida-ps -U # 看微信进程
# 用 objection 启动微信并禁用 ssl pinning
objection -g com.tencent.mm explore
# 在 objection 里执行
android sslpinning disable

Xposed / JustTrustMe

1
2


模拟器装 Xposed 框架
装 JustTrustMe 模块 → 全局禁用证书校验

代理检测绕过

1
2
3


有的小程序检测“系统代理是否开启”
方案1：用 Proxifier 把微信进程流量强制走 Burp，不设系统代理
方案2：透明代理 / iptables 转发

六、方案 C：电脑微信 + Proxifier

1
2
3
4


电脑上登录微信 → 打开小程序
Burp 监听 127.0.0.1:8080
Proxifier 添加规则：微信进程 → 走 127.0.0.1:8080
微信内置浏览器流量也会被捕获

适合没有手机/模拟器时快速抓包，但部分微信内部流量仍抓不到。

七、常见坑与排错

1
2
3
4
5


抓到 CONNECT 但没内容 → 证书没装/没信任
提示证书无效 → 证书格式/系统信任问题
能看到别的 APP 抓不到小程序 → SSL Pinning，用 Frida/JustTrustMe
完全没流量 → 代理没生效，检查模拟器/Proxifier 规则
页面报网络错误 → 先断开代理确认是代理问题

影响与风险

抓包配置一旦被用于非授权目标：

1
2
3


用户数据（手机号/订单/支付）泄露
接口被批量调用、越权利用
触发平台风控与法律风险

本身是测试能力，边界在于授权。

八、检测与防御（蓝队视角）

1
2
3
4


小程序对敏感接口做证书固定
检测代理/模拟器环境（风控）
接口服务端鉴权与频控，不依赖前端
对抓包流量做审计告警

修复

1
2
3
4


小程序对敏感接口做证书固定
检测代理/模拟器环境
服务端鉴权与频控
对抓包流量审计告警

九、小结

小程序抓包的套路是固定的：代理 → 证书 → 绕过 Pinning。把模拟器/真机的代理和证书配置吃透，再掌握 Frida/JustTrustMe 绕校验，几乎所有小程序的 HTTPS 流量都能解开。这是小程序渗透的第一道门槛，值得反复练习。

Burp Suite 基础

Sat, 29 Aug 2026 05:25:00 +0800

写在前面：合法学习边界

Burp Suite 是 Web 安全测试中常用的代理与测试工具。本文只讲解在授权范围内如何使用。请不要把代理抓包、请求篡改、爆破或漏洞验证用于未经授权的网站、企业内网或其他人系统。所有操作都应限定在自建靶场、公司授权测试环境或明确书面授权的目标上。

一、Burp Suite 是什么

Burp Suite 本质是一个 HTTP/HTTPS 代理和 Web 安全测试平台。它能截获浏览器与服务器之间的请求，修改请求，重放请求，帮助分析应用行为。

核心模块包括：

1
2
3
4
5
6
7


Proxy
Repeater
_intruder
scanner
decoder
comparator
extender

二、基本工作流

1. 配置浏览器代理

将浏览器代理指向本机代理端口，例如：

1

127.0.0.1:8080

2. 开启代理

在 Burp 的 Proxy 模块中启用 HTTP/HTTPS 代理。

3. 安装证书

HTTPS 抓包需要安装 Burp CA 证书，并让浏览器信任它。

4. 抓包与分析

访问目标后，可在 Proxy 中看到请求和响应。

三、Repeater 的用途

Repeater 适合手动重放请求，观察参数变化后的响应差异。

常见用途：

1
2
3
4


观察响应差异
测试参数边界
验证鉴权逻辑
测试越权访问

四、_intruder 的用途

_intruder 可用于自动化参数替换，例如字典测试、边界测试、枚举路径。

但必须强调：字典测试和爆破只能在授权范围内进行。

五、Burp Suite 在安全测试中的位置

Burp Suite 不是“自动找漏洞”的魔法工具，而是帮助你观察和验证 Web 行为的工具。真正的判断仍然依赖对业务逻辑、鉴权设计、输入处理和错误处理的理解。

六、使用建议

1
2
3
4


先理解业务，再测试参数
先看响应，再判断风险
先保留证据，再做进一步验证
不要把自动扫描结果直接当成最终结论

七、小结

Burp Suite 的价值在于可观察、可重放、可分析。它让初学者能看清请求流，也能帮助有经验的人验证边界条件。但工具只是辅助，安全判断仍然要回到业务和逻辑。