什麼是 Burp 套件？

Burp Suite 是 PortSwigger 的一套工具，旨在幫助通過 HTTP 和 HTTPS 對 Web 應用程序進行滲透測試。主要工具是一個代理，旨在允許分析和編輯網絡流量。代理可以攔截 Web 請求和響應，並在它們到達各自的目的地之前實時讀取和編輯它們。有適用於 Windows、MacOS 和 Linux 的版本以及 JAR 文件。

代理本身允許您配置攔截哪些域的 Web 流量以及顯示哪種類型的流量。例如，攔截 Web 請求很有幫助，因為您可以編輯它們以測試網站對異常請求的反應，但是攔截響應，因為編輯它們沒有實際意義。

Burp Suite 中包含的許多工具旨在與主代理集成，並且可以將請求導入其中。Intruder 允許您導入請求，然後配置有效負載的排列來嘗試，然後可以自動運行它們。Repeater 允許您導入 Web 請求，然後對其進行手動修改並並排查看響應，從而允許您對嘗試的漏洞進行細微調整併輕鬆查看它是否有效。儀表板功能顯示已識別問題的列表，但需要手動檢查這些問題是否存在誤報。

提示：問題跟踪器是一項高級功能，而自動攻擊在免費版本中是有速率限制的。

Sequencer 旨在分析數據的隨機性，例如會話 ID、CSRF 令牌和密碼重置令牌。該分析需要 100 多個樣本，但可以確定生成隨機值的方式的弱點。解碼器允許您從一系列編碼標準中解碼字符串，並允許您再次對數據進行編碼。比較器允許您比較兩個字符串以檢查細微差別。

應用程序中可以免費獲得廣泛的社區編寫的擴展程序，儘管有些需要僅限於 Burp Suite 付費版本的功能。Burp Suite 的免費版支持大部分功能，解鎖所有功能的專業許可證每年收費 399 美元，而“企業版”每年收費 3999 美元，外加每個掃描代理 399 美元，只能分 10 個批量添加。