Burp Suite

服务商概述

Burp Suite 由 PortSwigger 于 2004 年开发，总部位于英国，是全球最广泛使用的 Web 安全测试工具套件。其核心功能包括拦截代理、自动化爬虫、漏洞扫描和可扩展的 BApp 插件生态，是安全从业者在渗透测试和漏洞评估中的标准配置。

PortSwigger 由 Dafydd Stuttard（知名安全研究员，著有《The Web Application Hacker's Handbook》）创立，一直专注于 Web 应用安全领域。Burp Suite 提供 Community（免费）、Professional（$449/年）和 Enterprise（按扫描器定价）三个版本，覆盖从个人学习到企业 CI/CD 安全集成的全场景需求。全球数以万计的安全工程师将 Burp Suite 作为 Web 安全测试的首选工具。

核心优势

• 行业标准地位：Burp Suite 是业界公认的 Web 安全测试标准工具，多数安全岗位 JD 和 渗透测试方法论中均将其列为必备技能。拦截代理功能支持 HTTP/HTTPS/WebSocket 流量的实时拦截、修改和重放。
• 强大的 BApp 扩展生态：BApp Store 拥有 200+ 官方和社区插件，覆盖 JSON/XML 处理、JWT 测试、GraphQL 扫描、CORS 检测等场景。扩展生态使 Burp Suite 能够快速适配新型 Web 技术和攻击手法。
• 自动化扫描引擎：Professional 版的主动扫描引擎可自动发现 SQL 注入、XSS、CSRF、SSRF、XXE 等数百种漏洞类型，减少手工测试工作量。配合 自动化安全测试最佳实践，可在 CI/CD 流程中嵌入安全检测。
• 社区版免费可用：Community Edition 可免费使用核心的拦截代理、Repeater 和 Decoder 功能，满足学习和小型测试需求。

产品生态

Burp Suite Professional

Professional 版（$449/年）在社区版基础上增加了自动化爬虫、主动/被动漏洞扫描、扫描报告导出、内置 OWASP Top 10 检测规则等核心安全测试能力。适合专业渗透测试人员和安全团队的日常工作。

Burp Suite Enterprise

Enterprise 版是按扫描器计费的 CI/CD 集成方案，支持与 Jenkins、GitLab CI、Azure DevOps 等流水线工具集成，实现代码变更后的自动安全扫描。企业版还提供集中管理控制台、多用户协作、漏洞趋势分析和 SLA 报表功能。

BApp Store 与扩展开发

BApp Store 中的扩展覆盖 API 安全测试（OpenAPI Parser）、移动端测试（Mobile Assistant）、云安全（Cloud Asset Discovery）、认证测试（Auth Analyzer）等方向。安全团队也可基于 Montoya API 开发自定义扩展，针对业务特定的安全场景进行自动化测试。

不足之处

• 价格较高：Professional 版 $449/年/人，Enterprise 版按扫描器数量计费，对于小型团队和个人来说成本较高。可参考 需求分析评估替代方案组合。
• 学习曲线陡峭：工具功能丰富但深度使用需要扎实的 Web 安全知识（HTTP 协议、认证机制、OWASP Top 10 等），初学者需要较长的学习周期。
• 社区版限制较多：免费版关闭了自动化爬虫、漏洞扫描模块，不能用于高效率的批量测试场景。
• 资源占用较大：扫描大量目标时 CPU 和内存消耗较高，需要配置足够的硬件资源。

适用场景

• Web 应用渗透测试（★★★★★）：行业标准工具，从手工探测到自动化扫描全覆盖，适用于 安全测试全流程。
• OWASP Top 10 漏洞检测（★★★★★）：内置完整的 OWASP Top 10 检测规则，一键扫描常见 Web 漏洞。
• API 安全测试（★★★★）：通过 Repeater + BApp 插件，支持 RESTful、GraphQL、WebSocket 等多种 API 协议的测试。
• 安全培训与认证备考（★★★★★）：社区版免费且功能完整，适合 OSCP、CEH、CISSP 等认证的学习练习。
• CI/CD 安全集成（★★★★）：Enterprise 版原生集成 CI/CD 流水线，适合 DevSecOps 成熟度较高的团队。

价格参考

所有版本可从 Burp Suite 官方下载页获取。Enterprise 版提供 14 天免费试用。

常见问题

• Burp Suite Community 和 Professional 有什么区别？ Community 免费版提供拦截代理、Repeater 和 Decoder 核心功能；Professional 版增加了自动化爬虫、漏洞扫描引擎、扫描报告导出等功能。详细对比请参考 Burp Suite 版本对比指南，选型参考 网站安全清单。

• Burp Suite 如何配置浏览器代理？ 在 Burp 中开启 Proxy → Options 监听 127.0.0.1:8080，浏览器安装 CA 证书后设置 HTTP 代理即可。Chrome 推荐使用 SwitchyOmega 插件管理代理配置，测试流程参考 API 安全与 OAuth/JWT 指南。

• Burp Suite 支持扫描 GraphQL API 吗？ 支持。通过 BApp Store 中的 InQL Scanner 插件或手动配置 GraphQL 端点，即可对 GraphQL API 进行注入和认证测试，API 安全参考 API 安全与 OAuth/JWT 指南。

• Burp Suite 能替代 DAST 工具吗？ Professional 版可作为主要 DAST 工具，但 Enterprise 版更适合企业级 CI/CD 集成。如需更高扫描频率或更大规模，建议配合其他安全测试方案使用，安全实践参考 网站安全最佳实践。

• PortSwigger 提供培训资源吗？ PortSwigger 提供免费的 Web Security Academy 在线学习平台，涵盖 OWASP Top 10、Burp Suite 使用教程和实战靶场，适合从新手到专家的系统学习，学习路径参考 网站安全清单。