渗透工具 Burpsuite 插件开发

这门课解决什么工作场景

日常做 Web 安全测试时，Burpsuite 是绕不开的抓包和修改工具。但很多自动化需求它原生功能并不直接提供：比如想按自家规则批量重放请求、把被动扫描结果实时推到内部系统、或者针对某种特定参数特征自动打标记。这门课围绕的就是这块空白——怎么通过 Restful API 和 Python SDK 给 Burpsuite 写扩展，把重复的手工操作变成自动流程。它不是讲怎么用 Burpsuite 做基础渗透，而是讲怎么把它当平台，自己往上面加功能。对于经常做大量重复性测试的安全工程师来说，这种能力能直接决定日常排期里有多少时间能省下来。

适合什么基础与建议学习顺序

这门课不适合完全没碰过 Burpsuite 的人。你得先会用它抓包、看 Proxy 和 Repeater，知道 HTTP 请求结构是什么；同时要有基本的 Python 语法基础，能自己写函数、调库。课程前半段讲 Restful API 调用，后半段讲 Python SDK 和 Jython 环境，两块是独立的能力。建议先看 Restful API 那几节，理解 Burpsuite 怎么对外暴露 HTTP 接口、主动和被动扫描的区别在哪、自定义扫描规则怎么写；这部分跑通了，再去看 Python SDK 会更顺，因为 SDK 本质上是在 Burpsuite 进程内直接调它内部对象，理解了外部 API 的行为模型，内部扩展的逻辑会更容易接住。看课时重点留意接口配置参数和自动化调用的细节，这是后续自己写脚本最容易卡住的地方。如果 Jython 环境配置不顺利，不要卡在报错上死磕，先跳到 API 部分把外部调用逻辑跑通，回头再处理环境依赖问题。

学完能独立做什么与资料配合练习

学完之后，你应该能独立写两类东西：一类是外部脚本，通过 HTTP 接口驱动 Burpsuite 做批量扫描、自动化调用、结果回传；另一类是 Burpsuite 内部插件，用 Python 实现自定义的请求处理、响应过滤、被动扫描逻辑。练习时建议这样配合资料：先跟着 Restful API 部分的演示，本地起一个 Burpsuite 实例，用课程里讲到的接口配置方式把外部调用跑通，自己改几条扫描规则验证效果；再进入 Python SDK 部分，从最简单的输出验证开始，逐步加请求拦截和修改逻辑。每个模块看完演示就立刻在自己环境里复现一遍，不要只看不动手——这门课的价值在于你能不能把示例改造成自己工作里真正要用的那个插件，而不是把演示跑一遍就结束。如果工作中正好有重复测试的场景，边学边拿真实需求当练习靶子，效果会比单纯跟着示例走好得多。