burpsuite系列视频教程

这套 Burp Suite 视频教程的原始发布时间是 2013 年 4 月，附件区只有一张 39 KB 的封面图，连课程说明都是空的。这个时间点很关键——它决定了整套资料的定位：不是教你用 Burp 2.x 的新界面，而是把 Proxy、Intruder、Repeater、Scanner 这几个核心模块的手工测试思路讲透。对想入行 Web 安全、或者准备软考信息安全方向的人来说，这类老教程的价值不在"新"，而在"慢"：每一步操作都被完整录下来，没有跳步，正好补上现在很多速成课讲不清的原理环节。

课纲含金量：工具逻辑大于版本号

判断一套 Burp 教程值不值得看，先看它有没有把这些东西讲明白：代理拦截怎么配浏览器证书、Caido 时代之前的手工抓包流程、Intruder 四种攻击类型（Sniper、Battering ram、Pitchfork、Cluster bomb）的差异，以及 Repeater 里如何反复调试同一个请求。2013 年的教程大概率会围绕这些展开，因为那时 Burp 的功能边界就是这些模块。版本界面会过时，但请求改包、参数爆破、会话令牌分析的思路不会过时。

需要提前打预防针的是：教程里不会涉及新版 Burp 的 BApp Store 插件生态、不会讲现在常见的 JWT 测试、GraphQL 抓包，也不会有 REST API 场景。把它当成"底层操作手册"而不是"漏洞大全"，预期才对得上。

哪些章节值得精看

按 Web 渗透的实操顺序，重点看这几块：

• Proxy 配置与证书安装部分——新手最容易卡在 HTTPS 抓不到包，这段慢放两遍不吃亏。
• Intruder 的 payload 与字典设置——爆破验证码、用户名枚举、弱口令测试都靠它，四种攻击模式的适用场景要记牢。
• Repeater 的手工改包——SQL 注入、越权访问的验证基本都在这里完成，教程若演示了逐字符盲注，值得反复看。
• Scanner 的主动/被动扫描区别——老版本的扫描误报率偏高，重点学它怎么分类型报漏洞，而不是直接信结果。
• 若含 Decoder、Comparer 等辅助模块，快速过一遍即可，属于用到再查的类型。

资料包怎么拆开用

附件只给了封面图，说明本体以视频为主。建议这样拆：视频按模块切段，看一章就动手在本地搭一个 DVWA 或自建靶场跑一遍，不要连着刷完。把 Intruder 的 payload 配置、Repeater 的请求历史截图存进自己的笔记，比抄目录有用。如果压缩包里附带讲义或源码，优先翻讲义里的命令和参数示例，那是能直接复用的部分。

适合谁、不适合谁

适合：刚接触 Web 安全、想系统搞懂 Burp 各模块分工的人；准备软考信息安全工程师、需要补充实操印象的考生；习惯按自己节奏挖重点、不喜欢被课程进度绑住的自学者。

不适合：想直接学最新版 Burp 和现代漏洞链的人；指望学完能挖 SRC 高危漏洞的人——这套资料给的是工具基本功，不是漏洞挖掘实战课。把它定位成"Burp 操作原理的慢速参考资料"，按需翻看，性价比最高。