今天我們要學Burp Suite，這項工具可以幫助我們抓住一些網站的弱點使我們後續學習一些攻擊更加方便。當然，我們今天學的只是基礎的認識，也還不會有實作，實作的部分我們會放到明天。

Burp是什麼?

Burp Suite是由PortSwigger推出的Web安全測試工具，主要功能是攔截並修改瀏覽器與伺服器之間的HTTP/HTTPS流量，進而測試Web應用的弱點。目前有推出了兩個版本，分別是免費版與付費版，一般而言免費功能足夠我們學習了，所以接下來的實作我們也會以免費版為主。

Burp的核心架構與概念

在動手之前，我們先了解Burp在做什麼，以下講幾個重要的:

代理(Proxy):把瀏覽器的所有流量導到 Burp，Burp 可攔截、修改或放行請求或回應。

CA 憑證:為了能解密HTTPS，Burp會用自簽 CA。我們會把這個 CA 匯入瀏覽器。

攔截(Intercept):暫停流量讓使用者手動編輯，也是我們明天要學的實作項目。

主要模組與用途

以下是我盡力縮減過後選擇介紹與我們比較有關的功能

Proxy → Intercept
攔截並修改即時請求／回應。入門必用：改 header、改 method、插 payload。

Repeater
手動重放請求並觀察回應。用於調試payload(例如SQLi、XSS、測試header差異)。

Target(Site map)/Proxy history/Logger
弄清楚使用者掃過哪些 URL、每個 request/response 的紀錄，方便追蹤與報告。

Decoder / Comparer
小工具：解Base64、URL encode、比較兩次回應差異(找邏輯變化)。

Extender / BApp Store
擴充插件（Pro 支援更多），例如自動化腳本、第三方工具整合。

其他有一些如掃描之類的功能因僅限pro版使用，這邊我們就不列出來了

常見測試場景

Header操作：改User-Agent、Referer、Host、X-Forwarded-For(做權限繞過或偽裝)。

Method 試探：把 GET 改成 HEAD / POST，看伺服器是否行為不一致(例如 GET/admin → 403、HEAD/admin → 200)。

參數Fuzz/SQLi 測試：在輸入欄插入 ' OR '1'='1或常見 payload，觀察是否出500/回傳資料變化。

Session/Cookie 操作：修改Cookie看是否能提升權限或造成錯誤(session fixation 測試要注意合規性)。

今日小結

今天我主要先列舉了Burp Suite的基本功能與模組，以及測試場景，因為東西比較多，所以今天幾乎都以列舉的方式來寫，希望大家能夠比較容易看懂，明天我們就會進入到實作的部分，學習基本的實務。