Kali Linux 下 Burp Suite 是 Web 渗透测试核心工具。文章详解基础配置、代理设置及 HTTPS 解密流程。涵盖 Proxy 抓包修改、Repeater 重放测试、Intruder 爆破枚举等模块实战。通过 XSS 验证、越权测试及登录爆破场景落地，提供快捷键与字典优化技巧，帮助安全人员高效完成手动漏洞探测。
burpsuitesudo apt update && sudo apt install openjdk-17-jre 更新 Java。ifconfig 可查），端口保持 8080，勾选「All interfaces」。http://burp（仅 HTTP 协议，无需加 www）。cacert.der）。核心功能：拦截、查看、修改 HTTP/HTTPS 流量，是所有操作的基础，关键面板为「Intercept（拦截）」和「HTTP History（历史记录）」。
username=test 改为 username=admin）。Cookie: admin=1）。核心功能：重复发送同一请求，支持多次修改参数调试，适合验证漏洞（如 XSS、越权），无需反复抓包。
实战步骤：
<script>alert(1)</script>），点击「Send」发送请求，右侧实时显示响应结果。核心功能：批量发送带 Payload（载荷）的请求，用于密码爆破、目录枚举、参数 FUZZ 等，社区版支持基础模式，关键是「标记参数 + 选攻击模式 + 加载字典」。
实战场景 1：登录密码爆破（Sniper 模式）
适合单个参数爆破（如仅破密码，已知用户名），步骤如下：
username 和 password 参数），右键→「Send to Intruder」。password 参数值（如 123），点击「Add §」添加标记（参数前后出现 § 表示标记成功）。/usr/share/wordlists/rockyou.txt，需先解压：gunzip /usr/share/wordlists/rockyou.txt.gz）。常用攻击模式对比：
核心功能：支持 URL、Base64、HTML 等多种编码/解密，还可做哈希转换（MD5、SHA256），渗透中常用于处理加密参数。
基础操作：
%7Eadmin%7E）。~admin~；加密则点击「Encode as」。http://test.com/search?key=123），发送到 Repeater。key 参数值后添加 XSS 测试 Payload：<script>alert(1)</script> 或 '><img src=x onerror=alert(1)>。http://test.com/user?id=1001，1001 为普通用户 ID）。id=1001 改为 id=1002（其他用户 ID），点击 Forward。admin），拦截登录 POST 请求（参数 username=admin&password=123）。password 参数，选择 Sniper 模式，加载 rockyou.txt 字典。rockyou.txt 需解压，复杂场景可自定义字典（如按密码规则用 Crunch 生成）。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
查找任何按下的键的javascript键代码、代码、位置和修饰符。 在线工具，Keycode 信息在线工具，online
JavaScript 字符串转义/反转义；Java 风格 \uXXXX（Native2Ascii）编码与解码。 在线工具，Escape 与 Native 编解码在线工具，online
使用 Prettier 在浏览器内格式化 JavaScript 或 HTML 片段。 在线工具，JavaScript / HTML 格式化在线工具，online
Terser 压缩、变量名混淆，或 javascript-obfuscator 高强度混淆（体积会增大）。 在线工具，JavaScript 压缩与混淆在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online