Burp Suite Proxy是放在客户端和目标服务器中间的一个工具，它可以记录、拦截，也可以修改经过代理的那些HTTP和HTTPS请求。在做测试之前，要先确认一下目标系统是不是自己的，或者已经拿到了很明确的授权。抓包的时候，比较容易弄混的一件事是，“请求没有被拦截窗口停下来”和“请求根本就没有经过Burp”，这是两种不一样的情况，得从不同的地方去排查才行。

要弄清楚Burp Suite里面Intruder这个工具该怎样去配置，还有它的攻击速度要是变得很慢，可以从哪些地方试着优化，不能只把眼睛放在并发请求的数量上面，Intruder跑起来的效率，还会被Payload塞在哪些地方、攻击用的类型、字典塞了多少东西、请求之间隔了多长时间、连接是怎么维持的，还有目标服务器返回结果的速度，这些因素一起拖着走，在真正动手配置以前，最好先到Repeater那边，确认一下最基础的请求是能正常返回的，同时也要保证测试的目标已经拿到了清楚的授权，免得把请求本身藏着的问题，错误地当成是Intruder在速度上出了毛病。

Burp Suite Repeater的使用方法，以及发送请求失败的时候应该怎样处理，在Web接口调试和授权安全测试当中，是会经常遇到的。Repeater这个工具能够对HTTP请求反复进行修改并且重新发送，用来比较参数、请求头、Cookie和请求体发生变化之后，响应结果出现了哪些不同。用的时候，最好先留下一条可以正常返回的原始请求，然后再一项一项地去修改。如果请求发不出去了，就需要把连接失败、身份认证失效、请求格式写错，还是被服务器主动拒绝这几种情况，给区分开来。

在做Web安全测试的时候，如果一开始没有把范围设定好，浏览器自动加载的那些广告脚本、统计代码、字体、图片，还有发给第三方接口的请求，全都会混进Burp的记录里面。所以，弄清楚Burp Suite的Scope到底该怎样去设置，关键就在于告诉Burp，哪些URL和哪些主机，才是我们这次真正要测的目标。按照官方文档给出的说法，Target Scope这个功能就是专门拿来划定当前项目里需要测试的URL和主机的，有了它，后面过滤浏览器和其他站点产生的那些杂音，就会方便很多。

做接口测试时，很多人习惯把请求丢进BurpSuite的Repeater里反复修改参数，但这里容易产生一个误解：Repeater的主要作用，其实是让你编辑并重发请求，然后去观察服务器返回的响应，而不是一个可以“改动服务器返回内容再放行给浏览器”的工具。按照Burp官方文档的说明，Repeater专门用来反复修改、发送HTTP或WebSocket消息，从而分析应用程序给出的响应。如果真正需要去修改经过浏览器接收的响应数据，通常要用Proxy模块拦截响应，或者设置Match and Replace规则来搞定。

许多Web系统都会在后台使用SessionID、JWT、CSRF Token或者一次性链接参数来保护用户会话和接口安全，但这些自动生成的标识符并不一定就真的可靠，里面有时会暗藏一些能被猜出来的规律。BurpSuite里的Sequencer工具，就是专门用来检测这类令牌的随机性和不可预测性的，它能帮我们判断攻击者是不是有可能通过规律猜测、重放旧数据或者暴力穷举的方式，伪造出一个有效的令牌。这里得先说明白，Sequencer本身不是一个直接拿来攻击的安全漏洞利用工具，它更像是一个统计分析的帮手，所以我们不能光看它给出的表面结论，还需要把信息熵、字符分布、二进制位分布以及实际的业务逻辑绑在一起，才能得出比较全面的判断。

进行手机软件接口数据检查、移动端网页登录调试或者核对请求参数的时候，经常会碰见BurpSuite怎么抓手机流量，以及BurpSuite手机证书安装后为什么还是抓不到这两个让人头疼的问题，其实手机抓包的工作并不是只把一个证书装上就能大功告成，这当中至少要让三个基础条件同时成立才行。

在进行接口测试、寻找系统漏洞或者重新加载登录状态的时候，经常会碰到这个功能怎么用以及规则为什么没反应的问题。这个功能表面上看起来好像只是把文字换掉，但是其实里面包含了很多东西，比如请求的发送方向、服务器返回的方向、匹配的具体位置、正则表达式是不是写对了，还有就是代理流量有没有真的走软件通过。如果规则写得对，软件就可以自动帮我们把头信息、Cookie、数据主体、返回内容都改掉；要是规则写错了，就会发现虽然把功能勾选上了，但是在抓包的记录里却一点变化都没有。

在企业内网、要经过代理网关，或者处于测试用的隔离环境里，BurpSuite没办法直接连到目标网站的时候，就需要去配好上游代理。很多人在问BurpSuite里面怎么配置上游代理，以及配完之后如果认证一直失败该怎么排查，这里面最关键的一点，是得把“浏览器到Burp”、“Burp到上游代理”、“上游代理到目标站点”这三段链路分开来看清楚，如果前一段走不通，Burp就根本抓不到任何流量；要是后一段卡住了，Burp虽然能把请求抓到，但目标站点那边却访问失败。

Bambda这个东西，它本质上就是一种可以直接在Burp Suite界面里面跑的Java脚本，用来按照你自己的测试习惯，去扩展过滤、匹配、展示还有处理的逻辑，它比较适合用在像HTTP历史记录的筛选、WebSocket记录的筛选、自定义列，还有匹配替换规则这一类的场景里面。