介绍
Burp Suite Professional 是 PortSwigger 推出的专业级 Web 渗透测试工具箱，面向应用安全测试、漏洞挖掘与接口安全验证场景，能够帮助安全研究人员和测试人员在浏览器、代理、扫描与自动化攻击之间高效切换。它内置浏览器与拦截代理，可直接记录、拦截并修改 HTTPS 与 WebSocket 流量，还能自动发现隐藏参数、静态与动态 URL，并通过站点地图统一管理测试目标。工具集覆盖 OAST、DOM 漏洞分析、HTTP/2 支持、CSRF PoC 生成、模糊测试、暴力破解、认证扫描和 API 扫描等能力，适合处理 JavaScript 密集型应用、SPA、OpenAPI、GraphQL 与 SOAP 接口。软件还提供强大的请求分析、格式化、搜索、过滤、报告生成与项目日志功能，并可借助 BApp Store 扩展、Montoya API 和多种社区插件进一步增强测试效率与覆盖范围。
截图
功能
Burp Suite Professional 是一套面向 Web 应用与 API 的专业安全测试工具，围绕手动渗透测试、自动化扫描、请求分析和扩展能力构建，帮助安全人员更快发现并验证漏洞，适用于复杂前端、接口服务与授权场景。
- 内置浏览器与代理拦截: 可直接记录、拦截、查看并修改 HTTPS 与 WebSocket 流量，适合在真实交互过程中分析请求细节与测试输入输出。
- OAST 外带测试: 提供开箱即用的带外测试能力，能够发现常规扫描难以触及的隐蔽问题，提升漏洞覆盖面。
- 攻击面映射: 通过领先的爬虫自动建立目标站点结构，整理站点地图，快速梳理页面、路径与参数关系。
- DOM 漏洞分析: 借助 DOM Invader 强化对客户端脚本与前端逻辑的检测，适合排查 DOM 型 XSS 等前端安全问题。
- 自动枚举隐藏资源: 支持静态与动态 URL、参数的自动发现，帮助暴露未在界面中直接呈现的攻击面。
- 令牌强度评估: 可测试数据项中随机性质量与 token 强度，辅助判断会话或令牌设计是否足够安全。
- HTTP2 支持: 能以熟悉的 HTTP1 风格处理二进制 HTTP/2 请求，并在协议间无缝切换，便于排查现代 Web 通信问题。
- 自定义自动化攻击: 支持基于请求序列与 payload 集合的暴力破解和 fuzzing，可提升批量测试效率。
- 被动与主动扫描: 可在浏览时被动收集问题，也可针对单个 URL 或输入点执行主动扫描，灵活控制测试深度。
- 请求与结果管理: 支持捕获、筛选与查询自动化攻击结果，并可通过匹配替换规则批量改写请求和响应。
- CSRF PoC 生成: 能快速生成跨站请求伪造概念验证攻击，方便复现与报告漏洞。
- 复杂应用扫描: 内置浏览器可像真实用户一样遍历 JavaScript 重度页面与 SPA，提高对现代应用的扫描效果。
- 认证区域扫描: 支持对受保护区域进行已认证扫描，更适合真实业务环境下的权限测试。
- API 扫描能力: 可根据定义文件扫描 OpenAPI、GraphQL 和 SOAP 接口，也支持爬取后发现或手动上传定义文件。
- JavaScript 分析引擎: 内置客户端攻击面分析能力，能够加强对前端脚本暴露风险的识别。
- BChecks 自定义检查: 可使用专用语言快速创建自定义扫描规则，让扫描行为更贴合目标环境。
- 高效消息编辑: 提供功能丰富的 HTTP 编辑器，便于深入分析请求与响应内容，处理细节更直观。
- 自动格式化: 支持 JSON、JavaScript、CSS、HTML、XML 等内容的美化展示，减少阅读与排错成本。
- 项目文件与日志: 可持续记录测试活动并保存为项目文件，方便回溯、协作与审计。
- 搜索过滤排序: 提供高级搜索、过滤和排序功能，帮助快速从大量流量与结果中定位关键项。
- Burp Organizer: 可存储并标注重要消息，便于整理证据、分类问题和管理测试线索。
- 自动报告生成: 支持生成结构化报告，提升漏洞交付与沟通效率。
- BApp 扩展生态: 可通过社区扩展丰富功能，支持 Turbo Intruder、Autorize、Hackvertor、Param Miner 等工具。
- Montoya API: 提供扩展开发接口，便于创建自定义插件并深度定制测试流程。
直链下载
网盘下载
THE END
暂无评论内容