前言
对于刚入门Web渗透和CTF的新手来说，Burp Suite是必不可少的核心工具。绝大多数SQL注入、文件上传、越权访问等题型，都需要依靠抓包、改包、重放请求来解题。
很多新手入门时会遇到抓不到包、代理报错、请求篡改不生效等问题，本文结合Windows环境，从零讲解Burp Suite基础配置、抓包改包完整流程，附避坑解决方案，新手可直接跟着实操落地。
一、工具环境准备
1. 环境配置
• 操作系统：Windows 10/11
• 工具版本：Burp Suite Community Edition（免费社区版）
• 浏览器：Chrome/Firefox（需配置代理）
2. 核心作用
Burp Suite可拦截浏览器与服务器之间的HTTP/HTTPS请求，支持手动修改请求参数、请求头、请求方式，重放数据包、批量测试漏洞，是Web渗透、CTF刷题的基础神器。
二、完整配置步骤
1. Burp代理端口设置
1. 打开Burp Suite，点击顶部 Proxy -> Settings
2. 默认监听地址为 127.0.0.1:8080，确认端口未被占用
3. 勾选 All interfaces，允许本地所有请求拦截
2. 浏览器代理配置
以Chrome浏览器为例：
1. 打开浏览器设置，搜索「代理设置」，进入系统代理面板
2. 开启手动代理，地址填写 127.0.0.1，端口 8080
3. 保存设置，此时浏览器所有网络请求都会经过Burp拦截
重要提示：刷题、测试结束后务必关闭浏览器代理，否则无法正常上网！
3. HTTPS抓包报错解决（新手高频坑）
默认情况下，Burp抓HTTPS请求会出现证书报错、拦截失败，解决方法：
1. 在浏览器输入地址 http://burp
2. 页面右上角点击 CA Certificate，下载 cacert.der 证书
3. 浏览器设置 -> 隐私安全 -> 管理证书，导入下载的证书，设置为受信任根证书
4. 重启Burp和浏览器，HTTPS抓包恢复正常
三、实战：抓包+改包完整演示
1. 开启拦截
Burp顶部 Proxy -> 开启 Intercept is on（拦截开启状态）
2. 抓取请求包
打开靶场链接（本地DVWA/在线CTF靶场），随意点击页面按钮、提交表单，此时请求会被Burp成功拦截。
拦截数据包核心字段解读：
• GET/POST：请求方式
• Host：目标服务器地址
• User-Agent：客户端标识
• Cookie：用户身份凭证（越权、会话劫持核心参数）
• 表单参数：页面提交的核心数据（注入、篡改测试重点）
3. 手动改包重放
1. 直接修改拦截数据包的参数，例如修改 id=1 为 id=2、篡改表单提交内容
2. 修改完成后，点击 Forward 放行请求
3. 服务器会接收修改后的数据包并返回对应响应结果，即可完成漏洞测试
4. 关闭拦截
测试完毕后，点击 Intercept is off，恢复正常请求访问。
四、新手高频报错避坑总结
1. 抓不到任何数据包
原因：浏览器代理未开启、端口和Burp不匹配、代理被插件占用
解决：统一8080端口，关闭VPN、代理插件，重置浏览器代理
2. HTTPS页面拦截失败、显示不安全
原因：未安装Burp根证书
解决：按上文步骤导入信任证书，适配所有HTTPS靶场
3. 改包后无效果
原因：前端JS限制参数、缓存未清除、请求未真正拦截
解决：清空浏览器缓存，确认拦截开启，优先修改后端接收参数
五、总结
Burp抓包改包是Web渗透的入门基石，所有高阶漏洞测试（SQL注入、文件上传绕过、参数篡改）都基于该基础操作。新手无需死记复杂功能，优先掌握「代理配置、抓包、改包、放行」四大核心操作，熟练后可快速上手CTF基础题型。
