前言
在Web渗透测试过程中，我们经常需要观察浏览器与服务器之间的数据通信过程。
例如：
- 登录时提交了什么数据？
- 网站如何验证用户身份？
- Cookie中保存了什么内容？
- 前端是否存在越权访问？
- 是否能够绕过前端限制？
这些问题都离不开一个核心工具——Burp Suite。
Burp Suite被誉为Web安全测试领域的“瑞士军刀”，几乎所有Web渗透测试工程师都会使用它。
本文将通过一个完整实验，演示如何使用Burp Suite截获、分析并修改HTTP请求。
一、Burp Suite简介
Burp Suite是由PortSwigger开发的一款Web安全测试工具。
主要功能包括：
| 模块 | 功能 |
|---|---|
| Proxy | 抓包代理 |
| Repeater | 请求重放 |
| Intruder | 自动化爆破 |
| Decoder | 编码解码 |
| Comparer | 数据对比 |
| Sequencer | Token分析 |
其中最常用的就是：
- Proxy
- Repeater
- Intruder
本次实验重点使用Proxy和Repeater。
二、实验环境
实验环境如下：
| 主机 | IP |
|---|---|
| Kali Linux | 192.168.100.10 |
| DVWA靶场 | 192.168.100.20 |
工具：
- Kali Linux
- Firefox浏览器
- Burp Suite Community Edition
- DVWA
三、HTTP请求过程分析
当浏览器访问网站时：
浏览器 ↓ HTTP请求 ↓ Web服务器 ↓ HTTP响应 ↓ 浏览器显示页面例如访问：
GET /login.php HTTP/1.1 Host: 192.168.100.20服务器返回：
HTTP/1.1 200 OK正常情况下：
浏览器与服务器直接通信。
而Burp Suite则位于中间：
浏览器 ↓ Burp Suite ↓ Web服务器因此可以查看和修改所有请求。
这也是Burp Suite强大的核心原因。
四、配置Burp Suite代理
启动Burp Suite：
burpsuite打开后进入：
Proxy └── Options查看监听端口：
127.0.0.1:8080默认即可。
五、配置浏览器代理
Firefox：
设置 → 网络设置 → 手动代理配置填写：
HTTP代理： 127.0.0.1 端口： 8080保存配置。
六、验证抓包是否成功
访问：
http://192.168.100.20如果Burp出现：
GET / HTTP/1.1 Host: 192.168.100.20说明抓包成功。
此时浏览器会停在等待状态。
点击：
Forward请求才会继续发送。
七、分析登录请求
进入DVWA登录页面：
输入：
admin password点击登录。
Burp会拦截如下请求：
POST /login.php HTTP/1.1 username=admin &password=password &Login=Login这里就能清晰看到：
- 用户名
- 密码
- 提交参数
全部以明文形式出现。
这也是为什么网站必须使用HTTPS。
八、修改HTTP请求
很多网站存在前端验证。
例如：
网页要求：
年龄必须大于18岁提交数据：
age=18如果拦截后修改：
age=999服务器可能仍然接受。
说明：
前端验证不能替代后端验证。
九、发送到Repeater进行重放
右键请求：
Send to Repeater进入：
Repeater修改参数：
id=1改成：
id=2点击：
Send即可重新发送请求。
十、越权访问测试案例
假设正常用户访问：
GET /userinfo.php?id=1001服务器返回：
张三的信息修改为：
GET /userinfo.php?id=1002如果返回：
李四的信息则说明存在：
不安全直接对象引用（IDOR）
这是现实项目中非常常见的漏洞。
十一、Cookie分析
登录成功后：
请求头中出现：
Cookie: PHPSESSID=abc123这就是会话标识符。
如果服务器验证不严：
攻击者可能通过窃取Cookie冒充用户。
因此：
- Cookie应设置HttpOnly
- Cookie应设置Secure
- Session应定期更新
十二、Burp Suite在实际渗透测试中的作用
真实项目中，Burp Suite通常用于：
信息收集
发现隐藏接口
参数测试
寻找越权漏洞
身份验证测试
检查登录逻辑
SQL注入测试
修改参数进行验证
XSS测试
插入Payload检测过滤机制
文件上传测试
绕过前端限制
十三、实验总结
通过本次实验，我们掌握了：
✅ Burp Suite代理配置
✅ 浏览器代理设置
✅ HTTP请求分析
✅ 请求拦截与修改
✅ Repeater重放请求
✅ Cookie查看
✅ 越权访问测试思路
Burp Suite不仅是一款抓包工具，更是Web安全测试过程中最重要的平台之一。
对于Web渗透测试初学者来说，熟练掌握Burp Suite的使用，往往比学习复杂漏洞利用更重要。
思考题
- HTTPS环境下Burp Suite为什么仍然可以抓包？
- Cookie和Session有什么区别？
- 如果网站使用JWT认证，还能否利用Burp Suite进行测试？
- 如何利用Repeater验证SQL注入漏洞？
欢迎在评论区讨论交流。
(6.24更新))
