官网
用户手册
https://portswigger.net/burp/documentation/desktop
https://portswigger.net/support
简介
Burp Suite是PortSwigger旗下的Web应用程序安全测试软件，含有Web漏洞自动扫描、手动工具等功能。拥有企业版（收费）、专业版（收费）、社区版（免费）三个版本，其中社区版仅包含手动工具，专业版包含手动、自动两方面，适用于安全测试人员，企业版在专业版的基础上增加了具有可扩展的自动化和CI集成功能。下文基于专业版开展。
主要功能
1、Dashboard
Scan
Live Task
Issue activity
2、Target
显示目标目录结构
3、Proxy
拦截HTTP/HTTPS的代理服务器，允许拦截、查看、修改在请求、响应两个方向上的原始数据流
4、Intruder
定制工具，对Web应用程序进行自动化攻击，如枚举标识符、收集数据、使用fuzzing技术遍历常规漏洞。
5、Repeater
用于手动处理和重新发出单个HTTP请求，并分析应用程序的响应。
6、Sequence
分析应用程序中会话令牌和重要数据项的随机性
7、Decoder
手动执行或对应用程序数据智能解码编码的工具
8、Comparater
可视化差异对比
9、Extender
BurpSuite扩展，如安装sqlmap 的扩展控件
10、Options
可配置项配置
11、Alters
Burp Suite 在运行过程中发生的一些错误
安装
安装包的获取：官网购买或者他人共享，安装为UI界面，根据个人需求调整后Next即可。
使用
1、通用配置
1、主UI字体设置
User Options --》Display--》User Interface--》Font size --》重启
HTTP消息字体设置
User Options--》Display--》HTTP Message Display-->Font -->Repeater-->查看字体是否合适
2、临时文件存放位置调整
User Options --》Misc--》Temporary Files Location-->User custom location
3、代理设置
Proxy-->Options--》Proxy Listeners--》127.0.0.1:8081
将浏览器代理设置为同样IP:Port
2、自动扫描网站
Burp Scanner自动执行扫描网站内容和漏洞的任务。根据配置，扫描程序可以爬网应用程序以发现其内容和功能，并审核应用程序以发现漏洞。
a)启动扫描
I：从特定的URL扫描：通过对一个或多个提供的URL中的内容进行爬取并有选择地审核爬取的内容来执行扫描
Dashboard-->New Scan-->打开scan launcher
II：扫描指定项
对特定的HTTP请求执行仅审核扫描（不进行爬取）
Burp中的任意位置选择一个或多个请求-->右键菜单-->Scan-->打开scan launcher
III:实时扫描
使用live scan自动扫描由其他Burp工具（如Proxy或Repeater工具）处理的请求；可以精确配置处理哪些请求，以及是否应扫描它们以识别内容或审核漏洞
Dashboard-->New live task-->打开live scan lancher
IIII:即时扫描
右键菜单中开启即时主动扫描或者被动扫描
b）扫描配置
可并行启动多个扫描，每个扫描都有其自己的配置选项
关键配置
Crawl options
最大链接深度
爬网程序如何针对速度与覆盖范围进行优化
对爬网范围的限制
Audit options
插入点的处理
采用的检测方法
轻量级纯被动分析
重量级侵入式扫描
c)监控扫描活动
I：Dashboard中的 issue activity log ：问题活动日志显示所有扫描任务报告的问题
显示有关每个任务进度的指标
II：Task Details Window
III:Target site map
显示的所有被识别的内容和问题，按照域和URL进行划分
d)报告扫描结果
I:Target--》Sitemap--》Issues--》右键-->Report Issues
或者
Dashboard---》Issue activity--》右键-->Report Issues
II：导出报告
Dashboard—>Target—>Site map—>选择域—>右键—>Issues—>Report Issues for this host
报告UI如下：
3、手工检测
此处不做展开，个人自行使用。
参考资料：