代理与拦截
捕获 Web 流量
代理与拦截 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 1 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
Burp Suite 是什么
Burp Suite 是使用最广泛的网络应用程序安全测试平台。其核心是一个拦截代理，位于您的浏览器和目标服务器之间。
由于所有流量都会经过 Burp，您可以读取和修改每个请求与响应。
代理的工作方式
拦截代理是一个由您控制的中间人。您的浏览器向 Burp 发送请求；Burp 将请求转发到服务器，并返回响应。
这样，您可以随时暂停、检查和编辑流量。
Browser --> Burp Proxy --> Target Server
Browser <-- Burp Proxy <-- Target Server配置监听器
Burp 会监听一个本地端口，默认地址为127.0.0.1:8080。请将浏览器的代理设置指向该地址。
代理和选项选项卡可以让您确认或更改监听器。
Proxy listener: 127.0.0.1:8080
Browser proxy: HTTP 127.0.0.1 port 8080内置浏览器
现代版本的 Burp 自带预配置的内置 Chromium 浏览器。它已经信任 Burp 并通过代理路由流量，因此您无需手动设置。
请在代理选项卡中点击“打开浏览器”，立即开始测试。
信任 CA 证书
要拦截 HTTPS，您的浏览器必须信任 Burp 的CA 证书。否则您会看到 TLS 警告。
在代理运行期间，从 http://burpsuite 下载证书，然后将其导入浏览器或 OS 信任存储。
1. Visit http://burpsuite
2. Click 'CA Certificate'
3. Import cacert.der into browser trust开启或关闭拦截
拦截开关决定请求是否暂停以供您检查。开启后，每个请求都会等待您转发或丢弃。
关闭拦截即可正常浏览，同时 Burp 仍会在 HTTP 历史记录中记录所有内容。
编辑实时请求
开启拦截后，您可以在转发原始请求之前对其进行编辑。您可以即时更改参数、标头或方法。
这是最简单的手动测试形式。
GET /account?id=1042 HTTP/1.1
Host: app.example.com
(change id=1042 to id=1043 before
forwarding to test access control)HTTP 历史记录
HTTP 历史记录选项卡会记录所有经过代理的请求和响应，即使拦截处于关闭状态也是如此。
您可以筛选和搜索任意条目，也可以右键点击条目，将其发送到其他 Burp 工具。
限定目标范围
请定义目标范围，让 Burp 只对您获准测试的系统执行操作。这样可以避免意外攻击第三方域名。
请在目标选项卡中设置范围，并启用“仅显示范围内项目”。
Scope include: https://app.example.com
Scope exclude: *.googleapis.com, ads.*发送到其他工具
真正的威力在于将捕获的请求转发到 Burp 的其他工具。
- 发送到 Repeater 进行手动调整。
- 发送到 Intruder 使用自动化载荷。
- 发送到 Scanner 执行自动化检查。
匹配与替换
Burp 可以使用匹配与替换规则自动重写流量，例如向每个请求中注入一个标头。
这对于添加身份验证令牌，或测试应用程序在标头被修改后的行为非常方便。
Match: ^User-Agent:.*$
Replace: User-Agent: PentestAgent/1.0快速检查
测试您对代理的理解。
回顾
您已经学习了 Burp Suite 代理的基础知识。
- Burp 是位于浏览器和服务器之间的拦截代理。
- 监听器默认使用 127.0.0.1:8080。
- 信任 CA 证书才能拦截 HTTPS。
- 拦截功能会暂停请求；HTTP 历史记录会记录所有内容。
- 定义目标范围，并将请求转发到其他工具。
接下来，您将使用 Repeater 和 Intruder 操纵请求。
常见问题解答
「代理与拦截」课时是免费的吗？
是的 — 「代理与拦截」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「代理与拦截」这节课中我会学到什么？
捕获 Web 流量 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 1 节课，共 4 节。
「代理与拦截」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。