BurpSuite 下载安装与 HTTPS 抓包配置全流程避坑指南

简介：这份资源面向安全测试与渗透测试方向的学习者及从业者，提供 Burp Suite 集成化 Web 应用安全测试工具的完整下载包，可用于漏洞探测、请求拦截与攻击模拟等授权测试场景，适合具备一定网络与 HTTP 基础的中级用户。压缩包共 943 个文件，约 730.98MB，涵盖 dll、dylib、so 等跨平台动态库，exe、bat、vbs、sh 等启动与清理脚本，以及 jar、properties、policy、license 等运行配置与说明文档，覆盖 Windows、Linux、macOS 多系统环境。资源已有 2651 人学习下载，具备一定参考热度。包内附中英文启动脚本、无命令行窗口启动方式及清除许可证与数据的批处理文件，便于在不同测试场景间切换环境；随附使用说明文档可辅助完成安装、配置与操作入门，帮助读者快速搭建可用的测试平台并理解各模块协作方式。

1. 从一次证书报错说起：BurpSuite 下载前的环境账要先算清

上周帮一个做安全测试的朋友收拾机器，他装完 BurpSuite 打开浏览器代理，满屏都是NET::ERR_CERT_AUTHORITY_INVALID，抓包列表一条 HTTPS 都解不开。折腾一下午，最后发现不是 BurpSuite 的问题，是 JDK 版本和系统证书库对不上。这类翻车在安全测试、渗透测试入门阶段太常见了——工具本身装上了，环境没对齐，等于白装。BurpSuite 是 Java 写的，下载之前得先把 JDK 版本、系统位数、磁盘路径这几笔账算清楚，否则后面配置代理、导入证书全是玄学。这篇笔记按我自己的装机顺序走一遍：先定版本和依赖，再下载解压，然后配代理和证书，最后验证抓包能不能通，中间把踩过的坑一并记下来。

2. 装前定版本：JDK、系统位数与安装包怎么选

2.1 先确认 JDK 版本，别让运行时拖后腿

BurpSuite 各版本对 JDK 的要求不一样，社区版和专业版在启动脚本里都会检查 Java 运行时。我一般先看机器上现有的 Java，再决定是复用还是单独装一个。

# 查看当前 Java 版本和安装路径 java -version # 输出示例：openjdk version "17.0.9" 2023-10-17 which java # 再看系统里装了哪些 JDK ls /usr/lib/jvm/ 2>/dev/null || ls "C:\Program Files\Java" 2>/dev/null

java -version看的是 PATH 里第一个 Java，which java确认它到底指向哪。很多机器上装了多个 JDK，PATH 指向的未必是你以为的那个。常见做法是给 BurpSuite 单独指定 JDK，不去动系统默认的 Java，避免影响其他依赖 Java 的服务。较新的 BurpSuite 版本一般要求 JDK 17 及以上，老版本在 JDK 8 上也能跑，但 TLS 握手和证书处理会有差异，安全测试场景下我倾向用 JDK 17 起步。如果机器上只有 JDK 8，别硬凑，单独下一个 JDK 17 解压到独立目录，启动时用环境变量指过去就行。

2.2 系统位数和安装包形态的取舍

BurpSuite 官方提供的是跨平台的 jar 包加启动脚本，没有传统意义上的 exe 安装程序（部分版本有安装器，本质还是解压加写注册表）。下载前确认系统是 64 位，32 位系统现在基本不在考虑范围内。安装包形态上分两种：一种是带安装向导的安装器，会帮你建桌面快捷方式和文件关联；另一种是纯压缩包，解压即用。我一般选压缩包，原因很简单——迁移方便，换机器整个目录拷走就行，卸载也干净，不留注册表残渣。

路径这条要单独强调。Windows 下装在C:\Program Files\BurpSuite没问题，但别放在C:\用户\张三\桌面\安全工具这种带中文和空格的路径里，启动脚本里的-jar参数解析会出问题，现象是双击没反应或者一闪而过。Linux 和 macOS 同理，放/opt/burpsuite或~/tools/burpsuite这类干净路径最省心。

2.3 下载渠道与校验

从官方渠道拿到安装包后，先核对文件大小和哈希，别急着双击。压缩包解压前用sha256sum（Linux/macOS）或certutil -hashfile（Windows）算一遍，和发布页给的值对一下。这一步不是形式主义，安全测试工具本身被篡改的风险比普通软件高，装个带后门的抓包工具等于把流量全交出去。

# Linux/macOS 校验下载包完整性 sha256sum burpsuite_community_linux_v2024.x.zip # Windows 下用 certutil certutil -hashfile burpsuite_community_windows_v2024.x.exe SHA256

哈希对不上就重新下，别抱侥幸心理。解压后目录结构一般是BurpSuiteCommunity/或BurpSuiteProfessional/，里面包含burpsuite.jar、启动脚本和jre目录（部分版本自带精简 JRE）。自带 JRE 的版本可以省去单独配 JDK 的步骤，但自带 JRE 版本往往偏旧，遇到 TLS 1.3 站点还是可能握手失败，我一般还是用系统装的 JDK 17 覆盖掉。

3. 安装与首次启动：解压、路径与 JVM 参数

3.1 解压落地与目录规划

下载完的压缩包解压到规划好的目录，Linux/macOS 下给启动脚本加执行权限。

# 解压到 /opt 下，保持目录干净 sudo mkdir -p /opt/burpsuite sudo unzip burpsuite_community_linux_v2024.x.zip -d /opt/burpsuite # 给启动脚本执行权限 sudo chmod +x /opt/burpsuite/BurpSuiteCommunity/burpsuite # 建个软链接方便命令行调用 sudo ln -sf /opt/burpsuite/BurpSuiteCommunity/burpsuite /usr/local/bin/burpsuite

-d指定解压目标目录，chmod +x让脚本可执行，软链接是为了在任意目录下敲burpsuite就能启动。Windows 下解压后直接双击BurpSuiteCommunity.exe或对应的.bat启动脚本即可，不需要额外授权步骤。macOS 下如果提示「无法打开，因为无法验证开发者」，去系统设置的隐私与安全性里放行一次，这是 Gatekeeper 的正常拦截，不是包坏了。

3.2 JVM 堆内存参数怎么调

BurpSuite 默认的 JVM 堆偏保守，跑大项目或者开大量扫描任务时容易卡顿甚至 OOM。启动脚本里一般有-Xmx参数，可以按机器内存调整。

# 编辑启动脚本，找到 JAVA_OPTS 或类似变量 # 原值可能是 -Xmx1024m，改成 2048m 或 4096m JAVA_OPTS="-Xmx2048m -XX:+UseG1GC"

-Xmx2048m把最大堆设成 2 GB，机器内存 16 GB 以上可以给到 4 GB；-XX:+UseG1GC换用 G1 垃圾回收器，长时间抓包场景下停顿更短。别一上来就给 8 GB，堆太大反而让 GC 周期变长，响应变迟钝。改完保存，重启生效。Windows 下改的是.bat或.vbs启动脚本里的对应行，逻辑一样。

3.3 首次启动与项目文件选择

首次启动会弹一个对话框让你选「临时项目」还是「新建项目文件」。临时项目不落盘，关掉就没了，适合快速验证；正式测试用新建项目文件，把配置和历史记录存下来。项目文件本质是个二进制容器，体积会随抓包量增长，别放在同步盘目录里，容易冲突损坏。启动后主界面出来，先别急着配浏览器，去 Proxy 标签页确认监听地址和端口，默认是127.0.0.1:8080，这个后面配浏览器代理要用到。

4. 代理与证书配置：让 HTTPS 流量真正可读

4.1 浏览器代理指向 BurpSuite 监听端口

BurpSuite 默认在127.0.0.1:8080起一个代理监听。浏览器侧要么装个代理切换插件手动指过去，要么用系统代理设置。我一般用插件，切换方便，不影响其他应用的网络。

代理类型：HTTP / HTTPS 代理主机：127.0.0.1 代理端口：8080 对以下地址不使用代理：localhost, 127.0.0.1

最后一行很关键，本地调试的服务别走代理，否则自己抓自己形成环路，现象是页面一直转圈。配完在浏览器访问一个 HTTP 站点，BurpSuite 的 Proxy -> HTTP history 里应该能看到请求记录。看不到就检查端口是否被占用，netstat -ano | findstr 8080（Windows）或lsof -i :8080（Linux/macOS）看谁占着。

4.2 导入 CA 证书解决 HTTPS 解密

HTTP 能抓了，HTTPS 还是解不开，因为 BurpSuite 要充当中间人，浏览器得信任它的 CA 证书。步骤是先在 BurpSuite 里导出证书，再导入到浏览器或系统证书库。

BurpSuite 内操作路径： Proxy -> Options -> Proxy Listeners -> 选中监听器 -> Edit -> 切到 Request handling 或直接看 Import/Export CA certificate -> Export -> Certificate in DER format -> 保存为 burp.der

导出后导入浏览器。以常见浏览器为例，进入证书管理页面，选「导入」，选burp.der，导入到「受信任的根证书颁发机构」存储区。导入时系统可能弹安全警告，确认即可。导入完重启浏览器，再访问 HTTPS 站点，Proxy 的 history 里应该能看到明文请求和响应。如果还是报证书错误，检查是不是导入到了「个人」而不是「受信任的根证书」存储区，这是最常见的错位。

提示：证书有效期有限，BurpSuite 版本升级后 CA 可能重新生成，升级后记得重新导出导入一次，否则 HTTPS 又解不开。

4.3 移动端或独立客户端的证书处理

抓手机 App 的流量时，代理指向电脑的局域网 IP 加 8080 端口，手机浏览器访问http://burp下载证书并安装。Android 7 以上对用户证书默认不信任，需要把证书装到系统证书区（要 root）或者在 App 的网络安全配置里放行用户证书。iOS 装完证书还要去「关于本机 -> 证书信任设置」里手动打开完全信任开关，这一步漏了就是抓不到。这些细节和 BurpSuite 本身无关，但安全测试场景下绕不开，装完工具先拿自己的测试环境走一遍全流程，比直接上目标站点稳。

5. 避坑排查：五条装完才发现的翻车记录

5.1 双击启动一闪而过

现象：Windows 下双击启动脚本，窗口闪一下就没了，任务管理器里也看不到 Java 进程。原因多半是启动脚本里的 Java 路径带空格或中文，或者 PATH 里的 Java 版本不满足要求。解决：用命令行cmd进到安装目录手动执行启动脚本，看报错输出；把安装路径挪到纯英文无空格目录；确认java -version输出满足最低版本。我一般直接在命令行启动，报错看得见，比双击强。

5.2 浏览器配了代理但抓不到任何请求

现象：代理插件显示已启用，BurpSuite 的 history 空空如也。原因可能是代理插件只对特定协议生效，或者浏览器开了「对 localhost 不使用代理」把目标也排除了，也可能是 BurpSuite 监听器绑在了127.0.0.1而浏览器在另一台机器上。解决：先在浏览器访问http://burp，能打开说明代理链路通；打不开就查端口占用和防火墙；确认监听器地址是0.0.0.0或正确的局域网 IP（跨机器场景）。

5.3 HTTPS 全红，证书导入后依旧报错

现象：证书导入了，浏览器还是提示不安全。原因通常是导入的存储区不对，或者浏览器有自己的证书库没同步系统库。解决：确认导入到「受信任的根证书颁发机构」；Firefox 这类用独立证书库的浏览器要在它自己的设置里单独导入；导入后完全退出浏览器再重开，别只关标签页。

5.4 启动后界面卡死或频繁无响应

现象：打开大项目或者跑扫描时界面卡住。原因多是 JVM 堆不够，或者项目文件放在网络盘、同步盘上导致 IO 阻塞。解决：按 3.2 调大-Xmx；项目文件挪到本地磁盘；关掉不必要的扫描任务并发。我一般把堆设成物理内存的四分之一左右，留足余量给系统。

5.5 升级后配置丢失或证书失效

现象：换了新版本，之前的项目打不开，或者 HTTPS 又解不开了。原因：大版本升级可能改了项目文件格式，CA 证书也可能重新生成。解决：升级前备份项目文件和配置；升级后重新导出导入 CA 证书；项目文件格式不兼容时用旧版本导出再导入新版本，别直接覆盖。

6. 装完怎么验证：三条链路走通才算真装好

装完别急着上目标，先拿自己的环境把三条链路走一遍，全通了才算这套环境立住了。第一条是 HTTP 抓包链路：浏览器配好代理，访问一个 HTTP 测试页，BurpSuite 的 Proxy -> HTTP history 里能看到完整请求和响应，状态码、请求头、响应体都在。第二条是 HTTPS 解密链路：访问一个 HTTPS 站点，history 里能看到明文，说明 CA 证书信任链打通了。第三条是重放链路：在 history 里右键任意请求选 Send to Repeater，在 Repeater 里改一个参数点 Send，能看到服务端返回变化，说明请求构造和回显都正常。

验证清单（逐条打勾）： [ ] HTTP 请求出现在 Proxy -> HTTP history [ ] HTTPS 请求在 history 中显示为明文 [ ] Repeater 中修改参数后能收到新响应 [ ] 关闭浏览器代理后，BurpSuite 不再记录新请求 [ ] 重启 BurpSuite 后项目文件能正常打开

最后一条容易被忽略：关掉代理后 BurpSuite 应该安静下来，如果还在刷记录，说明有别的应用或系统级代理在往这里送流量，排查一下免得干扰测试判断。我习惯每次装完或升级完都把这五条走一遍，尤其是证书那条，升级后 CA 重新生成的情况遇到过不止一次，不验证就上目标，抓半天全是密文，白费时间。这套流程走顺了，后面换机器、换版本都是照方抓药。希望帮到你。

本文还有配套的精品资源，点击获取