burpsuite是我最喜欢的安全工具之一，有免费版和专业版（破解版这里就不贴出来了），kali自带的版本是免费版。
配置
字体
user options-display-font 修改一个中文字体，因为中文字体一般都能显示英文而英文字体显示中文经常会出bug
https
proxy
该模块用于代理截断
特殊情况代理
1.客户端不支持代理（请求头简写）
拼接host和简写的请求路径
2.请求头简写且没有host
(1)通过修改host将流量定向到burpsuite
(2)修改上图中的重定向地址为目标服务器
3.请求头简写且没有host且有多个网址
建立多个监听器
选择截断内容
1.通过正则选择截断内容
2.target
在target处可以指定scope（范围）
spider
1.手动爬网
2.自动爬网
scanner
支持主动扫描和被动扫描，同时具备扫描多种漏洞的能力。
Extender
burpsuit支持多种实用的扩展，很多扩展是基于jython的，在使用前我们应该先安装jython
下载地址：http://www.jython.org/downloads.html
下载jython-standalone-2.7.0.jar
进行如下配置
推荐插件
activeScan++
增强扫描漏洞效果，更新较快
AuthMatrix
用于检测越权漏洞
J2EEScan
针对J2EE应用进行安全扫描测试支持st2系列漏洞（但是只支持到了上古的st2-032）
BypassWAF
这款插件可以帮助你绕过某些WAF
CO2
可以直接调用sqlmap
除了插件商城这些插件，还有大量的burp插件
插件集合
intruder
intruder可以用来做fuzz
1.选择要测试的参数
2.选择攻击模式
（1）sniper
用payload分别替换选择的参数
（2）Battering ram
用一个payload同时替换所有选择的参数
（3）Pitchfork
一一对应的使用多个payload列表替换所有选择的参数
（4）Cluster bomb（常用）
测试多个payload列表的所有组合
repeater
Sequencer
分析参数中的可预测资源
