如何用Burp Suite的Intruder测试登录？请求捕获问题求助

1. 先搞清楚你抓到的请求是什么 #

你现在拿到的是网站分析工具Piwik Pro的点击行为上报请求，参数里的e_a=Click、e_n=#login-email只是在记录你点击邮箱、密码输入框的操作，和真正的登录提交接口半毛钱关系都没有。

2. 找到真正的登录请求 #

检查Burp的拦截设置 #

• 确认Firefox已经正确配置Burp代理，且Burp的Intercept处于开启状态（Intercept is on）
• 进入Proxy > HTTP history，关闭请求过滤：点击顶部的Filter按钮，不要勾选任何过滤规则，确保能看到所有请求
• 重新提交登录，在HTTP history里找目标域名app.mogenius.com下的POST请求，这才是你要的登录接口

用浏览器开发者工具定位 #

• Firefox按F12打开开发者工具，切换到网络面板，勾选保留日志
• 输入账号密码并点击登录，在网络列表里筛选：
  • 请求方法为POST的条目
  • URL包含login/auth/signin这类关键词的条目
  • 请求体包含你输入的邮箱或密码的条目（直接搜索你输入的邮箱关键词更快）
• 找到目标请求后，复制完整的请求内容，手动导入到Burp的Intruder中

3. 构造Intruder攻击参数 #

拿到正确的登录请求后：

• 如果是表单格式（Content-Type: application/x-www-form-urlencoded），参数通常为email=xxx&password=xxx，直接给这两个参数添加payload标记
• 如果是JSON格式（Content-Type: application/json），请求体一般是{"email":"xxx","password":"xxx"}，给对应的字段添加payload标记
• 注意检查请求头里的Cookie、X-CSRF-Token这类验证字段，若存在，需确保Burp能正确携带，可通过Session Handling Rules自动处理

4. 避坑提醒 #

• 单页应用常用Fetch/Axios发送请求，可能被Burp默认过滤，进入Proxy > Options > Miscellaneous勾选Support HTTP/2
• 部分登录按钮点击后会先做前端验证，验证不通过不会发送请求，确保你输入的邮箱格式符合要求后再点击提交

内容的提问来源于stack exchange，提问作者ekin deniz yıldız