先设范围再挂代理
Burp Suite 的范围（Scope）设置决定哪些流量属于本次授权目标：把授权域名与网段加入目标范围并启用套用范围，范围外流量会被标记并在拦截时跳过。它的作用是防止评估过程中的探测落到第三方系统（如 CDN、统计服务、外部 API）上——这类越界请求在合规层面属于事故，不是小事。
基本信息
| 设置入口 | Target → Scope（目标范围） |
|---|---|
| 规则形式 | 精确主机名或正则表达式 |
| 联动位置 | Proxy → Options → 拦截规则中选择套用范围 |
| 核对时机 | 进场配置完代理后立刻验证范围生效 |
典型使用场景
- 项目进场配置代理时的第一步动作
- 浏览器全量走代理时过滤掉无关站点
- 限制主动扫描与爬虫的作用范围
- 多人协作时统一范围定义，避免各自设置不同
- 复测阶段核对范围是否包含了新增资产
Scope 配置要点
Scope 配置要点
Target → Scope → Add：
app.example.com
203.0.113.10
^https://.*\.example\.com$
Proxy → Options → Intercept Client Requests：
勾选仅拦截范围内的请求
Scanner / 爬虫：同样限定在范围内运行
留档：把范围定义写入项目实施方案与实际测试范围章节范围外流量的处理
| 流量类型 | 是否在范围内 | 处理方式 |
|---|---|---|
| 目标业务域名 | 是 | 正常拦截与分析 |
| CDN 静态资源域 | 通常否 | 允许直连，不发起主动扫描 |
| 第三方 API 与统计服务 | 否 | 不拦截、不测试 |
| 浏览器后台与更新请求 | 否 | 设置排除规则或关闭相关更新 |
| 同 IP 的其他站点 | 需确认 | 按授权范围核对后决定 |
范围里放正则时要收紧：过宽的规则会把 CDN 与第三方域名一并纳入，既污染证据也带来越界风险。
未设范围就让浏览器全量流量走代理，会在不知不觉中对外部站点发起请求；评估开始前先完成范围设置，再打开被测站点。