Repeater 高级用法：批量测试接口漏洞小技巧

Repeater 高级用法：批量测试接口漏洞小技巧

免责声明：本文内容仅用于授权环境下 Web 安全学习、企业内部接口安全测试。禁止在未取得目标书面授权的业务系统进行任何漏洞测试，未经授权测试属于违法行为，所有操作风险由使用者自行承担。本文基于 Burp Suite 专业版，部分高级分组并发发送功能仅专业版可用。

前言

绝大多数人对 Repeater 的认知停留在：抓包 → Send to Repeater → 修改参数 → Send 单次发包。
但在接口渗透、SRC 挖洞、权限越权测试场景，经常要面对大量接口批量验证：

• 一批接口，替换用户 ID 批量测试水平越权；
• 多个相似 API，测试未授权访问；
• 并发请求测试竞态条件；
• 多步骤接口（登录→拿 token→调用业务接口）链式测试。

很多同学遇到这种场景直接上 Intruder，但 Intruder 适合单一请求爆破；Repeater 新版的标签分组、批量发送、会话宏、变量、响应对比，更适合多接口、多步骤、多场景人工批量验证漏洞。
本文整理实战高频技巧，全部是接口测试场景落地的 Repeater 高级玩法，配合前面学过的 Burp 插件、Xray 联动一起使用，效率大幅提升。

前置：Burp Suite 专业版；熟悉基础 Repeater 发包、HTTP History。

一、Repeater 标签分组（Tab Groups），批量管理接口

当一次测试十几个接口，标签栏一堆请求很容易混乱。Repeater 支持创建标签分组，给同类接口归类，并且支持一键批量发送整组请求，是批量测试的基础。

1. 创建分组

1. Repeater 标签栏，点击+新建标签按钮，选择Create tab group；
2. 填写分组名称，例如：越权测试接口组、未授权API；选择标记颜色，方便视觉区分；
3. 勾选需要加入本组的标签，完成创建；
4. 后续已有标签：右键标签 → Add tab to group，加入已有分组。

分组会随 Burp 项目保存，重启项目不会丢失。

2. 批量发送整组请求（核心批量功能）

选中分组内任意标签，Send 按钮旁边下拉箭头，有三种发送模式：

1. Send group in sequence（single connection）：串行单连接，依次发送，复用 TCP 连接，适合顺序依赖接口（登录接口先执行，再调用业务接口）；
2. Send group in sequence（separate connections）：串行独立连接，每次新建连接；
3. Send group in parallel【并发发送】：同时一次性发送分组内全部请求，专门用来测试竞态条件、并发漏洞，比如优惠券重复领取、订单重复提交。

实战场景举例：
把 10 条修改用户信息的接口放到同一个分组，选择并行发送，一键触发并发，检查后端是否存在竞态漏洞。

注意：并发发送不要一次性开几十条，容易把目标打崩，靶场环境控制数量。

3. 分组管理小技巧

• 右键分组标签，可以一键关闭组内其他标签，只保留当前；
• 复制整组标签：选中标签右键Duplicate tab批量复制，修改参数做对比测试；
• 不同业务风险单独分组：未授权一组、越权一组、注入测试一组，测试完成可整组关闭。

二、响应对比功能，批量快速识别漏洞差异

批量测试越权、未授权的时候，最头疼的就是人工肉眼对比几十个响应。Repeater 自带响应对比，快速发现状态码、响应内容变化。

使用方法

1. 同一个接口复制两个 Repeater 标签：
   • TabA：正常用户 Cookie（基准包）
   • TabB：低权限 / 其他用户 Cookie（测试包）
2. 两个标签放到同一个分组；
3. 两个包分别 Send 发送；
4. 在任意标签的响应面板，点击Compare按钮，选择另一个标签的响应。

实战场景

• 水平越权：正常用户访问自己订单，替换 userid 为别人 ID，对比两份响应。正常情况应该返回无权限；如果返回别人订单数据，直接确认越权。
• 未授权：一份带 Cookie，一份删除 Cookie，对比响应。删除 Cookie 仍然返回业务数据，代表存在未授权访问。
• 接口鉴权绕过：修改 Token、去掉 Token，对比响应长度、关键字段。

对比视图会高亮新增 / 删除的文本，不用通读全部返回 JSON，适合大量接口快速筛查。

三、会话宏 + 会话处理规则，自动维护 Token、CSRF，批量链式接口测试

很多接口不是独立的，必须先登录拿到 token，再调用业务 API；或者每次请求携带动态 CSRF Token，每次发包都要手动复制，批量测试非常麻烦。
Burp 的Macros（宏）+Session handling rules，可以让 Repeater自动执行前置请求、自动提取 Token/CSRF 并替换到后续所有 Repeater 请求。

实操步骤

1. 先抓登录数据包，Send to Repeater；
2. 打开 Settings → Sessions → Macros，Add 新建宏；
3. 选择登录请求作为宏步骤，宏执行完成后，配置从响应中提取 token（正则捕获）；
4. 新建Session handling rule，作用范围勾选 Repeater；触发动作：先执行宏，自动把提取到的 token 替换到请求 Header / 参数。

效果

分组批量发送一组业务接口时：

自动执行登录 → 提取新 token → 自动替换到分组内所有请求 Header，不需要人工复制 token。

适用场景：小程序 / APP 接口，token 短时效，批量测一批接口，token 过期自动刷新，解放双手。

坑点提醒：宏提取参数时，尽量写精准正则捕获组，不要宽泛正则，避免提取到错误字符串。

四、Burp Variables 变量插件，统一批量替换 Cookie、UID、Token

BApp 商店的Burp Variables插件，是批量测试接口神器，适合多账号切换批量越权测试。
语法：((varName))，在 Repeater 请求任意位置插入变量。

使用流程

1. BApp 安装Burp Variables；
2. Variables 面板定义变量：

userA_cookie = session=aaaa111
userB_cookie = session=bbbb222
test_uid = 10086

3. Repeater 数据包 Header 直接写：Cookie: ((userA_cookie))；参数写uid=((test_uid))；
4. 切换变量值，整组 Repeater 请求全部自动替换，一键批量重放。

实战工作流（水平越权批量测试）

1. 收集一批需要测试的接口，全部放到 Repeater 分组；
2. 所有请求 Cookie 统一写变量((current_user_cookie))，uid 参数使用变量；
3. 变量面板切换账号，整组批量发送，对比所有接口响应，一次性筛查批量越权。

对比每次手动逐个修改 Cookie，变量可以成倍减少重复操作。变量还支持从响应自动提取更新，token 动态更新。

五、Repeater 批量测试各类接口漏洞实战场景

场景 1：批量越权测试（水平 / 垂直越权）

1. 收集目标业务接口（查询用户信息、订单、文件），全部 Send to Repeater，新建分组；
2. 准备两个账号：普通用户账号 A、另一个用户账号 B；
3. 使用 Burp Variables 变量，Cookie 和 uid 使用变量引用；
4. 第一轮：变量填入账号 A 信息，批量发送分组，作为基准响应；
5. 第二轮：切换变量为账号 B，批量发送，逐个 Compare 对比响应；
6. 如果接口返回 B 用户数据，判定水平越权。

场景 2：未授权接口批量检测

1. 接口分组，复制一套完全相同标签；
2. 一组保留 Cookie，一组删除 Cookie、Authorization 头；
3. 分组批量发送，对比响应。

无鉴权请求仍然返回业务数据，说明未授权访问漏洞。

场景 3：竞态条件漏洞（并发测试）

1. 复制多条完全一致的请求到同一个分组（例如领取优惠券、提交订单）；
2. Send 下拉选择Send group in parallel并行发送；
3. 观察响应，看是否多次成功执行业务逻辑，验证竞态。

专业版还有 Custom Action 自定义动作，一键生成大量并发请求，适合高强度竞态测试。

场景 4：SQL 注入 / 延时注入批量验证

不适合大规模 fuzz（大规模交给 Intruder），适合少量接口人工验证 payload。

1. 同一个接口复制多个标签，每个标签放不同注入 payload；
2. 分组串行发送，观察响应状态码、响应时间；
3. 配合 Repeater 响应时间列，判断 sleep 延时注入。

场景 5：接口参数篡改测试

批量修改金额、数量、权限字段，分组批量发送，对比返回结果，检测参数篡改漏洞。

六、Repeater + Xray 联动批量接口漏洞扫描

之前教程讲过 Xray 流量走 Burp 代理，结合 Repeater 批量测试形成完整工作流：

1. Repeater 分组批量发送接口，所有流量经过 Burp；
2. Xray 作为 Burp 上游代理，接收全部流量被动扫描；
3. Repeater 人工验证接口权限，Xray 自动检测注入、XSS 等 web 漏洞；
4. 发现可疑请求直接留在 Repeater 继续深度验证。

优势：人工批量权限测试的同时，自动扫描参数类漏洞，一次操作两类漏洞挖掘。

七、实用快捷键 & 细节优化技巧

1. Ctrl+T：新建 Repeater 标签；
2. 选中 HTTP History 数据包，快捷键Ctrl+R快速 Send to Repeater；
3. Repeater 右上角切换标签视图：Wrapped 多行标签，标签很多的时候方便浏览；
4. 右键标签：Reopen closed tab，恢复误关闭的数据包；
5. 切换 HTTP 版本：请求面板右上角切换 HTTP/1.1 / HTTP/2，部分接口仅 HTTP2 存在漏洞；
6. 自动更新 Content-Length：Burp 默认自动更新，不要手动修改，否则请求报错；
7. 注释标签：给 Repeater 标签重命名，例如【订单查询 - 越权测试】，大量标签不会分不清用途。

八、高频踩坑清单

1. 分组并行发送请求过多：一次性几十条并发请求，造成目标服务拒绝、大量超时，控制分组请求数量；
2. 宏执行失败：登录接口有验证码、滑块，宏无法绕过；宏适合纯账号密码无验证码场景；
3. 变量插件不生效：确认变量名称大小写，((var))不能加多余空格；
4. 对比功能误判：接口返回时间戳、随机值，直接对比会大量高亮差异。需要人工过滤动态随机字段，重点关注业务数据；
5. 链式接口顺序错误：串行发送时，登录接口必须放在分组最前面；
6. 专业版 / 社区版差异：社区版没有分组批量并发发送，只能手动逐个发包；
7. 批量发包时目标不在 Scope：Burp 会话规则、变量插件不会生效，记得把测试域名加入 Target Scope。

九、Repeater 和 Intruder 怎么选？（很多人混淆）

工具	适合场景	不适合场景
Repeater 分组批量	多接口、多步骤链式请求、越权 / 未授权人工验证、并发竞态、响应对比	单参数大量字典 fuzz，上千 payload 爆破
Intruder	单一请求，字典批量 payload，参数爆破、fuzz 注入	多接口、多步骤依赖、人工对比业务返回

一句话总结：少量接口、人工验证业务逻辑漏洞，优先 Repeater 分组；单接口大量 payload 自动 fuzz，用 Intruder。

十、完整实战工作流总结（接口批量漏洞测试）

1. 从 HTTP History 收集待测试接口，Send to Repeater；
2. 创建分组，重命名标签，归类接口；
3. 配置 Burp Variables 变量统一管理 Cookie/UID，或者配置宏自动刷新 Token；
4. 准备基准数据包和测试数据包；
5. 分组批量发送请求（串行 / 并行按需选择）；
6. 使用 Compare 对比响应，快速定位越权、未授权；
7. 可疑接口单独深度验证，可发送 Xray 联动扫描；
8. 标记漏洞数据包，导出请求 / 响应，写漏洞报告。

十一、拓展进阶方向

1. 配合 Bambdas 自定义动作，自定义批量请求处理逻辑，自动提取响应字段、自动告警；
2. Repeater Strike 插件，基于 Repeater 请求生成匹配规则，在整个 HTTP History 批量查找同类漏洞；
3. 结合之前 Jython 插件，在 Repeater 发包前后自动加解密（加密接口批量测试）。

---

如何系统学习网络安全？

网络安全作为数字时代的核心技术基石，已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线，掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。

构建稳固的网络安全能力是一个体系的工程，需要从夯实基础理论出发，持续深化到攻防对抗与应急响应的实战层面。

如果你是准备学习网络安全（黑客）或者正在学习，我可以把我自用的360独家内部资料分享给你，包含以下内容你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】