Burp Suite Tips¶
Burp Suite 适合记录和重放授权 Web 测试流量，但代理本身不会替你判断业务风险。
项目设置¶
- 每个项目使用独立文件；
- 先配置 Target Scope，再限制代理历史和自动任务；
- 为测试账号添加醒目标记；
- 导出前清理 Cookie、Token、个人数据和客户域名。
Repeater 工作流¶
- 从 Proxy History 发送一条基线请求；
- 只改变一个变量；
- 比较状态码、响应长度、关键字段和服务端状态；
- 命名标签，记录账号角色和测试目的；
- 把最终证据保存为脱敏请求/响应。
Match and Replace¶
可用于稳定添加测试标头或切换环境，但要保持规则数量最少，避免无意修改不相关请求。
Warning
Intruder、Scanner 和扩展可能产生高并发或非预期 payload。生产环境启用前必须获得授权并设置速率限制。