打开一个页面，Burp Suite里可能同时出现接口调用、图片、脚本和第三方资源。记录一多，想找的请求反而不容易发现。有时刚调整过筛选条件，下一步操作产生的请求就“消失”了。判断请求是否缺失，要区分它是被隐藏、没有经过代理，还是没有写入历史记录。这几种情况处理方式不同，下面从筛选入口说起。

在做Web安全测试的时候，如果一开始没有把范围设定好，浏览器自动加载的那些广告脚本、统计代码、字体、图片，还有发给第三方接口的请求，全都会混进Burp的记录里面。所以，弄清楚Burp Suite的Scope到底该怎样去设置，关键就在于告诉Burp，哪些URL和哪些主机，才是我们这次真正要测的目标。按照官方文档给出的说法，Target Scope这个功能就是专门拿来划定当前项目里需要测试的URL和主机的，有了它，后面过滤浏览器和其他站点产生的那些杂音，就会方便很多。

在进行接口测试、寻找系统漏洞或者重新加载登录状态的时候，经常会碰到这个功能怎么用以及规则为什么没反应的问题。这个功能表面上看起来好像只是把文字换掉，但是其实里面包含了很多东西，比如请求的发送方向、服务器返回的方向、匹配的具体位置、正则表达式是不是写对了，还有就是代理流量有没有真的走软件通过。如果规则写得对，软件就可以自动帮我们把头信息、Cookie、数据主体、返回内容都改掉；要是规则写错了，就会发现虽然把功能勾选上了，但是在抓包的记录里却一点变化都没有。

在授权测试、接口参数验证、登录逻辑排查，还有输入边界检查这些工作里面，经常会碰到Intruder的位置要怎么去标记，还有它的有效载荷，又要怎么去组合的问题，Intruder它最核心的思路，是把一条HTTP的请求，当成一个最基础的模板，然后，在提前指定好的那几个位置上，把各种各样的有效载荷给替换进去，最后再去看一看，服务器返回来的响应，有什么不一样的地方；按照官方文档的说明，有效载荷要放进去的位置，是用一对特殊的符号给包起来的，而攻击的类型，就决定了这些有效载荷，到底是怎么被分配到不同位置上去的，使用这个功能的时候，一定要把它限制在自己有权限去测试的那些系统里面，可千万别把它当成一个可以随便去压测，或者是撞库的工具来用。

在Burp Suite里做项目时，很多人会把项目文件和项目配置当成同一件事，结果前面明明已经导出了配置，后面换一台机器或者换一个项目时，却不知道该从哪里重新接进去。PortSwigger官方现在把这两层分得很清楚。项目文件用来保存当前项目的数据和项目级设置，配置文件则是JSON格式的设置集合，可以单独导入、导出和重复加载。也就是说，真正想复用的通常不是整个项目，而是配置本身，所以导入和复用时要先分清你拿在手里的到底是project file还是configuration file。

在Burp Suite里用Decoder，看起来像是把一段编码内容丢进去再点一次解码就结束了，但实际使用里最常见的问题不是不会点，而是数据本身有多层编码、截断、压缩、混合格式，或者当前选择的解码方式根本和原始数据不匹配。PortSwigger官方现在把Decoder的定位说得很明确，它既支持手动解码，也支持自动识别并解码可识别的格式，比如URL编码；同时，Inspector也会在很多场景里自动解码选中的数据。所以真正高效的做法不是只守着一个窗口，而是先分清数据是不是“Burp能自动识别的格式”，再决定是用Decoder手动拆，还是借Inspector先看一轮。

BurpSuite证书通常被安装到系统或浏览器的受信任根证书里，用于让浏览器在走代理时不报证书错误。卸载时如果只删了证书但没关代理，或者只关了代理但浏览器里还残留证书与缓存，就容易出现打不开网站、一直提示不安全、连不上代理这类现象。下面按先卸载证书，再恢复访问的顺序，把常见平台的操作路径写清楚。

做渗透测试或接口联调时，抓到的请求响应往往是后续复现、写报告、交接排查的唯一依据。BurpSuite里看得到流量不等于已经保存到可长期留存的介质里，你需要先分清是临时会话数据，还是落盘的工程文件，再按目的选择全量保存或按需导出。

做移动端抓包时，核心就两件事：一是在BurpSuite里把代理监听开到局域网可访问，二是在手机上把网络代理指到这台电脑并把Burp的CA证书装进信任链。前者决定你能不能看到流量，后者决定你能不能解密HTTPS，否则常见现象就是HTTP有记录、HTTPS全红或直接打不开页面。

在进行Web安全测试时，BurpSuite作为最常用的中间人代理工具，若频繁出现代理连接断开、请求中止或页面加载超时等现象，将极大干扰分析效率。尤其是在抓取HTTPS或高并发请求场景中，代理不稳定会导致测试失败、数据缺失。因此，理解其背后的网络机制，并针对性地调整BurpSuite的相关参数，是保障测试顺利进行的关键。