Burp Suite Proxy是放在客户端和目标服务器中间的一个工具，它可以记录、拦截，也可以修改经过代理的那些HTTP和HTTPS请求。在做测试之前，要先确认一下目标系统是不是自己的，或者已经拿到了很明确的授权。抓包的时候，比较容易弄混的一件事是，“请求没有被拦截窗口停下来”和“请求根本就没有经过Burp”，这是两种不一样的情况，得从不同的地方去排查才行。

进行手机软件接口数据检查、移动端网页登录调试或者核对请求参数的时候，经常会碰见BurpSuite怎么抓手机流量，以及BurpSuite手机证书安装后为什么还是抓不到这两个让人头疼的问题，其实手机抓包的工作并不是只把一个证书装上就能大功告成，这当中至少要让三个基础条件同时成立才行。

在Web应用安全测试里面，经常会碰到这样的问题，就是BurpSuite扫描器的检查项，到底要怎么去选，还有扫描完了以后，那一堆结果，又要怎么去把重点给筛出来，我们不能以为，把扫描器打开，让它全扫一遍，这件事就算做完了，如果检查项选得太宽，扫描花的时间就会变得很长，出来的结果里面，也会混进去很多价值不高的信息；可要是选得太窄了呢，又很容易漏掉一些接口、参数，还有那些需要登录以后，才能看到的业务入口，根据PortSwigger的文档，Burp扫描器在审计阶段，是通过被动检查、主动检查，还有对JavaScript的分析，来找出问题的，而那些审计方面的设置，也可以帮助我们在覆盖的范围和扫描的速度之间，找到一个平衡。

Burp Suite里的Comparer，本质上就是一个专门做可视化差异对比的小工具。PortSwigger官方文档写得很直接，它可以拿来比较任意两段数据，最常见的用法就是对比两条请求或两条响应，快速找出那些肉眼不容易一眼看出来的细微变化。真正用顺以后，它特别适合拿来比登录前后响应、不同参数下的请求差异，或者同一接口在不同权限下返回内容的变化。

BurpSuite里改了请求但服务器侧看起来没变化，通常不是编辑框没保存，而是你改的那一条并没有真正被转发出去，或者被拦截规则放行了没有停下来，又或者被自动规则二次改写覆盖。按下面顺序把流量是否经过、拦截总开关、拦截规则组合顺序、自动改写规则执行顺序逐个核对，问题一般能在十分钟内收敛到具体开关与具体规则上。

做授权范围内的Web测试时，很多人会遇到登录态跑着跑着就失效，或每次请求都要带动态令牌与CSRF字段，导致Repeater复测、Intruder压测、Scanner审计都被迫中断。BurpSuite的会话保持本质是把登录续期、Cookie与令牌更新、会话有效性检查放到后台自动完成，让后续请求始终带着可用的会话信息，减少手工补票与漏测风险。

在授权范围内做Web测试时，真正麻烦的往往不是抓到一个Token，而是判断它到底“够不够难猜”。BurpSuite的Sequencer把这件事拆成可量化的统计结果与可定位的位置异常，帮助你从会话Cookie、CSRF令牌到重置链接参数，快速判断随机性质量与潜在可预测模式。读懂Sequencer结果的关键，是先看样本与总体，再落到每一位的异常原因，最后把结论回到业务语义上去验证。

做Web测试时，如果站点或客户端默认走HTTP/2，你在BurpSuite里却看不到请求体、响应体，甚至HTTP history里没有任何条目，往往会让排查方向跑偏。处理这类问题要先确认流量是否真的进了代理链路，再把HTTP/2相关的入站与出站开关分别核对清楚，最后用协议显示位确认每条请求实际用的版本，避免“看起来像没数据”其实只是展示口径不同。

很多人遇到“代理明明开着但抓不到包”，并不是BurpSuite坏了，而是流量根本没有走到代理监听器，或走到了但被过滤、被HTTPS信任问题挡住。围绕“BurpSuite代理开了却抓不到包怎么办，BurpSuite浏览器代理怎么设置”，把链路按“监听器是否在听、浏览器是否在走、HTTPS是否能解密、历史记录是否被挡”四步拆开，基本都能定位到具体卡点。

在使用BurpSuite抓包分析Web或App流量时，常常会遇到响应或请求体内容显示乱码的情况，尤其是在涉及中文、图片、Unicode编码或Base64等格式的数据传输时。这类乱码现象不仅影响分析效率，还可能导致测试误判。本文将围绕“BurpSuite流量为什么出现乱码”展开分析，并结合“BurpSuite编码格式应怎样调整”的实际需求，提供逐项设置方法，帮助用户更清晰地读取和理解抓取到的内容。