新手必看！BurpSuite浏览器抓包完整操作流程

关注

原创最新推荐文章于 2026-04-30 16:23:48 发布 813 阅读 AI 写同款· GEO 优化 ›

Burp抓包工具--是渗透测试最重要的工具主要是讲述了关于burp抓包工具的相关操作和相关选项的内容和含义。阅读详情

声明：以下所讲操作只能在合法授权的场景试验（如自己搭建的靶场、企业授权的测试项目），严禁用于未授权的网站，违反《中华人民共和国网络安全法》将承担法律责任！

对于Web安全新手来说，BurpSuite抓包是入门的第一步——所谓“抓包”，就是拦截浏览器与服务器之间的HTTP/HTTPS请求和响应，看清数据传输的全过程，这也是后续漏洞测试、参数修改的基础。很多新手卡在抓包配置上，要么拦截不到包，要么HTTPS网站报错，今天就用“步骤+图片”的形式，手把手教你完成BurpSuite浏览器抓包，全程无复杂操作，新手也能一次成功！

说明：本文以BurpSuite社区版（免费，新手首选）为例，适配Chrome、Edge、Firefox三大主流浏览器，操作逻辑一致；重点讲解“浏览器抓包”核心流程，不涉及安装、高级配置，所有图片均对应实操场景。

一、抓包前准备（2步搞定，奠定基础）

抓包前只需做好2个准备，避免后续出现拦截失败、报错等问题，这一步是新手最容易忽略的，一定要仔细看！

准备1：启动BurpSuite，确认默认代理配置

1. 启动BurpSuite后，会弹出初始引导界面，直接点击「Next」，再点击「Start Burp」，进入主界面（无需修改任何默认设置）；

2. 进入主界面后，点击顶部的「Proxy」（代理）模块，再切换到「Intercept」（拦截）标签页，此时会看到「Intercept is off」（拦截未开启），暂时不用开启，先确认代理监听配置；

3. 切换到「Options」（选项）标签页，找到「Proxy Listeners」（代理监听器），默认会有一个监听配置：地址「127.0.0.1」（本地回环地址），端口「8080」，状态为「Running」（运行中），如果状态是「Stopped」，点击「Start」启动即可，无需修改地址和端口（这是BurpSuite默认的监听端口，后续浏览器要和这个端口保持一致）。

准备2：关闭浏览器代理干扰（关键一步）

很多新手抓不到包，就是因为浏览器开启了其他代理（如VPN、插件代理），导致流量没有经过BurpSuite。操作如下：

1. 以Chrome浏览器为例，点击右上角三个点 → 「设置」 → 搜索「代理」 → 点击「打开您的计算机的代理设置」；

2. 在弹出的系统代理设置中，确保「自动检测设置」开启，「使用代理服务器」关闭（如果开启，点击关闭并保存）；

3. Edge、Firefox操作逻辑一致：Edge同Chrome，Firefox点击右上角三横线 → 「设置」 → 「常规」 → 下滑找到「网络设置」 → 「设置」 → 关闭代理服务器。

二、核心步骤：浏览器代理配置（让流量经过BurpSuite）

这一步是抓包的核心——我们需要告诉浏览器：“所有网络请求，都先发送给BurpSuite处理”，配置方法有两种，新手优先选「插件配置法」（简单高效，不易出错），也可以用「手动配置法」（适配所有浏览器）。

方法1：插件配置法（推荐，Chrome/Edge首选）

用插件（SwitchyOmega）快速配置代理，不用每次手动修改，后续切换代理也方便，步骤如下：

1. 打开Chrome/Edge浏览器，在应用商店搜索「SwitchyOmega」，安装该插件（如果无法访问应用商店，可自行搜索插件安装包，新手也能轻松找到）；

2. 安装完成后，点击浏览器右上角的插件图标（圆环形状），选择「选项」，进入插件配置界面；

3. 左侧点击「新建情景模式」，名称填写「Burp抓包」（自定义，好记即可），类型选择「代理服务器」，点击「创建」；

4. 右侧配置代理参数：协议选择「HTTP」，服务器填写「127.0.0.1」，端口填写「8080」（和BurpSuite的监听端口完全一致），其他选项默认，点击「应用更改」；

5. 再次点击插件图标，选择「Burp抓包」，此时插件图标会变色（表示已启用），浏览器代理配置完成。

方法2：手动配置法（适配Firefox/无插件场景）

如果不想安装插件，可手动配置浏览器代理，以Firefox为例（Chrome/Edge也可参考）：

1. 打开Firefox浏览器，点击右上角三横线 → 「设置」 → 下滑找到「网络设置」，点击「设置」；

2. 在弹出的窗口中，选择「手动配置代理」，HTTP代理填写「127.0.0.1」，端口填写「8080」；

3. 勾选「为所有协议使用相同的代理服务器」，点击「确定」，手动代理配置完成。

三、关键步骤：安装HTTPS证书（解决网页不安全报错）

配置完代理后，访问HTTPS网站（如百度、淘宝）会出现「网页不安全」「证书错误」，无法正常访问，这是因为BurpSuite拦截HTTPS流量时，需要浏览器信任其CA证书，步骤如下（所有浏览器通用）：

1. 确保BurpSuite处于运行状态，且浏览器已启用Burp代理（插件或手动配置完成）；

2. 打开浏览器，在地址栏输入「http://127.0.0.1:8080」（BurpSuite的本地监听地址），回车后会进入BurpSuite的证书下载界面；

3. 点击界面右上角的「CA Certificate」，下载证书文件（默认文件名：cacert.der，无需修改保存路径，记住保存位置即可）；

4. 导入证书到浏览器（以Chrome为例）：

① 点击浏览器右上角三个点 → 「设置」 → 搜索「证书」 → 点击「管理设备证书」；

② 在弹出的窗口中，切换到「受信任的根证书颁发机构」标签页，点击「导入」；

③ 点击「下一步」，选择刚才下载的证书文件（如果找不到，将文件类型改为「所有文件」），继续点击「下一步」；

④ 弹出“是否信任该证书”的提示，点击「是」，最后点击「完成」，证书导入成功；

5. Edge、Firefox导入逻辑一致：Edge同Chrome；Firefox点击「设置」 → 搜索「证书」 → 「查看证书」 → 「证书颁发机构」 → 「导入」，按提示完成即可。

四、最终操作：开始抓包（实战演示，一看就会）

所有配置完成后，就可以正式抓包了，步骤非常简单，全程可视化，新手也能快速上手：

1. 回到BurpSuite主界面，点击「Proxy」 → 「Intercept」标签页，点击「Intercept is off」，使其变为「Intercept is on」（开启拦截）；

2. 打开浏览器，访问任意网站（如百度：https://www.baidu.com），此时浏览器会一直处于“加载中”，无法打开网页——这说明抓包成功！BurpSuite已经拦截到了浏览器发送的请求；

3. 回到BurpSuite，在「Intercept」标签页中，就能看到拦截到的HTTP/HTTPS请求包，里面包含请求方法（GET/POST）、URL、请求头、请求体等关键信息（新手无需深究，能看到请求内容即表示抓包成功）；

4. 抓包后的基础操作（新手必学）：

Forward（放行）：点击该按钮，将拦截到的请求发送给服务器，浏览器就能正常加载网页；
Drop（丢弃）：点击该按钮，丢弃当前拦截的请求，浏览器会加载失败；
Intercept is off（关闭拦截）：点击关闭拦截后，浏览器能正常访问网站，BurpSuite会自动记录所有请求（在「HTTP history」标签页中查看）；
修改请求：拦截到请求后，可直接修改请求中的参数（如URL中的id、请求体中的内容），修改后点击「Forward」，就能看到服务器对修改后请求的响应（后续漏洞测试常用）。

五、新手常见问题解决（避坑必看）

很多新手配置完后，会遇到“抓不到包”“HTTPS报错”等问题，这里整理了3个最常见的问题，附解决方法，帮你快速避坑：

问题1：浏览器加载网页，BurpSuite拦截不到请求？解决方法：① 检查浏览器代理是否启用（插件是否切换到「Burp抓包」模式，手动配置是否正确）；② 检查BurpSuite的Proxy监听是否处于「Running」状态；③ 关闭浏览器的VPN、其他代理插件，关闭电脑防火墙；④ 确认BurpSuite监听端口（8080）未被其他软件占用，若占用，可修改BurpSuite的监听端口（在Proxy→Options中修改），并同步修改浏览器代理端口。
问题2：访问HTTPS网站，提示“证书错误”“网页不安全”？解决方法：① 重新导入BurpSuite的CA证书，确保导入到「受信任的根证书颁发机构」标签页（不要导入到“个人”标签页）；② 重启浏览器，再次访问网站；③ 若仍报错，删除原有证书，重新下载并导入。
问题3：拦截到请求后，点击Forward，浏览器仍无法加载？解决方法：① 检查是否有多个请求被拦截，依次点击Forward，放行所有请求；② 关闭BurpSuite的被动扫描（新手无需开启，在Scanner→Options中关闭）；③ 恢复BurpSuite默认设置（Burp→Restore defaults），重新配置代理和证书。