我想很多人跟我一樣，一直認爲安全測試是測試領域中非常酷非常高大上的方向，就像黑客一樣，之前做功能也瞭解過一點SQL注入和XSS漏洞，現在，需要往這個高大上的門檻裏邁進半步，讓我們先從一樣工具開始吧——Burp Suite
一 Burp 是什麼
學習一款工具的第一步就是搞清楚它是什麼，是做什麼的？
Burp 是一款安全領域非常重要的工具（或者說是平臺），它用於攻擊Web應用程序。
Burp裏面包含一些工具，這些工具都基於Burp的一個能處理並顯示HTTP消息的框架。
Web應用程序 我們很常見，所有網頁所在的服務端都可以說是一個Web應用程序。簡要說來它的架構都是瀏覽器-服務器端形式，瀏覽器向服務器發送HTTP請求，服務器處理後返回HTTP信息給瀏覽器。
而Burp就是在中間插了一腳，使其變爲了下圖這樣：
所有的請求與響應都需要通過Burp，這就使我們有機會修改HTTP請求與響應，實現對Web應用的攻擊。
二 Burp 的部署
Burp在網上有很多下載地址，分爲免費版（下載鏈接）與專業版，免費版有很多限制，部分功能不可用；專業版在網上也有破解版，大家可自行百度下載。
Burp的部署非常簡單，只需要有JAVA環境就可以了。Burp就是一個jar包，配置好JAVA環境後，在cmd裏執行
java -jar /your_burp_path/BurpSuite.jar
就可以啓動了。注：your_burp_path是你的jar包所在路徑。
Burp默認分配64M內存，在我們進行滲透測試的時候可能不夠用，可以爲其分配更大的內存，如下：
java -jar -Xmx2048M /your_burp_path/BurpSuite.jar
建議你建一個bat文件，內容爲以上命令，這樣每次直接雙擊bat就可以執行了。
三 Burp 的結構
我將Burp分爲兩部分，一部分是基礎架構，它們爲其他高級工具提供基本的功能，包括Target、Proxy以及Options；第二部分是高級工具，包括Spider、Scanner、Intruder、Repeater等更復雜的功能。如圖：
其中最基本的一項功能模塊即是Proxy 代理模塊，正是這個模塊讓Burp插入到瀏覽器與服務器之間，使其成爲相互溝通的傳聲筒，更爲我們之後的各種掃描、攻擊提供了基礎。
這一節我們學習了Burp是什麼、Burp怎麼部署、以及Burp的結構是什麼樣的，接下來我們要開始使用Burp了，下一節我們學習一下如何配置代理。