Burp Suite 这工具，安装搞 Web 安全的教程基本绕不开。它不像某些扫描器那样一键梭哈，安装而是教程让你手动抓包、改包、安装重放，教程把 HTTP 请求捏在手里玩。安装装它其实不复杂，教程但坑不少，安装尤其是教程证书和 Java 环境这两块，第一次弄容易卡住。安装

先说最省事的教程路径：直接去 PortSwigger 官网下 Community 版。别去什么第三方下载站，安装那些捆绑安装包能让你多出三个浏览器主页和两个杀毒软件。教程官网地址是安装 portswigger.net/burp/communitydownload，页面会自动识别你的系统。Windows 给的是 .exe，macOS 是 .dmg，Linux 通常给个 .sh 脚本。Community 版免费，功能砍了 Intruder 的速度限制和 Scanner 自动扫描，但学习抓包改包完全够用。

下载完先别急着双击。Windows 上如果之前装过旧版 Java，可能会弹窗说“找不到 Java 运行时”。Burp 自带 JRE，但某些系统环境变量会干扰它。解决办法很简单：右键安装包，选“以管理员身份运行”，让它自己处理依赖。macOS 用户遇到“无法打开，因为 Apple 无法检查是否包含恶意软件”，去系统设置 → 隐私与安全性，点“仍要打开”就行。Linux 的 .sh 文件需要先 chmod +x，然后终端里 ./ 运行，它会问你要装到哪个目录，默认 /opt/BurpSuiteCommunity 就挺好。

装完打开，第一眼看到的是项目选择窗口。Community 版只能选“临时项目”，点下一步直接进主界面。这时候别急着抓浏览器流量，先配代理。Burp 默认监听 127.0.0.1:8080，但很多系统上 8080 被 Tomcat 或者其它服务占了。我习惯改成 8081，在 Proxy → Options 里点编辑，把端口改掉。改完记得点“Update”而不是直接关窗口，不然不生效。

浏览器这边，Chrome 或 Firefox 都行。推荐用 Firefox，因为它有独立的代理设置，不干扰系统全局。装个 FoxyProxy 插件，新建一个代理条目：IP 填 127.0.0.1，端口填你刚才改的 8081，类型选 HTTP。启用之后访问 http://burp，会看到一个下载证书的页面。点“CA Certificate”下载 cacert.der 文件。这步很关键，不装证书的话，抓 HTTPS 网站全是乱码或者直接报错。

证书安装分系统。Windows 双击 der 文件，选“安装证书” → 本地计算机 → 将所有证书放入下列存储 → 受信任的根证书颁发机构。macOS 双击后钥匙串访问里找到 PortSwigger CA，右键“显示简介”，在信任里选“始终信任”。Firefox 比较特殊，它用自己的证书库，得在设置 → 隐私与安全 → 证书 → 查看证书 → 导入，把 der 文件导进去，勾选“信任由此证书颁发机构来标识网站”。

全部弄完，打开浏览器访问任意 https 网站，Burp 的 Proxy → HTTP history 里应该能看到一堆请求。如果只有 CONNECT 请求没有具体内容，八成是证书没装对。这时候别急着重装 Burp，先检查 Firefox 的证书导入那步，很多人漏了。

最后提一嘴内存。Burp 吃内存挺凶，尤其是开多个标签页跑 Intruder 的时候。默认启动参数给 1G 堆内存，大项目容易卡。找到 Burp 的启动脚本（Windows 在安装目录下的 BurpSuiteCommunity.vmoptions），把 -Xmx 改成 2048m 或 4096m。改完重启，流畅度提升明显。这步不算必须，但用久了迟早会碰到。