Burp Suite 新手入门（抓包改包基础教程）

关注

原创 2026-09-28 15:20:48 254 阅读 AI 写同款· GEO 优化 ›

Burp Suite 新手入门（抓包改包基础教程）

免责声明：Burp Suite 工具仅用于本地靶场（DVWA、Pikachu）以及厂商 SRC 公示授权资产的安全测试。严禁使用本工具对任何未授权的公网网站、APP 接口进行扫描、抓包、渗透测试，违规操作将触犯《网络安全法》，一切法律责任由使用者自行承担。

前言

学会漏洞原理，看懂 Payload，只是 Web 安全入门的第一步。真实漏洞挖掘，绝大多数操作都离不开 Burp Suite（简称 Burp）。很多新手会陷入一个误区：Burp 就是一个扫描器，打开一键扫漏洞。这是完全错误的认知。
Burp 核心能力并不是自动扫描，而是拦截 HTTP 数据包、修改请求参数、重放请求、分析请求与响应。SRC 挖洞、靶场复现注入 / XSS / 文件上传，最核心的操作就是抓包和改包。扫描功能只是附加功能，新手优先掌握手动抓包改包，而不是依赖扫描。

本篇面向零基础小白，只讲最核心的代理抓包、修改数据包、重放功能，附带常见踩坑点，配合 DVWA、Pikachu 靶场同步练习。

一、Burp 基础概念：代理是什么？

简单理解：Burp 相当于中间人。浏览器的网络请求，先经过 Burp，Burp 把数据包拦截下来，你可以查看内容、修改参数，再把数据包转发给目标 Web 服务器；服务器返回的响应，同样先经过 Burp，再回传给浏览器。

浏览器 ↔ Burp 代理 ↔ Web 服务器

HTTP 数据包分为两大部分：请求包（Request） 和响应包（Response）

请求包：浏览器发给服务器的数据，包含访问地址、Cookie、提交的表单参数、UA 等；漏洞测试，绝大多数修改操作都在请求包里完成。
响应包：服务器返回给浏览器的数据，网页 HTML、JS 代码、接口返回的 JSON 数据，我们从响应包判断漏洞是否触发。

二、Burp 环境准备与代理配置

1. Burp 版本选择

新手推荐使用社区版（免费），足够学习抓包改包、重放，只是没有自动扫描的全量功能、请求速率有限。不要一上来就追求专业破解版，学习基础操作社区版完全够用。

2. 浏览器代理设置（两种方案）

不建议直接修改系统代理，推荐使用浏览器插件：FoxyProxy，可以一键切换代理开关，练习时打开，日常浏览网页关闭，非常方便。

Burp 默认代理地址：127.0.0.1，端口：8080

配置步骤：

打开 FoxyProxy，新建代理配置，IP 填写 127.0.0.1，端口 8080，协议 HTTP。
开启代理规则，浏览器流量转发到 Burp。
打开 Burp，切换到Proxy标签页，Settings，确认代理监听地址127.0.0.1:8080，勾选Loopback only（仅本地，安全）。

重要：访问 HTTPS 网站会报证书不安全，需要安装 Burp CA 证书。
证书安装步骤：

浏览器开启代理，访问http://burp
页面点击下载 CA 证书 cacert.der
Windows 双击证书，安装到受信任的根证书颁发机构
安装完成，重启浏览器，HTTPS 数据包才能正常抓包。
如果不安装证书：HTTP 页面可以抓包，HTTPS 页面会拦截，无法解析数据包内容。

三、核心模块介绍（新手只需要先掌握这 4 个模块）

Proxy（代理）：核心，拦截、查看、修改实时数据包。最常用。
Repeater（重放器）：把抓到的数据包复制过来，反复修改参数、发送请求，对比响应结果。靶场复现、SRC 手工测漏洞必备。
HTTP history（HTTP 历史记录）：所有经过代理的请求全部保存，方便回头翻找之前的数据包，查找隐藏接口、JS 请求。
Decoder（编码解码）：URL 编码、HTML 编码，构造 Payload 时经常用到。

其他模块（Scanner、Intruder）新手暂时不用深入，先把 Proxy+Repeater 吃透。

四、实操 1：基础抓包

Burp 打开，进入 Proxy -> Intercept，Intercept is on（拦截开启）
浏览器开启 FoxyProxy 代理，访问 Pikachu 或者 DVWA 页面
浏览器页面卡住，请求被 Burp 拦截，Proxy 面板看到捕获的请求包

按钮说明：

Forward：转发数据包，发给服务器
Drop：丢弃数据包，不再发送
Change request method：切换 GET/POST
Raw：原始数据包视图（推荐新手看 Raw，最直观）
Params：自动提取请求参数

小技巧：日常浏览页面不想每一次请求都拦截，可以把 Intercept 切换为Intercept is off，数据包依然会保存到 HTTP history，只是不会暂停页面。只有需要修改数据包的时候，再打开拦截。

五、实操 2：改包（最核心！文件上传漏洞经典案例）

以 Pikachu 文件上传模块举例，演示抓包改包绕过前端校验。

进入文件上传页面，选择一张 jpg 图片，点击上传。
Burp 拦截这个上传请求。
在 Raw 面板，找到文件名 filename="test.jpg"，修改后缀为test.php。
点击 Forward 转发数据包。

原理：前端 JS 只在浏览器做后缀校验，抓包之后，直接修改传给后端的文件名，前端校验直接绕过。这就是文件上传最基础的前端绕过。

改包学习重点：

GET 请求：参数放在 URL 中，修改 URL 后面的参数
POST 表单请求：参数放在请求体（Header 下面的空白区域）
JSON 接口：请求体是 JSON 格式，直接修改 JSON 里面的 value 值，注意引号语法不能破坏。

六、实操 3：Repeater 重放器，反复测试 Payload

Repeater 是漏洞测试最常用的功能，不用反复在页面提交表单。
操作步骤：

Proxy 抓到数据包，右键数据包 → Send to Repeater（快捷键 Ctrl+R）
切换到 Repeater 标签，数据包已经复制进来
修改请求里面的参数，构造 Payload，点击Send发送请求
右侧面板就是服务器返回的响应包，查看响应内容判断漏洞是否触发

示例：SQL 注入测试
原始参数 id=1，修改为id=1'，Send 发送。观察响应包页面是否出现数据库报错，判断是否存在注入点。
优势：可以快速更换 Payload，对比每次响应的差异，不需要反复在网页输入。

七、HTTP History 挖掘隐藏接口

很多新手只会抓页面上手动点击产生的请求，忽略 HTTP History。
网页加载时，JS 会自动请求后端接口，这些接口往往藏在历史记录里。在 SRC 挖洞时，很多未授权接口、越权接口就是在 HTTP history 里面找到的。

可以按响应状态码筛选：200 正常、401 未授权、404 不存在
查看请求类型，区分静态资源和业务接口
右键数据包同样可以发送到 Repeater 测试

八、新手高频踩坑 & 排错

浏览器开启代理之后无法上网
排查：确认 Burp 正在运行；确认代理 IP 和端口是 127.0.0.1:8080；关闭 Burp 之后记得关闭 FoxyProxy，否则正常网页打不开。
HTTPS 请求抓到数据包，内容是乱码，提示证书问题
解决：安装 Burp CA 根证书，一定要安装到受信任根证书，普通个人证书存储位置无效。
抓包的时候，页面一直转圈，无法加载
大概率 Intercept 一直开着，所有请求都被拦截，要么 Forward 放行，要么直接关闭 Intercept 拦截。
修改数据包之后，发送请求一直报错
重点检查：修改参数的时候破坏语法。比如 JSON 数据包，引号少写，逗号缺失；URL 参数特殊字符没有编码。可以使用 Decoder 模块做 URL 编码。
抓到数据包，但是找不到参数
切换到 Raw 原始视图，新手不要只看简化视图，Raw 是最完整原始请求，学习阶段优先看 Raw。

九、配套练习建议（结合之前靶场）

在 DVWA Low 级别文件上传，抓包修改文件名后缀，完成前端绕过。
在 Pikachu SQL 注入模块，抓包，用 Repeater 不断修改 id 参数，观察页面响应差异。
XSS 模块，抓包修改提交的参数，注入<script>alert(1)</script>，看响应是否原样回显。
练习完成之后，尝试找接口 Cookie 参数，理解 Cookie 在请求包中的位置，理解 CSRF 的请求特征。

学习顺序：抓包 → 看懂请求响应 → 修改参数 → Repeater 反复测试。不要急着学习爆破、扫描。

小结

Burp 本质是数据包观测与修改工具。Web 安全手工测试，核心就是观察请求、修改可控参数、对比响应变化。
掌握抓包改包，你才算真正从 “纸上看漏洞” 进入到 “实战测试漏洞”。当你可以熟练使用 Proxy 和 Repeater 在 DVWA、Pikachu 复现五大基础漏洞，后续 SRC 挖掘的基础操作就全部打通。
记住：工具是辅助，漏洞思维才是核心，不要依赖 Scanner 一键扫描。