Burpsuite抓包，说白了就是当个中间人。你浏览器和服务器说话，它插一杠子，把话都听一遍，还能改。这事干起来比想象中简单，但也比想象中容易卡壳。

先把工具打开。Community版够用，别一上来就找破解版。看到那个写着“Proxy”的标签页没？点进去，里面有个“Intercept”子标签，默认是开着的。这时候你随便访问个http网站，比如http://example.com，Burp就会把请求拦下来——画面定格，一堆十六进制和明文混着显示，像看心电图。

但很多人第一次打开就懵了：浏览器访问不了任何网站了。别慌，这是正常的。Burp默认监听127.0.0.1:8080，你的浏览器根本不知道有这号代理存在。你得手动告诉浏览器——设置里找网络代理，填上localhost，端口8080。Chrome和Firefox都有独立的代理设置插件，比如FoxyProxy，比改系统设置省事。IE就别用了，兼容性差，你拿它抓包能把自己气死。

配置好代理，再访问一次。这回Burp界面应该跳出一行请求头，GET / HTTP/1.1，Host: example.com。这就是一个完整的HTTP请求。点右上角“Forward”放行，页面就加载出来了。想停就点“Intercept is on”那个按钮，变成off就只监听不拦截。

这里有个坑。很多人抓完http，想抓https，结果发现全是乱码，或者直接报证书错误。这是因为HTTPS是加密的，Burp得先把自己伪装成服务器。你得把Burp的CA证书装进浏览器信任列表。导出证书：Proxy设置里有个“Import / Export CA certificate”，存成.der文件。然后在浏览器设置里搜“证书”，导入到“受信任的根证书颁发机构”。装完后重启浏览器，再访问https网站，就能看到明文了。这一步不做，后面全是白费。

抓包不只是看请求。你右键任意一条请求，选“Send to Repeater”，就能手动改参数重发。比如把价格改成0.01，把user_id换成别人的，看服务器返不返回。这种测试才是抓包的真正意义——不是偷看，是试探。我见过不少人拿它改积分、刷优惠券，结果被风控逮住，账号封了还跑来问为什么。工具本身没善恶，但用的人得有点分寸。

还有个实用小技巧：抓APP的包。手机和电脑连同一个WiFi，手机代理设成电脑的局域网IP加8080，证书也装手机上。但Android 7以上系统默认不信任用户证书，你得把APK重新打包或者用系统证书安装方式，麻烦一些。iOS稍微好点，装描述文件就行。抓微信小程序也类似，但微信会做证书校验，有时候得用Xposed模块绕过去——这个就不展开说了，涉及灰色地带。

最后说点实在的。Burp的社区版功能够日常用，但Scanner和Intruder的爆破功能被砍了。真要测并发、跑字典，建议用OWASP ZAP替代，开源免费，功能不差。或者干脆Burp配个插件，比如Autorize，能自动检测越权漏洞。别迷信工具，抓包只是第一步，分析才是大头。你抓一百个包，不如看懂一个包里的逻辑漏洞。

卡住的时候别硬刚。八成是代理没配好，或者证书没装对。清空浏览器缓存，重启Burp，再不行就换Firefox的隐私窗口试试——有时候扩展插件会干扰代理。抓包这事，耐心比技术重要。