1. 先把Burp Suite的版本和运行环境搞明白再动手装很多新手拿到Burp Suite安装包就直接下一步下一步装完才发现界面全英文看不懂或者启动时报错弹出一堆看不懂的英文日志甚至装到一半就卡住不动了。我在实际帮人排查的过程中发现绝大多数安装失败、汉化失败的问题根源都不是安装步骤复杂而是从一开始就把版本选错了、JDK环境搞混了。Burp Suite目前主要分成三个大版本社区版Community、专业版Professional和企业版Enterprise。社区版是免费的功能上把自动化扫描器给砍了但手工抓包改包、Repeater重放、Intruder暴力破解虽然有速率限制这些核心功能都保留着。专业版是全功能版本需要购买许可也是实际工作中用得最多的。企业版是给团队做持续扫描用的日常单兵作战基本接触不到。这里面有一个很关键的点必须提前说清楚Burp Suite是用Java写的所以它本身不区分Windows还是Linux还是macOS它只认Java环境。你安装Burp Suite的第一步不是双击安装包而是先确认自己的机器上有没有装对应版本的JDK装的是哪个版本的JDK。Burp Suite的官方文档里写得很清楚当前主流版本要求Java 17及以上新的2023、2024版本甚至推荐Java 21。很多人在这一步就踩坑了——电脑上确实装了Java但装的是古老的Java 8或者是JRE只有运行环境没有开发工具包结果Burp Suite一启动就报错或者启动之后某些功能模块加载异常。还要注意一个特别容易混淆的地方Burp Suite的安装包会自带一个JRE在安装目录的jre文件夹里。也就是说如果你用的是安装版Installer理论上它可以不依赖系统全局的Java环境。但我个人不推荐依赖这个自带JRE原因后面在汉化部分会详细说。操作上我的建议是这样第一步先确认系统位数和版本。Windows 10、Windows 11的64位系统是主流这个基本没问题。第二步去Oracle官网或者Adoptium下载JDK 21LTS版本Windows版本选择.msi安装包或者.zip解压版都行。第三步安装完JDK之后打开命令行工具输入java -version确认输出里显示的确实是刚装的版本而不是旧的Java 8。这一步千万别跳过我见过太多人装完JDK之后根本没验证还在用旧版本的环境变量路径结果后面所有操作全部白费。确认Java版本没问题之后再进入真正的安装环节。2. 安装步骤拆解Windows、Linux、macOS三条路径的差异与坑Burp Suite的安装不同平台的操作差异比想象中大。市面上绝大多数教程默认讲Windows但实际上用macOS和Linux做安全测试的也大有人在。我把三个平台的安装流程都过一遍你根据自己的环境对号入座。2.1 Windows平台安装最顺但也不能大意Windows平台的安装基本就是一路Next但有几个选项需要留意。去PortSwigger官网下载社区版安装包或者你手里有专业版安装包双击运行。安装过程中有一步会问你要不要关联文件类型、要不要创建桌面快捷方式这些按默认勾选就行。安装路径我强烈建议不要放在C盘默认的Program Files目录下因为后面汉化、改配置文件、新建工作目录都会涉及权限问题一旦遇到UAC弹窗拦截操作起来很憋屈。我自己习惯放在D:\Tools\BurpSuite这类纯英文路径下没有空格、没有中文省掉很多潜在麻烦。安装完成之后先不要急着启动因为接下来要处理汉化和配置的事情。2.2 Linux平台的安装解压即用但要注意目录权限Linux平台没有图形化的安装向导Burp Suite官方提供的是.sh脚本安装方式。下载burpsuite_community_linux_v2024_x.sh这类文件之后给它加执行权限chmod x burpsuite_community_linux_v2024_x.sh ./burpsuite_community_linux_v2024_x.sh脚本会引导你选择安装目录默认是/home/用户名/BurpSuiteCommunity。这里有个小细节如果你是用root权限执行的安装脚本安装完成后普通用户可能会遇到无法写配置文件的权限问题。我建议用普通用户执行安装安装目录放在用户家目录下别放/opt或/usr/local这种系统级目录。工具这东西放在自己目录里权限清爽出问题也好排查。2.3 macOS平台安装注意Gatekeeper拦截macOS平台Burp Suite官方提供的是.dmg安装包拖拽安装到Applications目录就行。但macOS的Gatekeeper安全机制经常会拦截未签名或者签名异常的应用程序第一次打开时右键点击图标选择打开然后在弹窗里确认绕过。另外macOS用户要注意一个点Burp Suite默认监听的端口是8080macOS的AirPlay接收器功能默认也占用这个端口如果你装了新版macOS极有可能遇到端口冲突。遇到Burp无法正常开启代理监听时先去系统设置里关掉AirPlay接收器这个坑真的非常隐蔽。2.4 安装目录结构搞懂这些文件汉化才不会抓瞎不管哪个平台安装完Burp Suite之后你会看到安装目录下有几类关键文件。Windows的安装目录里通常有burpsuite.exe或者burpsuite.batLinux里是burpsuite脚本目录下还有lib文件夹存放核心jar包、jre文件夹内置Java运行环境、resources文件夹。汉化之所以会出各种问题根源就在于汉化包本质上就是改动lib目录下的jar包或者通过Java Agent机制在运行时动态替换界面文本。不理解这一点的人以为汉化就是简单地把一个文件复制过去替换掉结果不是目录找错就是文件版本对不上汉化完界面直接乱码。3. 汉化的完整思路不是简单的替换文件而是理解加载机制汉化是这篇博文的重头戏也是出问题最多的地方。我先把这个事情的本质讲明白你理解之后基本上就不会再被各种汉化失败的问题卡住了。3.1 汉化包的原理界面文本从哪来汉化就改哪Burp Suite的界面是Java Swing写出来的所有的按钮文字、菜单名称、标签文本都打包在lib目录下的burpsuite_pro.jar或burpsuite_community.jar这类核心jar包里面具体的类文件编译成了.class字节码字符串直接硬编码在类里。所以汉化有两种主流方案第一种方案直接修改jar包里的class文件把字符串常量替换成中文重新打包回jar。这种方式效果最彻底界面完全中文化但缺点是每次Burp升级jar包变了汉化就得重做一次而且直接改jar如果操作不当会导致校验失败程序启动不了。第二种方案用Java Agent技术做一个外挂汉化包在Burp启动时通过-javaagent参数加载内存中动态修改界面文本。这个方案不修改Burp的任何原始文件升级Burp主程序之后只要汉化包还有对应的映射文件一般也能继续用。目前网上那些流传的汉化工具其实大多数是第二种方案的实现只不过把-javaagent参数封装成了一个启动脚本你不用自己敲。3.2 汉化操作的具体步骤Windows图形版和命令行版为了方便说明我以目前网络上比较常见的汉化思路为例演示标准操作流程。先说Windows平台手动配置的过程。第一步下载汉化包。汉化包通常是一个jar文件里面包含了语言映射资源也可能直接就是一个可以独立运行的GUI工具。不管是什么形式第一步都是把它放到一个位置固定且路径不含空格的目录比如D:\BurpSuite\Hanhua\。第二步找到Burp的启动配置文件。社区版安装之后桌面快捷方式指向的是C:\Program Files\BurpSuiteCommunity\burpsuite.exe或者你自定义的路径。实际上这个exe只是个启动器真正的启动命令在安装目录下的burpsuite.bat文件里。右键编辑这个.bat文件你会看到类似这样的一行java -jar burpsuite_pro.jar第三步在这一行的java和-jar之间插入-javaagent参数指向汉化包。修改后的样子大致是java -javaagent:D:/BurpSuite/Hanhua/hanhua.jar -jar burpsuite_pro.jar这样启动时JVM会先加载汉化Agent再由它去改动界面上的字符串。如果你用的是已经打包好的一体化汉化工具它通常会要求你把汉化jar和Burp安装包放在某个指定目录然后双击运行汉化工具工具自己会生成一个带参数的新启动脚本。这个原理和我上面手动改.bat是完全一样的只是把过程自动化了。3.3 为什么有时候汉化后界面是中文了但菜单项乱码或缺失这是汉化最常见的后遗症。原因通常有两个。第一字体问题。中文文本在Java Swing里默认使用的字体可能不支持导致显示成方块或者问号。解决方法是在Burp界面里User Options用户选项里找到字体显示设置把界面的字体改成微软雅黑或者宋体中文字体渲染正常之后乱码自然消失。第二汉化包的版本和Burp版本的内部资源结构不匹配。Burp每个大版本的jar包内部类路径可能有变化老的汉化包按老路径替换新版本里这个类已经不存在了汉化就静默失败或者部分生效表现为界面一半中文一半英文。这种情况没有别的办法只能找对应版本的汉化包或者退回对应版本的Burp主程序。3.4 Linux和macOS的汉化启动写一个启动脚本一劳永逸Linux和macOS下没有.bat文件但原理一样。默认情况下命令行输入burpsuite会启动实际上它调用的还是一个java命令。汉化需要自己写一个启动脚本#!/bin/bash java -javaagent:/path/to/hanhua.jar -jar /path/to/burpsuite_pro.jar $保存为start-burp.sh加执行权限平时直接运行这个脚本即可。macOS用户在.dmg里装的是.app封装汉化稍微麻烦一点可以把.app内的Contents/Resources/app目录下的jar文件复制出来用命令行带-javaagent参数启动或者用脚本封装整个启动流程。4. 装好之后先别急着用验证这几个环节才敢开始抓包很多教程讲完汉化就算结束了但实际测试工作里装好工具只是第一步真正能否顺利抓到HTTPS流量、能否配置好和浏览器的联动才是能不能干活的关键。4.1 代理配置Burp代理本质上就是一个中间人Burp Suite的核心工作原理是在浏览器和服务器之间充当代理默认监听本机127.0.0.1:8080端口。你在浏览器里设置代理指向这个地址浏览器的所有请求就会先经过BurpBurp把请求转发给服务器同时你也就能在Burp界面上看到请求的全部细节。这个代理配置属于浏览器的基本设置。Chrome、Edge浏览器通常在设置里搜索代理打开系统的代理设置填入127.0.0.1和8080。Firefox浏览器有自己的独立代理设置在设置-网络设置里配置不影响系统全局代理所以很多人喜欢用Firefox搭配Burp做日常测试。有个很容易被忽略的细节:如果你配置了代理但发现浏览器访问不了任何网站第一个要检查的就是Burp的代理监听开关有没有打开。Burp的Proxy标签页里有一个Intercept is off/on的按钮这个按钮控制的是拦截模式和代理监听是两码事。代理没开的时候端口是空的连接直接被拒绝。4.2 CA证书导入没有这个HTTPS流量全是乱码只配置代理还不够。现在的互联网流量绝大多数是HTTPS加密的Burp默认拦截到的HTTPS请求是密文在界面上显示为一片乱码。要解密HTTPS流量必须让浏览器信任Burp自己生成的CA根证书。Burp会为每个安装实例生成唯一的CA证书浏览器在访问HTTPS网站时如果发现证书不被信任会直接拦截并弹警告。证书导入的操作步骤是这样的浏览器配置好代理指向Burp之后访问http://burpBurp会返回一个页面页面上通常有一个CA Certificate的下载按钮。下载下来之后根据操作系统的不同导入到系统受信任的根证书颁发机构里。Windows上双击.der证书文件选择安装证书存储位置选本地计算机选择将所有的证书都放入下列存储浏览找到受信任的根证书颁发机构确认导入。macOS上双击证书文件在钥匙串访问里找到该证书双击打开在信任一栏里把使用此证书时改为始终信任。导入完成之后HTTPS流量在Burp里就能看到明文了。这里出现一个很常见的坑证书导入之后浏览器仍然提示不安全怎么办大概率是你的浏览器还有自己的证书缓存重启浏览器即可。另外一个更隐蔽的原因是你导入了证书但代理没走Burp而是走了别的中间代理那证书信任链就断了。4.3 浏览器联动用插件配合比手动配代理省心一百倍日常测试中如果手动配置系统代理每次测试完毕还得记得改回去非常痛苦。我建议安装一个代理管理插件比如Firefox的FoxyProxy或者Chrome的SwitchyOmega。插件可以在工具栏上快速切换代理模式测试时选Burp日常上网选直接连接。插件配置也很简单新建一个代理场景协议HTTP服务器地址127.0.0.1端口8080保存即可。用的时候一键切换比去系统设置翻菜单高效太多了。5. 安装和汉化过程中我踩过的坑排查思路比死记步骤更重要这部分是我最想写的。安装和汉化本身的步骤并不复杂但在真实环境中因为每个人的系统环境不同遇到的问题五花八门。我挑几个高频问题结合排查思路说一下你看完就知道遇到类似情况该怎么定位而不是盲目重装。5.1 双击启动图标没反应进程一闪而过这是最常见的故障症状是双击快捷方式后鼠标转圈几秒钟桌面没任何反应任务管理器里Java进程闪一下就消失。遇到这种问题不要急着重新安装先找日志。Burp在启动失败时一般会在命令行输出错误信息但双击图形快捷方式是看不到这个信息的。正确做法是打开命令行工具定位到Burp安装目录手动执行启动命令java -jar burpsuite_pro.jar这样启动所有错误信息都会直接打在屏幕上。绝大多数情况下你看到的报错是UnsupportedClassVersionError翻译过来就是这个jar文件要求更高版本的Java运行环境而你当前用的是旧版Java。解决方案就是去升级JDK版本。还有一种情况是命令行提示找不到java命令那就是环境变量JAVA_HOME和PATH没配置好。建议直接把JDK的bin目录加到系统PATH里或者干脆在启动命令里写全路径。5.2 启动白屏或者界面卡在Loading界面这种情况经常出现在新版本Burp上。很多新版本在加载时会检查系统语言、网络连通性如果某些组件初始化超时界面就卡住不动。我的排查顺序是这样的先看看是不是JDK版本过新导致的兼容性问题因为Burp官方支持的JDK版本是明确的你用了一个特别激进的JDK内部版有些Swing组件渲染反而出问题。另一个常见原因是显卡驱动兼容性。Java Swing的渲染在个别显卡驱动下会出问题表现为窗口内容刷不出来。遇到这种情况可以尝试在启动命令里禁用硬件加速java -Djava.awt.headlessfalse -Dsun.java2d.openglfalse -jar burpsuite_pro.jar如果关掉OpenGL之后界面能正常显示那基本就是渲染环境的问题。5.3 汉化之后菜单显示正常但弹窗、右键菜单还是英文这种情况很常见原因在于汉化包覆盖的字符串有限不是所有弹窗都有对应的汉化资源。严格来说这是汉化包资源覆盖不全不是错误。解决方法是看看汉化包作者有没有说明支持哪些版本区间确认你的版本在范围内。如果确实是在范围内但仍有漏网之鱼用Burp的界面字体设置先把中文字体统一因为有些英文文本在字体不正确时甚至不会显示出来。实在影响工作了退回英文原版也不丢人。毕竟安全测试的核心是理解功能和参数中英文界面只是辅助不依赖界面文本才能提高效率。5.4 Burp和系统其他软件端口冲突如果你启动Burp之后发现浏览器配置了代理但死活连不上就检查一下8080端口是否被占用。Windows上执行netstat -ano | findstr 8080如果端口被PID占用去任务管理器找到这个PID对应的进程把它关掉或者修改Burp的代理监听端口。Burp的Proxy设置里有Proxy Listeners选项可以双击现有监听器修改端口也可以添加新的监听器。macOS上前面提过注意AirPlay接收器占用8080的问题这个我遇到过好几次了。另外还有VMware、一些调试工具也会默认用8080端口遇到端口冲突先查占用思路都是一样的。5.5 配置了代理之后Burp能抓到浏览器流量但抓不到App或终端的流量这一点虽然不是安装步骤本身但很多人在装完之后实测时都会遇到。浏览器流量默认走系统代理所以你能抓到但手机App或者一些命令行工具不一定走系统代理所以Burp这边静悄悄的。手机App抓包需要在WiFi设置里手动配置代理让手机的流量经过你电脑的IP加Burp端口。电脑命令行工具的流量通常需要显式设置HTTP_PROXY和HTTPS_PROXY环境变量或者用专门的透明代理方案这个就牵扯到更复杂的网络配置了。安装完成之后花时间做一轮连通性验证我自己习惯的验证流程是这样的启动Burp配置浏览器代理导入CA证书打开任意HTTP网站比如http://neverssl.com然后回Burp看Proxy标签页的HTTP history里有没有出现这个请求。能看到了说明链路是通的接下来可以上手干活了。5.6 最后说一个很多人问的问题汉化到底有没有必要以我的实际使用体会来说新手阶段汉化确实能降低认知负担菜单位置、选项含义不用反复查翻译学习成本低很多。但如果你打算长期吃安全测试这碗饭我建议在基本熟悉操作之后尽快切换回英文版。原因有两个一是各种安全圈的资料、教程、漏洞分析文章默认都是使用英文界面术语交流你看英文界面能更快把概念和实际功能对应起来二是Burp升级频繁英文版没有汉化滞后的问题。另外一个实操细节社区版和专业版的汉化方法不完全一样因为社区版的核心jar包文件名、内部结构都和Pro版有区别别拿Pro的汉化包硬塞给社区版装完必出问题。下载汉化包时确认它是针对你手上这个版本和这个版次的。6. 装完之后顺手做的几个优化能帮你省下大量时间这一节属于进阶经验如果你只是想在本地试一下工具可以跳过但作为日常使用频率很高的工具这些细节值得配置好。Burp的配置文件实际上是以User Options的形式保存在用户目录下的Windows大概在C:\Users\你的用户名\.BurpSuiteLinux在~/.BurpSuite。你要备份配置复制这个目录就行了下次换机器直接拷过去Burp启动时会自动读取。我自己会在刚装完、界面和代理都配置好的时候立刻做一次完整备份后续改乱了也能一键还原。还有JDK的内存参数优化。Burp在跑大流量抓包时默认内存上限可能不够用容易卡顿甚至OOM即内存溢出。在启动脚本里显式指定堆内存大小比如java -Xmx4g -jar burpsuite_pro.jar这个参数的意思是最大堆内存4GB如果你的机器内存够大可以把数字再调高。内存越充裕Burp处理大请求列表、大量历史记录时的响应速度就越跟手。最后安装目录下会生成一些临时文件、配置缓存时间长了体积会膨胀。定期清理或直接删除用户目录下.BurpSuite里的log和临时文件启动速度会明显恢复。这不是必须的操作但对长期使用体验的提升很明显。另外提一句我上面所有配置和排错的核心思路都是围绕Java环境和jar包加载机制来的。你看完如果只记住一句话那就记住这句话Burp Suite安装和汉化的大多数问题本质上是Java环境版本、jar包版本和启动参数三者之间的匹配问题。抓住这一条主线任何报错你都能找到入手点不会被网上一堆玄学教程带偏。
Burp Suite安装与汉化全攻略：从Java环境到抓包配置的实战指南
1. 先把Burp Suite的版本和运行环境搞明白再动手装很多新手拿到Burp Suite安装包就直接下一步下一步装完才发现界面全英文看不懂或者启动时报错弹出一堆看不懂的英文日志甚至装到一半就卡住不动了。我在实际帮人排查的过程中发现绝大多数安装失败、汉化失败的问题根源都不是安装步骤复杂而是从一开始就把版本选错了、JDK环境搞混了。Burp Suite目前主要分成三个大版本社区版Community、专业版Professional和企业版Enterprise。社区版是免费的功能上把自动化扫描器给砍了但手工抓包改包、Repeater重放、Intruder暴力破解虽然有速率限制这些核心功能都保留着。专业版是全功能版本需要购买许可也是实际工作中用得最多的。企业版是给团队做持续扫描用的日常单兵作战基本接触不到。这里面有一个很关键的点必须提前说清楚Burp Suite是用Java写的所以它本身不区分Windows还是Linux还是macOS它只认Java环境。你安装Burp Suite的第一步不是双击安装包而是先确认自己的机器上有没有装对应版本的JDK装的是哪个版本的JDK。Burp Suite的官方文档里写得很清楚当前主流版本要求Java 17及以上新的2023、2024版本甚至推荐Java 21。很多人在这一步就踩坑了——电脑上确实装了Java但装的是古老的Java 8或者是JRE只有运行环境没有开发工具包结果Burp Suite一启动就报错或者启动之后某些功能模块加载异常。还要注意一个特别容易混淆的地方Burp Suite的安装包会自带一个JRE在安装目录的jre文件夹里。也就是说如果你用的是安装版Installer理论上它可以不依赖系统全局的Java环境。但我个人不推荐依赖这个自带JRE原因后面在汉化部分会详细说。操作上我的建议是这样第一步先确认系统位数和版本。Windows 10、Windows 11的64位系统是主流这个基本没问题。第二步去Oracle官网或者Adoptium下载JDK 21LTS版本Windows版本选择.msi安装包或者.zip解压版都行。第三步安装完JDK之后打开命令行工具输入java -version确认输出里显示的确实是刚装的版本而不是旧的Java 8。这一步千万别跳过我见过太多人装完JDK之后根本没验证还在用旧版本的环境变量路径结果后面所有操作全部白费。确认Java版本没问题之后再进入真正的安装环节。2. 安装步骤拆解Windows、Linux、macOS三条路径的差异与坑Burp Suite的安装不同平台的操作差异比想象中大。市面上绝大多数教程默认讲Windows但实际上用macOS和Linux做安全测试的也大有人在。我把三个平台的安装流程都过一遍你根据自己的环境对号入座。2.1 Windows平台安装最顺但也不能大意Windows平台的安装基本就是一路Next但有几个选项需要留意。去PortSwigger官网下载社区版安装包或者你手里有专业版安装包双击运行。安装过程中有一步会问你要不要关联文件类型、要不要创建桌面快捷方式这些按默认勾选就行。安装路径我强烈建议不要放在C盘默认的Program Files目录下因为后面汉化、改配置文件、新建工作目录都会涉及权限问题一旦遇到UAC弹窗拦截操作起来很憋屈。我自己习惯放在D:\Tools\BurpSuite这类纯英文路径下没有空格、没有中文省掉很多潜在麻烦。安装完成之后先不要急着启动因为接下来要处理汉化和配置的事情。2.2 Linux平台的安装解压即用但要注意目录权限Linux平台没有图形化的安装向导Burp Suite官方提供的是.sh脚本安装方式。下载burpsuite_community_linux_v2024_x.sh这类文件之后给它加执行权限chmod x burpsuite_community_linux_v2024_x.sh ./burpsuite_community_linux_v2024_x.sh脚本会引导你选择安装目录默认是/home/用户名/BurpSuiteCommunity。这里有个小细节如果你是用root权限执行的安装脚本安装完成后普通用户可能会遇到无法写配置文件的权限问题。我建议用普通用户执行安装安装目录放在用户家目录下别放/opt或/usr/local这种系统级目录。工具这东西放在自己目录里权限清爽出问题也好排查。2.3 macOS平台安装注意Gatekeeper拦截macOS平台Burp Suite官方提供的是.dmg安装包拖拽安装到Applications目录就行。但macOS的Gatekeeper安全机制经常会拦截未签名或者签名异常的应用程序第一次打开时右键点击图标选择打开然后在弹窗里确认绕过。另外macOS用户要注意一个点Burp Suite默认监听的端口是8080macOS的AirPlay接收器功能默认也占用这个端口如果你装了新版macOS极有可能遇到端口冲突。遇到Burp无法正常开启代理监听时先去系统设置里关掉AirPlay接收器这个坑真的非常隐蔽。2.4 安装目录结构搞懂这些文件汉化才不会抓瞎不管哪个平台安装完Burp Suite之后你会看到安装目录下有几类关键文件。Windows的安装目录里通常有burpsuite.exe或者burpsuite.batLinux里是burpsuite脚本目录下还有lib文件夹存放核心jar包、jre文件夹内置Java运行环境、resources文件夹。汉化之所以会出各种问题根源就在于汉化包本质上就是改动lib目录下的jar包或者通过Java Agent机制在运行时动态替换界面文本。不理解这一点的人以为汉化就是简单地把一个文件复制过去替换掉结果不是目录找错就是文件版本对不上汉化完界面直接乱码。3. 汉化的完整思路不是简单的替换文件而是理解加载机制汉化是这篇博文的重头戏也是出问题最多的地方。我先把这个事情的本质讲明白你理解之后基本上就不会再被各种汉化失败的问题卡住了。3.1 汉化包的原理界面文本从哪来汉化就改哪Burp Suite的界面是Java Swing写出来的所有的按钮文字、菜单名称、标签文本都打包在lib目录下的burpsuite_pro.jar或burpsuite_community.jar这类核心jar包里面具体的类文件编译成了.class字节码字符串直接硬编码在类里。所以汉化有两种主流方案第一种方案直接修改jar包里的class文件把字符串常量替换成中文重新打包回jar。这种方式效果最彻底界面完全中文化但缺点是每次Burp升级jar包变了汉化就得重做一次而且直接改jar如果操作不当会导致校验失败程序启动不了。第二种方案用Java Agent技术做一个外挂汉化包在Burp启动时通过-javaagent参数加载内存中动态修改界面文本。这个方案不修改Burp的任何原始文件升级Burp主程序之后只要汉化包还有对应的映射文件一般也能继续用。目前网上那些流传的汉化工具其实大多数是第二种方案的实现只不过把-javaagent参数封装成了一个启动脚本你不用自己敲。3.2 汉化操作的具体步骤Windows图形版和命令行版为了方便说明我以目前网络上比较常见的汉化思路为例演示标准操作流程。先说Windows平台手动配置的过程。第一步下载汉化包。汉化包通常是一个jar文件里面包含了语言映射资源也可能直接就是一个可以独立运行的GUI工具。不管是什么形式第一步都是把它放到一个位置固定且路径不含空格的目录比如D:\BurpSuite\Hanhua\。第二步找到Burp的启动配置文件。社区版安装之后桌面快捷方式指向的是C:\Program Files\BurpSuiteCommunity\burpsuite.exe或者你自定义的路径。实际上这个exe只是个启动器真正的启动命令在安装目录下的burpsuite.bat文件里。右键编辑这个.bat文件你会看到类似这样的一行java -jar burpsuite_pro.jar第三步在这一行的java和-jar之间插入-javaagent参数指向汉化包。修改后的样子大致是java -javaagent:D:/BurpSuite/Hanhua/hanhua.jar -jar burpsuite_pro.jar这样启动时JVM会先加载汉化Agent再由它去改动界面上的字符串。如果你用的是已经打包好的一体化汉化工具它通常会要求你把汉化jar和Burp安装包放在某个指定目录然后双击运行汉化工具工具自己会生成一个带参数的新启动脚本。这个原理和我上面手动改.bat是完全一样的只是把过程自动化了。3.3 为什么有时候汉化后界面是中文了但菜单项乱码或缺失这是汉化最常见的后遗症。原因通常有两个。第一字体问题。中文文本在Java Swing里默认使用的字体可能不支持导致显示成方块或者问号。解决方法是在Burp界面里User Options用户选项里找到字体显示设置把界面的字体改成微软雅黑或者宋体中文字体渲染正常之后乱码自然消失。第二汉化包的版本和Burp版本的内部资源结构不匹配。Burp每个大版本的jar包内部类路径可能有变化老的汉化包按老路径替换新版本里这个类已经不存在了汉化就静默失败或者部分生效表现为界面一半中文一半英文。这种情况没有别的办法只能找对应版本的汉化包或者退回对应版本的Burp主程序。3.4 Linux和macOS的汉化启动写一个启动脚本一劳永逸Linux和macOS下没有.bat文件但原理一样。默认情况下命令行输入burpsuite会启动实际上它调用的还是一个java命令。汉化需要自己写一个启动脚本#!/bin/bash java -javaagent:/path/to/hanhua.jar -jar /path/to/burpsuite_pro.jar $保存为start-burp.sh加执行权限平时直接运行这个脚本即可。macOS用户在.dmg里装的是.app封装汉化稍微麻烦一点可以把.app内的Contents/Resources/app目录下的jar文件复制出来用命令行带-javaagent参数启动或者用脚本封装整个启动流程。4. 装好之后先别急着用验证这几个环节才敢开始抓包很多教程讲完汉化就算结束了但实际测试工作里装好工具只是第一步真正能否顺利抓到HTTPS流量、能否配置好和浏览器的联动才是能不能干活的关键。4.1 代理配置Burp代理本质上就是一个中间人Burp Suite的核心工作原理是在浏览器和服务器之间充当代理默认监听本机127.0.0.1:8080端口。你在浏览器里设置代理指向这个地址浏览器的所有请求就会先经过BurpBurp把请求转发给服务器同时你也就能在Burp界面上看到请求的全部细节。这个代理配置属于浏览器的基本设置。Chrome、Edge浏览器通常在设置里搜索代理打开系统的代理设置填入127.0.0.1和8080。Firefox浏览器有自己的独立代理设置在设置-网络设置里配置不影响系统全局代理所以很多人喜欢用Firefox搭配Burp做日常测试。有个很容易被忽略的细节:如果你配置了代理但发现浏览器访问不了任何网站第一个要检查的就是Burp的代理监听开关有没有打开。Burp的Proxy标签页里有一个Intercept is off/on的按钮这个按钮控制的是拦截模式和代理监听是两码事。代理没开的时候端口是空的连接直接被拒绝。4.2 CA证书导入没有这个HTTPS流量全是乱码只配置代理还不够。现在的互联网流量绝大多数是HTTPS加密的Burp默认拦截到的HTTPS请求是密文在界面上显示为一片乱码。要解密HTTPS流量必须让浏览器信任Burp自己生成的CA根证书。Burp会为每个安装实例生成唯一的CA证书浏览器在访问HTTPS网站时如果发现证书不被信任会直接拦截并弹警告。证书导入的操作步骤是这样的浏览器配置好代理指向Burp之后访问http://burpBurp会返回一个页面页面上通常有一个CA Certificate的下载按钮。下载下来之后根据操作系统的不同导入到系统受信任的根证书颁发机构里。Windows上双击.der证书文件选择安装证书存储位置选本地计算机选择将所有的证书都放入下列存储浏览找到受信任的根证书颁发机构确认导入。macOS上双击证书文件在钥匙串访问里找到该证书双击打开在信任一栏里把使用此证书时改为始终信任。导入完成之后HTTPS流量在Burp里就能看到明文了。这里出现一个很常见的坑证书导入之后浏览器仍然提示不安全怎么办大概率是你的浏览器还有自己的证书缓存重启浏览器即可。另外一个更隐蔽的原因是你导入了证书但代理没走Burp而是走了别的中间代理那证书信任链就断了。4.3 浏览器联动用插件配合比手动配代理省心一百倍日常测试中如果手动配置系统代理每次测试完毕还得记得改回去非常痛苦。我建议安装一个代理管理插件比如Firefox的FoxyProxy或者Chrome的SwitchyOmega。插件可以在工具栏上快速切换代理模式测试时选Burp日常上网选直接连接。插件配置也很简单新建一个代理场景协议HTTP服务器地址127.0.0.1端口8080保存即可。用的时候一键切换比去系统设置翻菜单高效太多了。5. 安装和汉化过程中我踩过的坑排查思路比死记步骤更重要这部分是我最想写的。安装和汉化本身的步骤并不复杂但在真实环境中因为每个人的系统环境不同遇到的问题五花八门。我挑几个高频问题结合排查思路说一下你看完就知道遇到类似情况该怎么定位而不是盲目重装。5.1 双击启动图标没反应进程一闪而过这是最常见的故障症状是双击快捷方式后鼠标转圈几秒钟桌面没任何反应任务管理器里Java进程闪一下就消失。遇到这种问题不要急着重新安装先找日志。Burp在启动失败时一般会在命令行输出错误信息但双击图形快捷方式是看不到这个信息的。正确做法是打开命令行工具定位到Burp安装目录手动执行启动命令java -jar burpsuite_pro.jar这样启动所有错误信息都会直接打在屏幕上。绝大多数情况下你看到的报错是UnsupportedClassVersionError翻译过来就是这个jar文件要求更高版本的Java运行环境而你当前用的是旧版Java。解决方案就是去升级JDK版本。还有一种情况是命令行提示找不到java命令那就是环境变量JAVA_HOME和PATH没配置好。建议直接把JDK的bin目录加到系统PATH里或者干脆在启动命令里写全路径。5.2 启动白屏或者界面卡在Loading界面这种情况经常出现在新版本Burp上。很多新版本在加载时会检查系统语言、网络连通性如果某些组件初始化超时界面就卡住不动。我的排查顺序是这样的先看看是不是JDK版本过新导致的兼容性问题因为Burp官方支持的JDK版本是明确的你用了一个特别激进的JDK内部版有些Swing组件渲染反而出问题。另一个常见原因是显卡驱动兼容性。Java Swing的渲染在个别显卡驱动下会出问题表现为窗口内容刷不出来。遇到这种情况可以尝试在启动命令里禁用硬件加速java -Djava.awt.headlessfalse -Dsun.java2d.openglfalse -jar burpsuite_pro.jar如果关掉OpenGL之后界面能正常显示那基本就是渲染环境的问题。5.3 汉化之后菜单显示正常但弹窗、右键菜单还是英文这种情况很常见原因在于汉化包覆盖的字符串有限不是所有弹窗都有对应的汉化资源。严格来说这是汉化包资源覆盖不全不是错误。解决方法是看看汉化包作者有没有说明支持哪些版本区间确认你的版本在范围内。如果确实是在范围内但仍有漏网之鱼用Burp的界面字体设置先把中文字体统一因为有些英文文本在字体不正确时甚至不会显示出来。实在影响工作了退回英文原版也不丢人。毕竟安全测试的核心是理解功能和参数中英文界面只是辅助不依赖界面文本才能提高效率。5.4 Burp和系统其他软件端口冲突如果你启动Burp之后发现浏览器配置了代理但死活连不上就检查一下8080端口是否被占用。Windows上执行netstat -ano | findstr 8080如果端口被PID占用去任务管理器找到这个PID对应的进程把它关掉或者修改Burp的代理监听端口。Burp的Proxy设置里有Proxy Listeners选项可以双击现有监听器修改端口也可以添加新的监听器。macOS上前面提过注意AirPlay接收器占用8080的问题这个我遇到过好几次了。另外还有VMware、一些调试工具也会默认用8080端口遇到端口冲突先查占用思路都是一样的。5.5 配置了代理之后Burp能抓到浏览器流量但抓不到App或终端的流量这一点虽然不是安装步骤本身但很多人在装完之后实测时都会遇到。浏览器流量默认走系统代理所以你能抓到但手机App或者一些命令行工具不一定走系统代理所以Burp这边静悄悄的。手机App抓包需要在WiFi设置里手动配置代理让手机的流量经过你电脑的IP加Burp端口。电脑命令行工具的流量通常需要显式设置HTTP_PROXY和HTTPS_PROXY环境变量或者用专门的透明代理方案这个就牵扯到更复杂的网络配置了。安装完成之后花时间做一轮连通性验证我自己习惯的验证流程是这样的启动Burp配置浏览器代理导入CA证书打开任意HTTP网站比如http://neverssl.com然后回Burp看Proxy标签页的HTTP history里有没有出现这个请求。能看到了说明链路是通的接下来可以上手干活了。5.6 最后说一个很多人问的问题汉化到底有没有必要以我的实际使用体会来说新手阶段汉化确实能降低认知负担菜单位置、选项含义不用反复查翻译学习成本低很多。但如果你打算长期吃安全测试这碗饭我建议在基本熟悉操作之后尽快切换回英文版。原因有两个一是各种安全圈的资料、教程、漏洞分析文章默认都是使用英文界面术语交流你看英文界面能更快把概念和实际功能对应起来二是Burp升级频繁英文版没有汉化滞后的问题。另外一个实操细节社区版和专业版的汉化方法不完全一样因为社区版的核心jar包文件名、内部结构都和Pro版有区别别拿Pro的汉化包硬塞给社区版装完必出问题。下载汉化包时确认它是针对你手上这个版本和这个版次的。6. 装完之后顺手做的几个优化能帮你省下大量时间这一节属于进阶经验如果你只是想在本地试一下工具可以跳过但作为日常使用频率很高的工具这些细节值得配置好。Burp的配置文件实际上是以User Options的形式保存在用户目录下的Windows大概在C:\Users\你的用户名\.BurpSuiteLinux在~/.BurpSuite。你要备份配置复制这个目录就行了下次换机器直接拷过去Burp启动时会自动读取。我自己会在刚装完、界面和代理都配置好的时候立刻做一次完整备份后续改乱了也能一键还原。还有JDK的内存参数优化。Burp在跑大流量抓包时默认内存上限可能不够用容易卡顿甚至OOM即内存溢出。在启动脚本里显式指定堆内存大小比如java -Xmx4g -jar burpsuite_pro.jar这个参数的意思是最大堆内存4GB如果你的机器内存够大可以把数字再调高。内存越充裕Burp处理大请求列表、大量历史记录时的响应速度就越跟手。最后安装目录下会生成一些临时文件、配置缓存时间长了体积会膨胀。定期清理或直接删除用户目录下.BurpSuite里的log和临时文件启动速度会明显恢复。这不是必须的操作但对长期使用体验的提升很明显。另外提一句我上面所有配置和排错的核心思路都是围绕Java环境和jar包加载机制来的。你看完如果只记住一句话那就记住这句话Burp Suite安装和汉化的大多数问题本质上是Java环境版本、jar包版本和启动参数三者之间的匹配问题。抓住这一条主线任何报错你都能找到入手点不会被网上一堆玄学教程带偏。
