如何配置JMeter为上游服务器、Burp Suite为代理服务器转发API至扫描器

要让JMeter脚本中的所有API请求都通过Burp Suite代理，只需按以下步骤配置：

1. 配置Burp Suite监听端口 #

确保Burp Suite处于运行状态，并且已设置好本地监听：

• 打开Burp Suite，切换到Proxy选项卡，再进入Options子选项卡
• 在「Proxy Listeners」区域，确认存在一个监听条目（默认是127.0.0.1:8080）；如果没有，点击「Add」按钮，绑定地址为127.0.0.1，选择一个未被占用的端口（比如8080），勾选「Running」启用监听

2. 设置JMeter全局代理 #

让JMeter的所有HTTP/HTTPS请求都走Burp的代理：

• 打开JMeter，点击顶部菜单栏的Options → HTTP(S) Test Script Recorder
• 在弹出的窗口中，找到「Global Settings」部分：
  • 填写「Proxy Server」为Burp的监听地址（通常是127.0.0.1）
  • 填写「Port」为Burp的监听端口（比如8080）
• 点击「Start」启动录制器（即使不需要录制，这一步也会激活全局代理配置）

3. 处理HTTPS请求的证书问题 #

如果你的API是HTTPS协议，需要将Burp的CA证书导入JMeter使用的Java环境，否则会出现SSL证书错误：

• 在Burp Suite的Proxy → Options → 「Proxy Listeners」区域，点击「Import/Export CA Certificate」
• 选择「Export Certificate in DER format」，将证书保存为burp.cer文件
• 找到JMeter对应的JRE目录下的cacerts文件（路径通常是JMeter安装目录/jre/lib/security/cacerts，或系统JRE的对应路径）
• 打开终端，执行以下命令导入证书（默认密钥库密码为changeit）：

  keytool -importcert -alias burp -file /path/to/burp.cer -keystore /path/to/cacerts
  

• 按提示输入yes确认信任该证书

4. 验证配置 #

运行你的JMeter脚本，切换到Burp Suite的Proxy → HTTP history选项卡，查看是否能捕获到JMeter发出的所有API请求。如果能看到请求日志，说明配置生效。

内容的提问来源于stack exchange，提问作者Sukhwinder Singh