《BurpSuite漏洞扫描实战指南》陈鑫杰主讲【Web安全渗透系列视频课程】

先弄清这门课到底解决什么场景

很多做 Web 系统的技术人，或者正准备转岗做安全测试的人，最头疼的事不是不懂理论，而是拿着工具不知道怎么动手。看了一堆 OWASP Top Ten 的名词，真到了要给一个网站做漏洞排查时，却连请求包该怎么拦截、参数怎么改、扫描结果怎么验证都搞不清楚。这门以 BurpSuite 为核心的实战视频课，解决的就是这个“工具拿起来就能用”的问题。它不是泛泛讲安全概念，而是把整个 Web 渗透测试的日常动作拆开，带你从代理抓包开始，一步步走到主动扫描和注入验证。如果你平时的工作涉及系统开发、接口联调、运维或者应用安全评估，需要独立排查自己系统的安全风险，这套课程的场景定位非常精准。

适合什么基础，建议先看哪几块

这套资料不要求你已经是安全专家，但需要你懂基本的 HTTP 协议，知道 GET 和 POST 请求长什么样，最好自己动手写过简单的网页或调用过接口。完全没碰过 Web 开发的人直接看，容易卡在理解请求响应的环节。如果你符合这个基础，建议先重点看代理拦截、目标站点分析和重放测试这三个核心模块。代理抓包是整个工具链的地基，看懂了怎么在浏览器和服务器之间挡截数据，后面的主动扫描和批量爆破才有意义。重放模块单独看，因为它是手工验证漏洞的核心，扫描器跑出来的可疑点，最终都要靠这里手动调参数去确认。把这三块吃透，其他辅助功能和实战案例就是顺着往下走的自然延伸。课程后半段结合二氧化碳插件做 SQL 注入的实战案例，适合在掌握前面基础操作后再看，直接跳过去容易知其然不知其所以然。

学完能独立做什么，资料怎么配合练习

看完这套视频，你应该能独立对一个授权的 Web 应用做基础的安全体检。具体来说，能配置好浏览器代理抓取数据流，用爬虫摸清目标站点的目录结构，跑一遍主动扫描找出潜在的高危风险点，然后手动修改请求包去验证跨站脚本或 SQL 注入到底能不能打通。这不是纸上谈兵，而是能直接写进测试报告的实际产出。练习时，强烈建议搭一个本地的靶场环境，跟着视频进度同步操作。看代理拦截时，就自己在浏览器里点几个页面，看数据包怎么在工具里停住；看扫描功能时，就拿本地靶场跑一遍，观察它报出哪些漏洞。千万不要只盯着视频看，工具类课程离开动手操作，隔天就会忘光。遇到卡壳的地方，倒回去看重放和对比模块的演示，这两个功能就是用来帮你比对原始请求和篡改请求差异的，理解了差异，就理解了漏洞原理。