Burp SuitevsSQLi

Burp Suite

Burp Suite 是 Web 安全测试的行业标准工具，提供了代理拦截、扫描器、Repeater、Intruder 等功能。几乎所有 Web 安全从业者都使用 Burp Suite。

SQLi

SQLi 通过在用户输入中注入恶意 SQL 代码来操纵数据库查询，可以绕过认证、窃取数据甚至删除整个数据库。虽然是最古老的 Web 漏洞之一，但至今仍然常见。

Burp Suite

• Web 安全测试的事实标准
• 核心功能：代理拦截、自动扫描、手动测试
• 社区版免费，专业版 $449/年

SQLi

• OWASP Top 10 的常客，历史最悠久的 Web 漏洞
• 参数化查询是最有效的防御手段
• ORM 框架大幅降低了 SQLi 风险但未完全消除

Burp Suite

提供代理拦截、自动扫描和手动测试能力的 Web 应用安全测试平台

SQLi

通过在应用程序输入中注入恶意 SQL 代码来操纵后端数据库的攻击技术

Burp Suite

• Web 应用的漏洞挖掘
• Bug Bounty 的核心工具
• 安全开发的测试验证

SQLi

• Web 应用安全测试
• 数据库安全评估
• 安全编码培训

Burp Suite

Burp Suite 由 PortSwigger 开发，是 Web 应用安全测试最核心的工具。它作为 HTTP 代理拦截浏览器和服务器之间的所有请求，允许安全测试者查看、修改和重放请求。核心模块包括：Proxy（拦截代理）、Scanner（自动漏洞扫描）、Repeater（手动请求重放）、Intruder（自动化攻击）。Burp Suite 的插件生态也非常丰富，BApp Store 提供了数百个社区插件。

SQLi

SQL 注入是 Web 安全中最经典的攻击类型，通过将恶意 SQL 代码插入应用程序的输入字段来操纵后端数据库。攻击类型包括：联合查询注入、布尔盲注、时间盲注和带外注入。防御的黄金法则是使用参数化查询（Prepared Statements），永远不要拼接用户输入到 SQL 语句中。现代 ORM 框架（如 Drizzle、Prisma）默认使用参数化查询，大幅降低了 SQLi 风险，但原生 SQL 查询和存储过程仍是潜在风险点。