💡 為什麼 Web 滲透測試一定要用 Burp Suite？在進行 Web 滲透測試時，我們不能只依賴瀏覽器呈現給我們的畫面。許多資安漏洞（例如參數篡改、未授權存取或驗證繞過）都隱藏在瀏覽器與伺服器互相傳送的「HTTP 請求與回應封包」中。Burp Suite 是 Web 資安領域中最核心的工具，它扮演著「中間人代理（Intercepting Proxy）」的角色。簡單來說，它就像立在瀏覽器與目標網站之間的一道閘門，所有流出的 Request 與流入的 Response 都必須經過它，讓我們可以隨時攔截（Intercept）、檢視（View）與修改（Modify）封包內容。🛠️ Burp Suite 基礎建置與代理設定Kali Linux 系統中已預裝 Burp Suite Community Edition（社群版），我們可以透過以下步驟完成瀏覽器代理的設定：1. 啟動 Burp Suite 並確認 Proxy 埠號開啟 Burp Suite，選擇 Temporary Project $\rightarrow$ Use Burp defaults 進入主畫面。切換到 Proxy $\rightarrow$ Proxy settings，確認預設的代理位址為 127.0.0.1:8080。2. 設定瀏覽器代理（建議搭配 FoxyProxy 擴充功能）在 Firefox 瀏覽器安裝 FoxyProxy 套件，新增一個 Proxy 設定：IP / Hostname： 127.0.0.1Port： 8080將 FoxyProxy 切換至該設定後，瀏覽器的所有網路流量就會導向 Burp Suite。3. 匯入 Burp CA 憑證（解析 HTTPS 流量）為了讓 Burp 能順利解密 HTTPS 封包：瀏覽器開啟代理後，造訪 http://burp。點擊右上角 CA Certificate 下載憑證檔案 (cacert.der)。開啟 Firefox 設定 $\rightarrow$ 搜尋 Certificates $\rightarrow$ View Certificates $\rightarrow$ Import，匯入該憑證並勾選「信任此憑證」。🔍 Burp Suite 兩大核心功能簡介在新手階段，我們最常使用 Burp 的兩個頁籤：Proxy (Intercept)：Intercept is on：開啟攔截，所有 HTTP 封包會暫停在 Burp 畫面中，等待你點擊 Forward（放行）或 Drop（丟棄）。在這裡可以手動變更 POST 表單參數、修改 Cookie 或 User-Agent 值。Repeater（重放器）：當你想對某個特定 API 或頁面進行多次測試時，可在 Proxy 畫面按下 Ctrl + R 將封包送至 Repeater。在 Repeater 中可以任意修改參數並重複發送，即時觀察右側的 Response 回應，是測試 SQLi 或 XSS 最方便的工具。