Burp Suite Intruder模块实战：从基础配置到高级自动化攻击

1. Intruder模块基础：从零开始配置攻击

第一次打开Burp Suite的Intruder模块时，我完全被那些专业术语搞懵了。但经过多次实战后发现，它本质上就是个"自动化请求发送器"——就像你雇了个不知疲倦的助手，能24小时不停向网站发送各种测试数据。想象一下手工测试SQL注入时，你得反复修改URL参数提交请求，而Intruder能自动帮你完成上千次这种重复劳动。

核心配置三要素缺一不可：

• Positions：告诉工具"往哪打"，用§符号标记攻击点。比如测试登录接口时，把username=§test§&password=§123456§中的参数值包裹起来
• Payloads：准备"弹药库"，可以是字典文件、数字序列或自定义字符组合
• Attack type：选择"战术打法"，就像玩射击游戏选单点还是扫射

实测中最容易踩的坑是忘记勾选"URL-encode payloads"，导致特殊字符被服务器直接过滤。有次测试XSS漏洞时，我准备的 payload因为没编码，直接被WAF拦截，白白浪费两小时排查原因。

2. 四种攻击模式深度解析与实战选择

2.1 Sniper模式：精准点射

最适合测试单个参数漏洞，比如检测用户ID是否存在SQL注入。它会按顺序把每个payload轮流放到所有标记位置。我常用它来快速验证盲注漏洞，配置步骤：

1. 在查询参数id=§1§处做标记
2. 加载包含SQL注入语句的字典文件
3. 设置响应长度差异超过10%时自动停止

但要注意响应时间差异！有次测试延时注入，页面默认加载2秒，注入成功时会延迟到5秒，这种场景就需要开启"Response time"分析功能。

2.2 Battering Ram模式：集团冲锋

同时向所有标记位置注入相同payload。去年审计某OA系统时，发现其多参数共用同一过滤逻辑，用这个模式快速验证了全局过滤缺陷。典型应用场景：

• 测试CSRF Token在多处的同步机制
• 验证全站统一的XSS防护策略
• 检查多个接口的相同参数处理逻辑

2.3 Pitchfork模式：组合打击

需要两组严格对应的数据时使用，比如测试"用户名枚举+密码爆破"组合攻击。关键是要确保