1.2 版本体系与选型

1.2 版本体系与选型

本节摘要：Burp Suite 目前分社区版、专业版与企业版（现更名方向的 Dast 平台）三条产品线。社区版保留完整的手工测试能力，砍掉自动化扫描与批量测试；专业版补齐这些并增加项目管理；企业版面向持续化、多团队的规模化扫描。选型不取决于预算，而取决于你要不要"机器替人扫描"。

版本差异到底差在哪

上一节画了模块全景，本节回答一个现实问题：这些模块里哪些免费、哪些收费。差异集中在自动化一侧，手工一侧几乎完整保留。下面这张表按模块拆开看。

三个差异点值得展开。第一是 Intruder 的限速：社区版把并发压到接近单线程并强制请求间隔，这不是功能阉割那么简单——它实际上让基于时间差的盲注类验证在社区版上不可操作，因为判断依据就是响应时间的微小差异。第二是项目持久化：社区版关掉就丢现场，意味着你没法把一次做到一半的测试存档次日继续，而真实评估恰恰是多天的连续工作。第三是扫描器：社区版没有主动扫描，被动检查也极其有限，学习扫描器机理只能上专业版。

一段请求，看懂"手工够用"与"必须付费"的分界

手工重放在社区版完全可行。比如靶场登录点的响应里发现一个疑似会话固定问题，你可以这样手工验证：

GET /login?token=preview HTTP/1.1
Host: lab.local
Cookie: SID=GUESTSID0001

HTTP/1.1 302 Found
Set-Cookie: SID=GUESTSID0001; Path=/
Location: /home
​

响应把未认证时种下的会话标识原样带进了认证态，这就是会话固定的典型证据，两步重放就能坐实，任何版本都能做。但如果你想验证的是"一百个参数变体里哪些触发同样行为"，手工重放会变成体力灾难，这时 Intruder 的多线程与攻击位型就是刚需，分界线由此出现。

按场景选型

判断路径其实很短，先问一个问题：你需要机器替你扫吗？

学习与入门：社区版足够。手工三件套（Proxy、Target、Repeater）完整，靶场练习所需的全部操作都能做。我更建议初学者先用社区版把手上的判断力练出来，再考虑付费——先依赖扫描器的人，很难再练出对手工验证的手感。

承接评估业务：专业版是事实标准。不是因为它扫得快，而是因为交付需要：项目持久化保住多天的工作现场、扫描器提供覆盖度的下限保证、Collaborator 补上盲注类验证的探测手段、报告导出直接对接交付格式。按笔者的观察，一个每月承接一单以上评估的团队，专业版省下的时间远超授权费用。

规模化持续扫描：企业版的定位是把扫描做成资产流水线——接上资产管理、按周期自动扫、结果路由给对应团队。它解决的是"十个项目组、三百个 Web 资产、没有足够安全工程师"的组织问题，个人与小团队用不上。

⚠️ 预算紧张时的一个常见弯路：用社区版硬扛需要扫描器的活。结果往往是扫描覆盖率不足还不自知，报告漏项。宁可手工做深、明说覆盖范围，也别让报告显得比实际更全面。

许可与合规使用要点

选型之外还有一层许可的功课。社区版的使用条款对用途有界定，商业环境里用它做交付前应核对条款的适用范围；专业版按授权人数计费，团队共享一个授权属于违约也属于审计风险。企业环境的另一个现实是审批：安全工具自带"攻击能力"，引入前往往需要安全负责人与合规侧签字，把 1.1 节的边界原则写成一页使用规范附在申请后面，审批会顺畅得多——审批者担心的从来不是工具，而是没有约束的使用者。

升级节奏同样值得纳入选型考量。工具大版本更新可能带来项目文件格式变化与扩展接口调整，交付团队的经验法则是：不追首日更新，等首轮补丁稳定后统一升级；升级前把在途任务的项目文件按 2.3 节的办法留档；扩展与自定义规则在升级后逐一试跑。这套节奏牺牲一点新鲜感，换来交付期的稳定——评估做到一半工具出兼容问题的代价，远大于晚两周用新功能。

免费起步的可行路径

预算暂时批不下来时的路线图：先用社区版把手工三件套练透，这部分能力与付费无关且永久保值；扫描器相关的概念学习可以用开源扫描器（下一章对比的 ZAP）补足，概念相通，将来迁移到付费工具的学习成本很低；Collaborator 的带外思想可以先用本机自建回调服务体会（第七章有完整演练）。也就是说，付费墙挡住的是自动化与项目管理的便利，挡不住这门手艺的认知主体。把这条路径说清楚，也便于向预算审批者论证"先有人、再有工具"的投入顺序。

高频疑问

问：版本差异每年都在变，这张对比表会过时吗？
答：个别条目会变，判断框架不会。厂商的产品分层逻辑——手工免费、自动化收费、规模化另收费——多年稳定，看新版本说明时按"手工能力、自动化能力、管理能力"三层归类，任何新功能都能快速定位它值多少钱、你是否需要。

问：试用版够完成一次完整评估吗？
答：专业版试用期通常够走通一次中小型评估全流程，这恰好是验证选型的好机会：试用期内把扫描、批量、项目保存三个付费点各真实用一遍，采购决策就有了一手依据，而不是听信功能清单。

问：企业环境统一装专业版，个人还需要本地再装一份吗？
答：看项目性质。涉敏项目按企业环境规范走；个人学习与靶场练习用社区版即可，顺带保持对免费路径的体感——教新人时你会需要它。

与后续章节的接口

本节的选型结论会反映在后续演示上：涉及扫描器与 Intruder 高级用法的章节按专业版口径写，同时标明社区版的替代做法（通常是"手工多来几遍"）。下一节解决另一个前置问题——在哪练。

本节要点回顾

• 三条产品线：社区版保手工、砍自动化；专业版补齐扫描与项目管理；企业版做规模化持续扫描。
• 关键差异：Intruder 限速、项目不可持久化、无主动扫描，这三点决定了社区版的适用上限。
• 选型逻辑：只练手工选社区版，承接评估上专业版，组织级规模化才需要企业版。
• 务实原则：覆盖不足比覆盖窄更危险，报告里的范围声明要如实。