如何使用Burp Suite对REST API进行渗透测试及场景配置

一、桌面客户端场景Burp Suite抓包配置步骤 #

多数对接REST API的桌面客户端默认走HTTP/HTTPS协议通信，可按照以下顺序配置抓包：

1. 配置Burp监听规则
   打开Burp的「Proxy」-「Options」，确认代理监听地址为127.0.0.1:8080，勾选支持HTTP/HTTPS协议的选项。
2. 配置系统全局代理
   将当前设备的系统级HTTP、HTTPS代理均设置为127.0.0.1:8080，大部分无自定义代理逻辑的桌面客户端会默认继承系统代理配置。
3. 安装Burp根证书到系统信任库
   访问Burp内置地址http://burp下载cacert.der根证书，将证书安装到系统的「受信任的根证书颁发机构」存储区，避免客户端因不信任Burp自签证书拒绝通信。
4. 特殊客户端适配
   如果客户端不走系统代理，可选择以下方案处理：

• 检查客户端设置项是否存在独立代理配置入口，直接填写Burp的监听地址即可
• 用Proxifier等流量转发工具，强制指定客户端进程的所有网络流量转发到Burp监听地址
• 修改本地hosts文件，将API服务端域名绑定到127.0.0.1，同时Burp开启对应端口的隐形代理，设置请求转发到真实服务端的IP和端口

注意：如果完成以上配置仍无法抓取HTTPS请求，大概率是客户端内置了SSL证书锁定逻辑，需要先通过反编译修改客户端、Frida动态Hook等方式解除证书锁定，再进行抓包。

二、Postman配合Burp进行渗透测试的说明 #

Postman完全可以配合Burp开展API渗透测试，且能大幅提升测试效率，常用配置和使用场景如下：

1. 基础代理配置
   打开Postman的设置页，找到「Proxy」选项，开启全局代理并将代理地址设置为Burp的监听地址127.0.0.1:8080，配置完成后Postman发出的所有请求都会经过Burp，可直接在Burp中完成拦截、修改、重放、漏洞扫描等操作。
2. 常用协作场景：

• 从Burp中导出抓取到的客户端API请求为curl格式，直接导入Postman即可自动生成结构化的请求条目，无需手动填写请求头、参数、鉴权字段
• 可在Postman中批量管理同站点的所有API，配置全局变量（如登录态Token、公共请求头），调整参数后发包的同时Burp可完整记录请求响应链路，方便开展越权、注入、未授权访问等测试
• 遇到带请求签名校验的API时，可在Postman中编写前置脚本自动生成合法签名，再将请求转发到Burp进行渗透测试，无需手动计算签名修改请求

内容的提问来源于stack exchange，提问作者anonymous