Burp Suite拦截HTTPS流量时，会为访问的站点动态生成TLS证书，再由Burp自己的CA证书完成签名。外部浏览器如果没有信任这张CA证书，就会把Burp生成的站点证书判断为不可信。处理“BurpSuite怎么导入CA证书，BurpSuite CA证书安装后HTTPS仍提示错误如何处理”时，除了确认CA已经安装，还要检查浏览器代理、证书信任范围以及当前Burp实例使用的CA是否一致。

BurpSuite中的Logger用于集中记录Burp各工具产生的HTTP流量，除了浏览器代理请求，还能看到Repeater、Scanner、Intruder以及扩展主动发送的请求。处理“BurpSuite怎么使用Logger记录流量，BurpSuite Logger记录不完整如何排查”时，关键是先分清“请求没有被记录”和“请求已经记录但当前没有显示”。这两种情况表现相似，背后的原因却不同。

Burp Suite中的Target Scope用于界定当前项目真正需要关注的主机和URL范围。配置Scope之后，Burp的Site map、Proxy、Scanner等工具可以根据范围采用不同的显示、记录或处理策略。不过，Scope本身并不等同于“禁止所有范围外流量经过代理”，因此仍然看到第三方统计、CDN、图片资源或其他域名请求并不一定代表配置失败。围绕“BurpSuite怎么设置Target Scope，BurpSuite Scope配置后仍抓到无关请求如何调整”，需要把目标范围、历史记录过滤和Proxy拦截规则分别设置清楚。

Burp Suite Proxy是放在客户端和目标服务器中间的一个工具，它可以记录、拦截，也可以修改经过代理的那些HTTP和HTTPS请求。在做测试之前，要先确认一下目标系统是不是自己的，或者已经拿到了很明确的授权。抓包的时候，比较容易弄混的一件事是，“请求没有被拦截窗口停下来”和“请求根本就没有经过Burp”，这是两种不一样的情况，得从不同的地方去排查才行。

要弄清楚Burp Suite里面Intruder这个工具该怎样去配置，还有它的攻击速度要是变得很慢，可以从哪些地方试着优化，不能只把眼睛放在并发请求的数量上面，Intruder跑起来的效率，还会被Payload塞在哪些地方、攻击用的类型、字典塞了多少东西、请求之间隔了多长时间、连接是怎么维持的，还有目标服务器返回结果的速度，这些因素一起拖着走，在真正动手配置以前，最好先到Repeater那边，确认一下最基础的请求是能正常返回的，同时也要保证测试的目标已经拿到了清楚的授权，免得把请求本身藏着的问题，错误地当成是Intruder在速度上出了毛病。

Burp Suite Repeater的使用方法，以及发送请求失败的时候应该怎样处理，在Web接口调试和授权安全测试当中，是会经常遇到的。Repeater这个工具能够对HTTP请求反复进行修改并且重新发送，用来比较参数、请求头、Cookie和请求体发生变化之后，响应结果出现了哪些不同。用的时候，最好先留下一条可以正常返回的原始请求，然后再一项一项地去修改。如果请求发不出去了，就需要把连接失败、身份认证失效、请求格式写错，还是被服务器主动拒绝这几种情况，给区分开来。

在做Web安全测试的时候，如果一开始没有把范围设定好，浏览器自动加载的那些广告脚本、统计代码、字体、图片，还有发给第三方接口的请求，全都会混进Burp的记录里面。所以，弄清楚Burp Suite的Scope到底该怎样去设置，关键就在于告诉Burp，哪些URL和哪些主机，才是我们这次真正要测的目标。按照官方文档给出的说法，Target Scope这个功能就是专门拿来划定当前项目里需要测试的URL和主机的，有了它，后面过滤浏览器和其他站点产生的那些杂音，就会方便很多。

做接口测试时，很多人习惯把请求丢进BurpSuite的Repeater里反复修改参数，但这里容易产生一个误解：Repeater的主要作用，其实是让你编辑并重发请求，然后去观察服务器返回的响应，而不是一个可以“改动服务器返回内容再放行给浏览器”的工具。按照Burp官方文档的说明，Repeater专门用来反复修改、发送HTTP或WebSocket消息，从而分析应用程序给出的响应。如果真正需要去修改经过浏览器接收的响应数据，通常要用Proxy模块拦截响应，或者设置Match and Replace规则来搞定。

许多Web系统都会在后台使用SessionID、JWT、CSRF Token或者一次性链接参数来保护用户会话和接口安全，但这些自动生成的标识符并不一定就真的可靠，里面有时会暗藏一些能被猜出来的规律。BurpSuite里的Sequencer工具，就是专门用来检测这类令牌的随机性和不可预测性的，它能帮我们判断攻击者是不是有可能通过规律猜测、重放旧数据或者暴力穷举的方式，伪造出一个有效的令牌。这里得先说明白，Sequencer本身不是一个直接拿来攻击的安全漏洞利用工具，它更像是一个统计分析的帮手，所以我们不能光看它给出的表面结论，还需要把信息熵、字符分布、二进制位分布以及实际的业务逻辑绑在一起，才能得出比较全面的判断。

进行手机软件接口数据检查、移动端网页登录调试或者核对请求参数的时候，经常会碰见BurpSuite怎么抓手机流量，以及BurpSuite手机证书安装后为什么还是抓不到这两个让人头疼的问题，其实手机抓包的工作并不是只把一个证书装上就能大功告成，这当中至少要让三个基础条件同时成立才行。