Intruder 批量请求与限速
Intruder 是 Burp Suite 的批量请求模块，用于对单点参数做变形测试，典型场景是编号遍历、枚举与字典验证。四种攻击类型决定请求生成方式：单点逐值遍历、多个位置填同一值、多组字典并行推进、多组字典做组合。批量请求的风险在于数量失控，因此必须通过资源池限制并发与请求间隔，并用匹配列标记关键字快速筛出有效响应；结果要导出留档，报告中引用的是可复核的证据而不是印象。
基本信息
| 攻击类型 | 单点遍历、同位同换、并行字典、组合字典 |
|---|---|
| 限速方式 | 资源池设置最大并发数与请求延迟 |
| 结果提取 | 匹配列标记关键字，快速筛出异常响应 |
| 留档要求 | 导出结果表格并标注请求总量 |
典型使用场景
- 编号遍历：验证订单号或用户标识是否可被枚举访问
- 参数变形：对校验字段做边界与类型变化的批量验证
- 字典验证：用少量样本确认接口是否存在差异化响应
- 结果比对：按响应长度与状态码筛出异常条目
- 证据留存：把命中请求的完整请求与响应导出备用
配置要点
配置要点
1. 在请求中标记载荷位置，确认每个位置的替换范围
2. 加载字典并记录来源与规模 # 字典来源要写进工具日志
3. 资源池设置最大并发数与请求延迟，避免打满目标
4. 配置匹配列，添加判定关键字便于快速筛选
5. 保存结果表，导出含完整请求与响应的记录四种攻击类型
| 类型 | 生成方式 | 适用场景 |
|---|---|---|
| 单点遍历 | 每次只替换一个位置，逐值推进 | 编号枚举与单参数验证 |
| 同位同换 | 多个位置填入同一个值 | 多处需保持一致值的场景 |
| 并行字典 | 多组字典按顺序同步推进 | 多参数一一对应的组合 |
| 组合字典 | 多组字典做全部组合 | 字段相互独立的组合验证 |
组合类型会产生乘数级请求量：执行前先估算总数，与客户确认可承受范围，避免一次发出上万请求。