Burp 或 Burp Suite 是一组用于 Web 应用程序渗透测试的工具。它由名为 Portswigger 的公司开发，该公司也是其创始人 Dafydd Stuttard 的别名。 BurpSuite 旨在成为一套工具，并且可以通过安装称为 BApps 的附加组件来增强其功能。
它是专业 Web 应用安全研究人员和漏洞赏金猎人中最受欢迎的工具。它的易用性使其成为比 OWASP ZAP 等免费替代品更合适的选择。 Burp Suite 提供社区版，免费的专业版售价 399 美元/年，企业版售价 3999 美元/年。本文简要介绍了 BurpSuite 提供的工具。如果您是 Web Application Pentest/Web App Hacking/Bug Bounty 的完全初学者，我们建议您通读一遍，不要想太多。
BurpSuite 提供的工具有：
1.蜘蛛：
它是一个网络蜘蛛/爬虫，用于映射目标网络应用程序。映射的目的是获取端点列表，以便观察它们的功能并发现潜在的漏洞。进行爬网的一个简单原因是，您在侦察过程中收集的端点越多，您在实际测试期间拥有的攻击面就越多。
2. 代理：
BurpSuite 包含一个拦截代理，允许用户在传输过程中查看和修改请求和响应的内容。它还允许用户将监控下的请求/响应发送到 BurpSuite 中的另一个相关工具，从而消除复制粘贴的负担。可以调整代理服务器以在特定的环回 ip 和端口上运行。代理还可以配置为过滤掉特定类型的请求-响应对。
3. 入侵者：
它是一个模糊器。这用于通过输入点运行一组值。运行这些值并观察输出的成功/失败和内容长度。通常，异常会导致响应代码或响应内容长度发生变化。 BurpSuite 允许对其有效载荷位置进行暴力破解、字典文件和单个值。入侵者用于：
- 对密码表单、pin 表单和其他此类表单的暴力攻击。
- 字典攻击密码表单，怀疑易受 XSS 或 SQL 注入攻击的字段。
- 在 Web 应用程序上测试和攻击速率限制。
4.中继器：
中继器允许用户通过手动修改重复发送请求。它用于：
- 验证是否正在验证用户提供的值。
- 如果正在验证用户提供的值，它的执行情况如何？
- 服务器在输入参数/请求标头中期望什么值？
- 服务器如何处理意外值？
- 服务器是否正在应用输入卫生？
- 服务器对用户提供的输入进行消毒的效果如何？
- 服务器使用的卫生方式是什么？
- 在所有存在的 cookie 中，哪一个是实际会话 cookie。
- CSRF 保护是如何实施的，是否有办法绕过它？
5. 音序器：
排序器是一个熵检查器，用于检查网络服务器生成的令牌的随机性。这些令牌通常用于敏感操作中的身份验证：cookie 和反 CSRF 令牌就是此类令牌的示例。理想情况下，这些标记必须以完全随机的方式生成，以便每个可能字符在某个位置的概率均匀分布。这应该按位和字符实现。熵分析器测试该假设是否正确。它是这样工作的：最初，假设令牌是随机的。然后针对某些特征在某些参数上测试令牌。术语显着性水平被定义为标记对特征表现出的概率的最小值，这样如果标记具有低于显着性水平的特征概率，则标记是随机的假设将被拒绝。该工具可用于找出弱标记并枚举它们的构造。
6.解码器：
解码器列出了常见的编码方法，如 URL、HTML、Base64、Hex 等。当在参数或标头的值中查找数据块时，此工具非常方便。它还用于各种漏洞类别的有效载荷构建。它用于发现 IDOR 和会话劫持的主要案例。
7. 扩展器：
BurpSuite 支持将外部组件集成到工具套件中以增强其功能。这些外部组件称为 BApp。这些就像浏览器扩展一样工作。这些可以在扩展器窗口中查看、修改、安装、卸载。其中一些在社区版上得到支持，但有些需要付费专业版。
8. 扫描仪：
该扫描仪在社区版中不可用。它会自动扫描网站以查找许多常见漏洞，并列出有关每个发现的可信度及其利用复杂性的信息。它会定期更新以包含新的和鲜为人知的漏洞。