Burp Suite

Burp Suite 教程导读：从委托书到报告书

接下委托的那个下午，安全工程师老周先做的一件事，不是打开工具，而是把授权确认函打印出来压在键盘旁边——范围、时间窗、联系人、禁止事项，逐条看过，才在笔记本上写下本次评估的第一行记录。这本教程就是照着这个顺序写的：Burp Suite 在这里不是"黑客工具"，而是授权测试流程里的一台工作母机，学会它的过程，也是学会把"发现—验证—报告—修复复核"这条链走完整的过程。

全书把 Burp Suite 当成一项职业手艺来教，默认读者是三类人：准备入行应用安全的初学者、需要给业务系统做例行安全评估的开发与运维工程师，以及想看懂渗透测试报告、要据此修漏洞的蓝队同学。所有动手环节都建立在本机自建靶场之上——我们在第 1 章会花一整节搭一个类似 DVWA 的练习环境，全书每一处操作演示都发生在这个围栏之内。对真实系统的未授权探测不属于本书讨论范围，这一点会反复出现，因为它既是职业底线，也是这门手艺成立的前提。

这本教程的主线

书的主线是一次虚拟但完整的授权测试委托：从收到委托书开始，到递交报告、跟踪修复、做回归复核收尾。章节顺序就是这条主线的自然推进，每一章回答测试过程中的一个具体问题，而不是罗列功能菜单。

这张图同时是学习路线：第一、二章是地基，工具的定位与流量管道没弄通，后面的模块都会变成"点按钮"；第三章手工测试是所有结论的最终裁判，哪怕扫描器再自动，最后一个确认永远由人来按；第四章的自动化建立在前两章之上；第五章讨论工具的能力延伸；第六章把前面所有发现收拢成一份能推动修复的报告——这是全书落点；第七章跳出来看工具选型与演进，帮你判断什么时候该用 Burp、什么时候该换 ZAP 或 mitmproxy。

读完全书你应当能够

• 说清楚 Burp Suite 各模块（Proxy、Target、Repeater、Intruder、Scanner、Collaborator、Extender）在授权测试流程里的分工与先后关系；
• 在本机搭好靶场与代理环境，独立完成浏览器证书配置，遇到抓包失败能按系统化的路径排错；
• 在授权范围内完成一次手工验证：圈定范围、重放请求、解读响应差异，并保留可复核的证据；
• 理解扫描器与模糊测试的机理与限制，能解释误报从哪里来，会用 BChecks 把团队经验沉淀成检测规则；
• 写出一份开发愿意读、修复有依据、复核有标准的测试报告，并掌握修复后的回归验证做法；
• 从蓝队视角把测试经验反推为检测规则，理解 Burp 与同类工具的取舍。

怎么用这本书

边读边动手是唯一正确的用法。靶场里的练习环境可以随便折腾，把每一节的操作在自己的环境里过一遍；扫描器和 Intruder 永远只对准自己的靶机。书中的示例请求、配置片段与扩展代码都做了脱敏与简化，直接照抄进生产环境没有意义，理解机理再迁移才是目的。每章结尾给出了与前一章、后一章的接口，读卡住了就回到知识地图看看自己走到了哪一站。

工具会换代，界面会改版，但"先授权、再动手、结论可复核、风险可度量"这条主线不会过时。这就是本书想交付的东西。