burpsuite抓包分析

抓包这事儿，包分说白了就是包分偷看。Burp Suite把浏览器和服务器之间的包分悄悄话全截下来，摊开给你看。包分我头一回用的包分时候，盯着那一行行十六进制和明文请求，包分后背发凉——原来我每次点按钮、包分输密码，包分在网上说的包分每句话，都跟明信片似的包分裸奔。

打开Burp的包分Proxy标签页，先得配好浏览器代理。包分默认监听127.0.0.1:8080，包分这步卡住过不少人。包分Firefox装个FoxyProxy标准版，包分一键切换，比手改设置省事一百倍。拦截开关一开，你刷个网页，请求就冻在那儿了。左边是历史记录，右边是抓到的当前请求，红字标着方法、域名、路径，底下是完整的headers和body。刚开始看挺懵，一堆键值对，跟天书似的。但你盯上十分钟，就能摸出规律——Host是给谁看的，User-Agent是你用什么浏览器，Cookie是你上次登录留下的脚印。

有一次我调试自己写的登录接口，前端死活报错，后端日志又没输出。打开Burp一看，好家伙，请求根本没发出去，前端JS在拼参数时把密码字段写成了passwd，后端要的是password。这种问题，不抓包你猜三天都猜不到。还有回帮朋友查一个电商网站的漏洞，他怀疑有越权，我用Burp的Repeater功能，把请求里的用户ID从1001改成1002，直接返回了另一个人的订单信息。那个瞬间，你会觉得抓包不是技术活，是侦探游戏。

Repeater是Burp的灵魂。右键任意历史请求，Send to Repeater，就能手动改参数一遍遍重放。改个数字看响应变不变，改个布尔值看逻辑跳不跳，改个admin权限字段看后端认不认。配合右侧的响应区，状态码、响应头、响应体，全摊着。改完点Go，比刷新网页快，比写脚本灵活。我习惯把常用测试请求都存下来，下次直接调，省得重复构造。

再说说抓HTTPS的坑。现在全网基本都上TLS了，直接抓全是密文，跟听外语似的。Burp解决的办法是中间人——它给自己签个根证书，装进系统信任列表里，然后替你解密流量。具体操作：Proxy Settings里点Import/Export CA Certificate，导出der文件，双击装到“受信任的根证书颁发机构”。装完重启浏览器，再抓就是明文了。但注意，别在公司电脑上乱装这证书，你装的可是个能解密所有HTTPS流量的钥匙，被IT查到够你喝一壶的。

还有个细节容易忽略：Burp的History面板，默认只显示经过代理的请求。你要是开着拦截忘了点Forward，页面会一直转圈，跟卡死一样。新手十有八九栽在这。其实右下角有个红点，亮着就是拦截中，点一下变灰就放行了。

最后说个土办法，但管用。抓包前先清空浏览器缓存和Cookie，避免旧数据干扰判断。抓包时别急着点，先想清楚自己要看什么——是登录时的token怎么生成，还是翻页时的分页参数怎么传。带着问题去抓，比瞎翻历史记录高效得多。

Burp Suite不是神，它就是个放大镜。真正值钱的是你拿着它之后，肯不肯花时间把每个请求拆开揉碎看一遍。看多了，你会慢慢摸到服务器的脾气——它怎么判断你是谁，它信任什么，它忽略什么。这种手感，文档里写不出来，只能靠一次次抓包喂出来。