Burp SuitevsXSS

Burp Suite

Burp Suite 是 Web 安全测试的行业标准工具，提供了代理拦截、扫描器、Repeater、Intruder 等功能。几乎所有 Web 安全从业者都使用 Burp Suite。

XSS

XSS 让攻击者在受害者的浏览器中执行恶意 JavaScript，可以窃取 Cookie、劫持会话、篡改页面内容。OWASP Top 10 常客，至今仍是最常见的 Web 漏洞之一。

Burp Suite

• Web 安全测试的事实标准
• 核心功能：代理拦截、自动扫描、手动测试
• 社区版免费，专业版 $449/年

XSS

• 分为反射型、存储型和 DOM 型三种
• CSP 和输出编码是主要防御手段
• 即使在 2025 年仍是 Bug Bounty 最常见的漏洞类型

Burp Suite

提供代理拦截、自动扫描和手动测试能力的 Web 应用安全测试平台

XSS

通过在 Web 应用中注入恶意客户端脚本来攻击其他用户的安全漏洞

Burp Suite

• Web 应用的漏洞挖掘
• Bug Bounty 的核心工具
• 安全开发的测试验证

XSS

• Web 应用安全评估
• Bug Bounty 漏洞挖掘
• 安全开发培训

Burp Suite

Burp Suite 由 PortSwigger 开发，是 Web 应用安全测试最核心的工具。它作为 HTTP 代理拦截浏览器和服务器之间的所有请求，允许安全测试者查看、修改和重放请求。核心模块包括：Proxy（拦截代理）、Scanner（自动漏洞扫描）、Repeater（手动请求重放）、Intruder（自动化攻击）。Burp Suite 的插件生态也非常丰富，BApp Store 提供了数百个社区插件。

XSS

XSS 攻击通过在 Web 应用中注入恶意脚本代码，当其他用户访问受影响页面时脚本在其浏览器中执行。存储型 XSS 最危险（恶意代码持久化在服务器），反射型最常见（通过 URL 参数注入），DOM 型最隐蔽（纯客户端触发）。防御需要多层策略：输入验证、输出编码、CSP 头、HttpOnly Cookie。现代前端框架（React、Vue）默认转义输出，大幅降低了 XSS 风险，但自定义渲染和 dangerouslySetInnerHTML 仍是常见突破口。