直接开篇说重点。不少刚接触安全测试的朋友第一次打开 BurpSuite 的安装教程就被一堆版本号、环境变量、激活脚本绕晕了尤其是 2025 年这个节点官方调整了版本发布节奏网上很多旧教程里的下载链接和配置方式已经失效或者说不再适用。这篇就基于当前最新版本的实际安装流程从零开始把每个环节讲清楚包括 JDK 版本怎么选、安装包去哪下、启动参数怎么调、常见报错怎么处理全程不绕弯子。这篇内容适合几类人刚入门想搭一套本地测试环境的学生、需要在自己电脑上配置抓包工具的开发者以及想把 BurpSuite 装到干净环境里做评估的安全测试人员。不管你是 Windows 还是 macOS只要照着下面的步骤走基本都能一次装好。1. 安装前的核心思路先搞清楚版本组合再动手很多人装 BurpSuite 失败不是因为操作不对而是没搞明白 BurpSuite 和 Java 运行环境之间的版本匹配关系。BurpSuite 本身是用 Java 写的图形化工具它自己不携带运行时环境所以你机器上必须有 JDK 或者 JRE而且版本必须对得上。2025 年这个时间点BurpSuite 官方对 Java 版本的要求已经提升到 Java 17 以上。如果你还在用 Java 8 或者 Java 11启动的时候大概率会直接报UnsupportedClassVersionError或者Unsupported major.minor version这类错误原因就是编译用的 JDK 版本比运行时的版本高JVM 不认。这里有一个比较实用的判断逻辑新版本 BurpSuite 用的是 Java 17 的字节码你就直接装 Java 17 或者 Java 21。Java 21 是长期支持版本稳定性好后续升级 BurpSuite 也不用频繁换 JDK。如果电脑上已经装了多个 Java 版本务必要把环境变量JAVA_HOME指到正确的版本上否则命令行里java -version显示的版本和你实际用的版本可能不是同一个排查起来非常容易卡住。另外一个容易忽略的点是安装包类型。BurpSuite 官方提供 Windows 安装版.exe和跨平台压缩包.jar两种形式。Windows 安装版会自动处理部分环境配置但实际运行依赖还是走 Java.jar 包更适合 macOS 和 Linux也方便手动控制启动参数。我的建议是优先用官方压缩包因为可以看到完整的启动日志出问题时排查起来更直观。还有一点要提前说清楚BurpSuite 分社区版和专业版。社区版是免费的功能上有一些限制比如扫描器只支持基础的主动扫描很多扩展插件也不能用专业版需要授权。如果你是个人学习用途社区版完全够用先把抓包、改包、重放这些基本功练扎实再说。2. 环境准备JDK 安装与多版本共存的避坑方案在装 BurpSuite 之前先把 Java 环境搞定。这里给出一套经过验证的 JDK 安装步骤适用于 Windows 10/11 和 macOS。第一步打开系统自带的终端或者命令行工具输入java -version看一下当前环境。如果提示找不到命令说明你还没装 Java如果有输出记一下版本号确认是不是大于等于 17。这里有个细节有些电脑之前装过其他软件可能顺手带了一个低版本 JRE比如1.8.0_311这种就必须升级。第二步去 OpenJDK 下载页面选择 Java 21 的 Windows x64 或者 macOS 对应架构的安装包。这里特别提醒一下Apple Silicon 芯片的 Mac 要选aarch64版本Intel 的 Mac 选x64版本选错了会提示无法安装或者安装后无法启动。Windows 用户如果没有特殊需求选 x64 基本没错。第三步安装 JDK 的时候Windows 版本默认会配置JAVA_HOME环境变量但有时安装器勾选“设置 JAVA_HOME”这一项的时机比较隐蔽装完以后最好自己检查一遍。按 Win R 输入sysdm.cpl切到“高级”选项卡点“环境变量”在系统变量里确认或者新建JAVA_HOME值填 JDK 的安装根目录比如C:\Program Files\Java\jdk-21。然后在Path变量里追加%JAVA_HOME%\bin。第四步重新打开一个命令行窗口依次执行java -version和javac -version确认两个命令输出的版本一致。这一步非常关键因为有的机器上Path里残留了旧版本的 Java 路径导致命令行里执行的还是旧 JDK。如果出现这种情况就把Path里的旧路径删掉只保留JAVA_HOME\bin。对于需要同时跑旧项目和新工具的朋友我建议不要手动改环境变量而是装一个版本管理工具比如 Windows 上可以搜索使用jenv的替代方案macOS 用户可以用jenv或者直接修改~/.zshrc里的路径映射。这样每次切换项目只需要改一下当前 shell 的JAVA_HOME指向不用反复去改系统环境变量能省很多事。3. 获取 BurpSuite 安装包官方渠道和下载后的完整性验证BurpSuite 的安装包来源一定要认准官方。直接在搜索引擎里搜“BurpSuite 下载”很容易混进第三方镜像站这些站点提供的包可能是旧版本、改装版本甚至捆绑了不干净的东西。对于安全工具安装包的完整性直接关系到后续使用的安全性这一点一定不能放松。官方下载页面的常见入口是 PortSwigger 官网的下载区域进去以后能看到社区版和专业版的下载按钮。社区版直接下载即可不需要注册专业版需要账号付费。下载的时候要注意文件的体积和命名。2025 年的 BurpSuite 社区版安装包Windows 版体积大概在 50MB 到 80MB 之间macOS 版的 .jar 包体积也类似。如果你下载到的文件只有十几MB那大概率有问题极有可能是网页上的广告按钮冒充的下载链接。别问我怎么知道的问就是踩过坑。下载完成后强烈建议你验证一下文件的哈希值。在命令行里用certutil -hashfileWindows或者shasum -a 256macOS计算下载文件的 SHA-256 值然后去官网的版本发布页面核对官方给出的哈希值。如果对不上说明文件在下载过程中损坏或者被替换过这时候宁可重新下载一次也不要冒险运行。哈希验证这个习惯平时装其他工具可能无所谓但装 BurpSuite 这类安全测试工具我会建议你每次都做一遍。因为这类工具权限很高能代理你机器上的所有流量一旦拿到的是被篡改的版本后果非常严重。多花一分钟做校验后面用得才安心。4. 安装与首次启动Windows 版和 macOS 版的完整流程4.1 Windows 安装版.exe的安装步骤如果你下载的是.exe安装文件安装过程本身其实很简单。双击运行按照提示点 Next选择合适的安装目录比如D:\Tools\BurpSuite然后等待安装完成。这里不建议装在系统盘 C 盘因为 BurpSuite 会产生日志和临时文件放在专门的工具目录里更好管理后续升级或者卸载也不会留一堆残留。安装完成后桌面会出现一个快捷方式。先别急着双击启动右键快捷方式选“属性”在“目标”字段的末尾追加启动参数。这不是必须的但我建议加上--disable-gpu。原因在后面启动问题排查那一节会详细讲这里先照做。首次启动时系统会弹出一个对话框让你选择是使用社区版还是专业版。选社区版即可然后等待初始化加载。社区版启动后会自动检查更新如果你所在的网络环境访问官方更新服务比较慢启动过程可能会卡住一阵这时候耐心等一下如果等了两三分钟还是没动静再考虑配置代理或者离线使用。4.2 macOS 版.jar 包的安装步骤macOS 用户建议直接下载.jar压缩包因为官方也推荐这种方式。解压以后你会得到一个.jar文件用终端进入该文件所在目录执行java -jar burpsuite_community.jar如果你用的是 Apple Silicon 芯片的 Mac并且前面正确安装了aarch64版本的 JDK这条命令就能正常拉起图形界面。如果提示Unable to detect Java说明系统没找到 Java 运行时回到环境变量配置那里检查一下JAVA_HOME。为了方便后续启动可以在~/.zshrc里加一个别名alias burpjava -Djava.awt.headlessfalse -jar /你的路径/burpsuite_community.jar这样以后在终端直接输入burp就能启动不用每次敲一长串路径。4.3 首次启动配置项目文件和临时目录BurpSuite 启动以后会进入一个项目选择窗口让你选择“临时项目”或者“保存项目”。新手建议选临时项目先熟悉界面等真正开始做测试时再创建持久化项目。这里有一个很重要的细节每次启动时BurpSuite 会要求你确认项目文件路径。如果你选了临时项目那么所有的配置、抓包记录、站点地图数据都只保存在内存里退出以后就没了。如果你要长期做某个目标的测试建议创建一个独立的项目文件把数据持久化下来避免中途崩溃丢数据。第一次进主界面左侧是导航面板右侧是工作区。不用急着点那些功能按钮先把最顶部的 Proxy 选项卡打开检查一下代理监听地址是不是127.0.0.1:8080。这是 BurpSuite 默认的代理端口后续配置浏览器代理时会用到。5. 核心功能配置代理监听与浏览器接管安装好 BurpSuite 之后最重要的就是配置代理不然它就是一坨不会干活的静态界面。BurpSuite 的核心工作方式是作为中间人代理拦截浏览器和服务器之间的请求与响应。你把浏览器的流量指向 BurpSuite 监听的端口BurpSuite 就能看到、修改、重放这些数据包。BurpSuite 默认监听127.0.0.1:8080这个设置在绝大多数场景下都够用。如果你需要在局域网内的其他设备上抓包比如手机 App 的流量那就得在 Proxy - Options 里把监听地址改成0.0.0.0:8080这样局域网内其他设备就能通过你的电脑 IP 加端口访问。浏览器那边的配置方式我这里直接给你一个最省事的方案安装浏览器的代理切换扩展比如 Firefox 的 FoxyProxy 或者 Chrome 的 SwitchyOmega。新建一个代理配置代理类型HTTPIP 地址127.0.0.1端口8080然后把这个配置设为当前生效。之后浏览器的所有 HTTP 和 HTTPS 流量就会经过 BurpSuite。这里有个新手经常懵的地方配置完代理以后打开浏览器访问任何 HTTPS 网站都会提示证书不信任。这是因为 BurpSuite 为了解密 HTTPS 流量需要生成自己的 CA 证书而浏览器默认不信任这个证书。解决办法是导出并安装 BurpSuite 的 CA 证书到系统信任区。具体操作浏览器访问http://burp页面上会有一个“CA Certificate”按钮点击下载证书文件。然后在操作系统的证书管理里把这个证书添加到“受信任的根证书颁发机构”。这一步完成后再次访问 HTTPS 网站就不会报错了BurpSuite 也能正常截获和解析 HTTPS 明文内容。证书安装这块Windows 和 macOS 的路径不太一样但操作逻辑是相同的导入到系统信任根。有个容易踩的坑是有些人在浏览器里导入了证书但 BurpSuite 设置的代理只对默认浏览器生效换了浏览器就全部失效。建议在整个安装调试过程中固定用同一个浏览器等全部配通了再按需切换。6. 启动加速与内存配置JVM 参数调优经验BurpSuite 本身是一个 Java 应用启动速度和运行流畅度受 JVM 参数影响很大。默认情况下直接双击启动或者执行java -jar会用 JVM 的默认堆内存BurpSuite 这种工具处理大量请求时内存经常不够用表现就是界面卡顿、抓包延迟甚至直接卡死。我在实际使用中验证过一套比较稳的启动参数java -Xmx2g -Xms512m -XX:UseG1GC -Djava.awt.headlessfalse -jar burpsuite_community.jar-Xmx2g设置最大堆内存为 2GB如果你的电脑内存有 16GB可以加到-Xmx4g。-Xms512m初始堆内存 512MB避免启动时频繁伸缩堆大小。-XX:UseG1GC使用 G1 垃圾回收器减少长时间 GC 造成的停顿。在 Windows 上如果你想双击快捷方式就生效可以把这些参数写在快捷方式“目标”字段里或者写一个.bat启动脚本放在桌面。比如新建start-burp.bat内容如下echo off set JAVA_HOMEC:\Program Files\Java\jdk-21 %JAVA_HOME%\bin\java -Xmx2g -Xms512m -XX:UseG1GC -jar D:\Tools\BurpSuite\burpsuite_community.jar这里有一个很实际的建议不要直接双击官方 .exe 启动而是始终通过脚本方式启动。这样你可以控制 JVM 参数日志输出也方便看启动失败时能直接看到报错信息。官方 .exe 只是包了一层启动器出问题的时候反而像个黑盒。另外如果你使用了某些 BurpSuite 扩展插件比如 JSON 格式化、编码转换这类JVM 内存占用会进一步增加。扩展装多了以后建议把-Xmx调大到至少 4GB。不用心疼内存BurpSuite 跑性能测试的时候就是吃内存大户。7. 常见启动问题与排查思路从黑屏到命令行报错这个章节直接把我平时遇到的高频问题整理成表格方便你对照排查。症状可能原因解决方法双击图标后没反应Java 未安装或版本过低检查java -version安装 JDK 17弹出命令行显示UnsupportedClassVersionError当前 JDK 版本低于 BurpSuite 编译要求切换JAVA_HOME到 JDK 17 或 21界面出现但全是空白显卡驱动渲染兼容问题启动参数加--disable-gpu启动后一直卡在加载界面首次加载扩展或网络访问更新服务器超时等待或在 Proxy 设置中配置可用代理抓不到 HTTPS 流量没有安装 BurpSuite CA 证书访问http://burp下载并信任 CA 证书打开后提示代理端口被占用8080 端口被其他软件如本机 Web 服务占用修改 Port 为 8081 或其他空闲端口中文乱码系统字体或 JDK 字符集设置问题在启动参数里追加-Dfile.encodingUTF-8这里重点讲一下--disable-gpu这个参数。BurpSuite 界面是基于 Swing 的在部分 Windows 机器上会和显卡驱动产生兼容问题表现为窗口显示不全、菜单下拉无响应或者白屏。加了这个参数以后强制关闭 GPU 渲染回到 CPU 渲染模式通常会立刻恢复正常。这个参数不会影响 BurpSuite 本身的截包能力可以放心加。关于端口占用的问题本地8080端口经常被其他调试工具占用。排查的时候Windows 上执行netstat -ano | findstr 8080macOS 上执行lsof -i :8080看输出里哪个进程占用了端口然后在任务管理器或者kill掉对应进程或者直接改 BurpSuite 的监听端口。还有一个小技巧在启动脚本里把标准输出重定向到日志文件这样就算启动崩溃也能看到完整的堆栈信息java -Xmx2g -jar /你的路径/burpsuite_community.jar /你的路径/burp.log 21之后出了问题先看burp.log里面一般会直接告诉你缺什么、错在哪。8. 主题设置与工作区优化从默认界面到顺手布局BurpSuite 默认的深色主题很多人第一眼不太适应尤其是从其他工具转过来的用户会觉得界面信息密度高、颜色对比度低。实际上这个工具的主题和字体都是可以调的而且调整以后能明显提升长时间使用的舒适度。在 Settings 或者 User Options 里找到 Display 相关配置可以切换主题。2025 年版本支持浅色和深色两种内置主题选择一个你觉得顺眼的。我个人的习惯是深色主题因为抓包配对时高亮颜色在深色背景下更醒目。字体这块也建议顺手调整。默认字体在 Windows 上有时显示得偏小在 User Options 的 Display 选项里把字体大小从 12 调整到 14 左右看数据包的时候眼睛会舒服很多。这个纯粹看个人习惯但很多新手忽略了这一项用了几天才发现界面字太小没必要。工作区布局方面BurpSuite 默认把左侧导航、主工作区、右侧数据包面板放在一个视窗里。你可以根据自己的显示器尺寸决定是否切换布局模式。如果屏幕是竖向分辨率高的建议保留默认布局如果是横向宽屏可以考虑把数据包历史列表横向拉宽这样查请求时能看到更多 URL 信息。界面上的这些调整不会影响核心功能但优化以后你愿意一直开着的概率会大很多。BurpSuite 这东西顺手是关键不顺手的工具就算功能再强也不想打开。9. 从安装到抓包一个小而完整的验证流程装完、配完、调完最后用一个简单的流程验证整条链路是否打通。这一步不要跳很多人在浏览器里配了代理就以为自己会用了其实连一个包都没抓到过。打开 BurpSuite确保 Proxy 选项卡下的 Intercept 开关处于打开状态。此时打开浏览器访问一个普通网页比如一个公开的测试站点。切回 BurpSuite在 Proxy - HTTP history 里应该能看到刚才访问产生的请求记录。如果看到请求记录说明代理链路已经通了。然后试一下抓包改包的核心操作回到 Intercept 面板此时浏览器再发起一个新请求比如点击页面上的任意链接这个请求会停留在 BurpSuite 的拦截界面不会立刻放行。在消息编辑区找到请求头里的User-Agent字段把它改成一个不存在的字符串再点击 Forward 按钮放行。回到浏览器看结果如果页面正常加载说明 BurpSuite 已经成功修改了请求。这个流程走完你就算是真正会用 BurpSuite 了后面什么重放器、扫描器、扩展插件都是在同一个逻辑上延伸出来的。如果在这个验证过程中发现 HTTP history 里没有记录优先检查浏览器代理设置是否生效以及 BurpSuite 的监听地址和端口是否和浏览器配置的一致。这两个环节最容易出问题而且往往是你觉得自己都配对了其实浏览器走了系统代理而不是你指定的代理设置。最后再分享一个小经验日常启动 BurpSuite 时先把 Intercept 关掉只保留代理监听这样浏览网页不卡手等需要抓包时再手动开启拦截。不然默认开着拦截每访问一个页面都要点一次 Forward工作一会儿就烦了体验非常差。 
长河君 · 2026/10/23 6:00:43 · 阅读 1.2k BurpSuite 2025安装教程：JDK版本选择、环境配置与常见报错排查
直接开篇说重点。不少刚接触安全测试的朋友第一次打开 BurpSuite 的安装教程就被一堆版本号、环境变量、激活脚本绕晕了尤其是 2025 年这个节点官方调整了版本发布节奏网上很多旧教程里的下载链接和配置方式已经失效或者说不再适用。这篇就基于当前最新版本的实际安装流程从零开始把每个环节讲清楚包括 JDK 版本怎么选、安装包去哪下、启动参数怎么调、常见报错怎么处理全程不绕弯子。这篇内容适合几类人刚入门想搭一套本地测试环境的学生、需要在自己电脑上配置抓包工具的开发者以及想把 BurpSuite 装到干净环境里做评估的安全测试人员。不管你是 Windows 还是 macOS只要照着下面的步骤走基本都能一次装好。1. 安装前的核心思路先搞清楚版本组合再动手很多人装 BurpSuite 失败不是因为操作不对而是没搞明白 BurpSuite 和 Java 运行环境之间的版本匹配关系。BurpSuite 本身是用 Java 写的图形化工具它自己不携带运行时环境所以你机器上必须有 JDK 或者 JRE而且版本必须对得上。2025 年这个时间点BurpSuite 官方对 Java 版本的要求已经提升到 Java 17 以上。如果你还在用 Java 8 或者 Java 11启动的时候大概率会直接报UnsupportedClassVersionError或者Unsupported major.minor version这类错误原因就是编译用的 JDK 版本比运行时的版本高JVM 不认。这里有一个比较实用的判断逻辑新版本 BurpSuite 用的是 Java 17 的字节码你就直接装 Java 17 或者 Java 21。Java 21 是长期支持版本稳定性好后续升级 BurpSuite 也不用频繁换 JDK。如果电脑上已经装了多个 Java 版本务必要把环境变量JAVA_HOME指到正确的版本上否则命令行里java -version显示的版本和你实际用的版本可能不是同一个排查起来非常容易卡住。另外一个容易忽略的点是安装包类型。BurpSuite 官方提供 Windows 安装版.exe和跨平台压缩包.jar两种形式。Windows 安装版会自动处理部分环境配置但实际运行依赖还是走 Java.jar 包更适合 macOS 和 Linux也方便手动控制启动参数。我的建议是优先用官方压缩包因为可以看到完整的启动日志出问题时排查起来更直观。还有一点要提前说清楚BurpSuite 分社区版和专业版。社区版是免费的功能上有一些限制比如扫描器只支持基础的主动扫描很多扩展插件也不能用专业版需要授权。如果你是个人学习用途社区版完全够用先把抓包、改包、重放这些基本功练扎实再说。2. 环境准备JDK 安装与多版本共存的避坑方案在装 BurpSuite 之前先把 Java 环境搞定。这里给出一套经过验证的 JDK 安装步骤适用于 Windows 10/11 和 macOS。第一步打开系统自带的终端或者命令行工具输入java -version看一下当前环境。如果提示找不到命令说明你还没装 Java如果有输出记一下版本号确认是不是大于等于 17。这里有个细节有些电脑之前装过其他软件可能顺手带了一个低版本 JRE比如1.8.0_311这种就必须升级。第二步去 OpenJDK 下载页面选择 Java 21 的 Windows x64 或者 macOS 对应架构的安装包。这里特别提醒一下Apple Silicon 芯片的 Mac 要选aarch64版本Intel 的 Mac 选x64版本选错了会提示无法安装或者安装后无法启动。Windows 用户如果没有特殊需求选 x64 基本没错。第三步安装 JDK 的时候Windows 版本默认会配置JAVA_HOME环境变量但有时安装器勾选“设置 JAVA_HOME”这一项的时机比较隐蔽装完以后最好自己检查一遍。按 Win R 输入sysdm.cpl切到“高级”选项卡点“环境变量”在系统变量里确认或者新建JAVA_HOME值填 JDK 的安装根目录比如C:\Program Files\Java\jdk-21。然后在Path变量里追加%JAVA_HOME%\bin。第四步重新打开一个命令行窗口依次执行java -version和javac -version确认两个命令输出的版本一致。这一步非常关键因为有的机器上Path里残留了旧版本的 Java 路径导致命令行里执行的还是旧 JDK。如果出现这种情况就把Path里的旧路径删掉只保留JAVA_HOME\bin。对于需要同时跑旧项目和新工具的朋友我建议不要手动改环境变量而是装一个版本管理工具比如 Windows 上可以搜索使用jenv的替代方案macOS 用户可以用jenv或者直接修改~/.zshrc里的路径映射。这样每次切换项目只需要改一下当前 shell 的JAVA_HOME指向不用反复去改系统环境变量能省很多事。3. 获取 BurpSuite 安装包官方渠道和下载后的完整性验证BurpSuite 的安装包来源一定要认准官方。直接在搜索引擎里搜“BurpSuite 下载”很容易混进第三方镜像站这些站点提供的包可能是旧版本、改装版本甚至捆绑了不干净的东西。对于安全工具安装包的完整性直接关系到后续使用的安全性这一点一定不能放松。官方下载页面的常见入口是 PortSwigger 官网的下载区域进去以后能看到社区版和专业版的下载按钮。社区版直接下载即可不需要注册专业版需要账号付费。下载的时候要注意文件的体积和命名。2025 年的 BurpSuite 社区版安装包Windows 版体积大概在 50MB 到 80MB 之间macOS 版的 .jar 包体积也类似。如果你下载到的文件只有十几MB那大概率有问题极有可能是网页上的广告按钮冒充的下载链接。别问我怎么知道的问就是踩过坑。下载完成后强烈建议你验证一下文件的哈希值。在命令行里用certutil -hashfileWindows或者shasum -a 256macOS计算下载文件的 SHA-256 值然后去官网的版本发布页面核对官方给出的哈希值。如果对不上说明文件在下载过程中损坏或者被替换过这时候宁可重新下载一次也不要冒险运行。哈希验证这个习惯平时装其他工具可能无所谓但装 BurpSuite 这类安全测试工具我会建议你每次都做一遍。因为这类工具权限很高能代理你机器上的所有流量一旦拿到的是被篡改的版本后果非常严重。多花一分钟做校验后面用得才安心。4. 安装与首次启动Windows 版和 macOS 版的完整流程4.1 Windows 安装版.exe的安装步骤如果你下载的是.exe安装文件安装过程本身其实很简单。双击运行按照提示点 Next选择合适的安装目录比如D:\Tools\BurpSuite然后等待安装完成。这里不建议装在系统盘 C 盘因为 BurpSuite 会产生日志和临时文件放在专门的工具目录里更好管理后续升级或者卸载也不会留一堆残留。安装完成后桌面会出现一个快捷方式。先别急着双击启动右键快捷方式选“属性”在“目标”字段的末尾追加启动参数。这不是必须的但我建议加上--disable-gpu。原因在后面启动问题排查那一节会详细讲这里先照做。首次启动时系统会弹出一个对话框让你选择是使用社区版还是专业版。选社区版即可然后等待初始化加载。社区版启动后会自动检查更新如果你所在的网络环境访问官方更新服务比较慢启动过程可能会卡住一阵这时候耐心等一下如果等了两三分钟还是没动静再考虑配置代理或者离线使用。4.2 macOS 版.jar 包的安装步骤macOS 用户建议直接下载.jar压缩包因为官方也推荐这种方式。解压以后你会得到一个.jar文件用终端进入该文件所在目录执行java -jar burpsuite_community.jar如果你用的是 Apple Silicon 芯片的 Mac并且前面正确安装了aarch64版本的 JDK这条命令就能正常拉起图形界面。如果提示Unable to detect Java说明系统没找到 Java 运行时回到环境变量配置那里检查一下JAVA_HOME。为了方便后续启动可以在~/.zshrc里加一个别名alias burpjava -Djava.awt.headlessfalse -jar /你的路径/burpsuite_community.jar这样以后在终端直接输入burp就能启动不用每次敲一长串路径。4.3 首次启动配置项目文件和临时目录BurpSuite 启动以后会进入一个项目选择窗口让你选择“临时项目”或者“保存项目”。新手建议选临时项目先熟悉界面等真正开始做测试时再创建持久化项目。这里有一个很重要的细节每次启动时BurpSuite 会要求你确认项目文件路径。如果你选了临时项目那么所有的配置、抓包记录、站点地图数据都只保存在内存里退出以后就没了。如果你要长期做某个目标的测试建议创建一个独立的项目文件把数据持久化下来避免中途崩溃丢数据。第一次进主界面左侧是导航面板右侧是工作区。不用急着点那些功能按钮先把最顶部的 Proxy 选项卡打开检查一下代理监听地址是不是127.0.0.1:8080。这是 BurpSuite 默认的代理端口后续配置浏览器代理时会用到。5. 核心功能配置代理监听与浏览器接管安装好 BurpSuite 之后最重要的就是配置代理不然它就是一坨不会干活的静态界面。BurpSuite 的核心工作方式是作为中间人代理拦截浏览器和服务器之间的请求与响应。你把浏览器的流量指向 BurpSuite 监听的端口BurpSuite 就能看到、修改、重放这些数据包。BurpSuite 默认监听127.0.0.1:8080这个设置在绝大多数场景下都够用。如果你需要在局域网内的其他设备上抓包比如手机 App 的流量那就得在 Proxy - Options 里把监听地址改成0.0.0.0:8080这样局域网内其他设备就能通过你的电脑 IP 加端口访问。浏览器那边的配置方式我这里直接给你一个最省事的方案安装浏览器的代理切换扩展比如 Firefox 的 FoxyProxy 或者 Chrome 的 SwitchyOmega。新建一个代理配置代理类型HTTPIP 地址127.0.0.1端口8080然后把这个配置设为当前生效。之后浏览器的所有 HTTP 和 HTTPS 流量就会经过 BurpSuite。这里有个新手经常懵的地方配置完代理以后打开浏览器访问任何 HTTPS 网站都会提示证书不信任。这是因为 BurpSuite 为了解密 HTTPS 流量需要生成自己的 CA 证书而浏览器默认不信任这个证书。解决办法是导出并安装 BurpSuite 的 CA 证书到系统信任区。具体操作浏览器访问http://burp页面上会有一个“CA Certificate”按钮点击下载证书文件。然后在操作系统的证书管理里把这个证书添加到“受信任的根证书颁发机构”。这一步完成后再次访问 HTTPS 网站就不会报错了BurpSuite 也能正常截获和解析 HTTPS 明文内容。证书安装这块Windows 和 macOS 的路径不太一样但操作逻辑是相同的导入到系统信任根。有个容易踩的坑是有些人在浏览器里导入了证书但 BurpSuite 设置的代理只对默认浏览器生效换了浏览器就全部失效。建议在整个安装调试过程中固定用同一个浏览器等全部配通了再按需切换。6. 启动加速与内存配置JVM 参数调优经验BurpSuite 本身是一个 Java 应用启动速度和运行流畅度受 JVM 参数影响很大。默认情况下直接双击启动或者执行java -jar会用 JVM 的默认堆内存BurpSuite 这种工具处理大量请求时内存经常不够用表现就是界面卡顿、抓包延迟甚至直接卡死。我在实际使用中验证过一套比较稳的启动参数java -Xmx2g -Xms512m -XX:UseG1GC -Djava.awt.headlessfalse -jar burpsuite_community.jar-Xmx2g设置最大堆内存为 2GB如果你的电脑内存有 16GB可以加到-Xmx4g。-Xms512m初始堆内存 512MB避免启动时频繁伸缩堆大小。-XX:UseG1GC使用 G1 垃圾回收器减少长时间 GC 造成的停顿。在 Windows 上如果你想双击快捷方式就生效可以把这些参数写在快捷方式“目标”字段里或者写一个.bat启动脚本放在桌面。比如新建start-burp.bat内容如下echo off set JAVA_HOMEC:\Program Files\Java\jdk-21 %JAVA_HOME%\bin\java -Xmx2g -Xms512m -XX:UseG1GC -jar D:\Tools\BurpSuite\burpsuite_community.jar这里有一个很实际的建议不要直接双击官方 .exe 启动而是始终通过脚本方式启动。这样你可以控制 JVM 参数日志输出也方便看启动失败时能直接看到报错信息。官方 .exe 只是包了一层启动器出问题的时候反而像个黑盒。另外如果你使用了某些 BurpSuite 扩展插件比如 JSON 格式化、编码转换这类JVM 内存占用会进一步增加。扩展装多了以后建议把-Xmx调大到至少 4GB。不用心疼内存BurpSuite 跑性能测试的时候就是吃内存大户。7. 常见启动问题与排查思路从黑屏到命令行报错这个章节直接把我平时遇到的高频问题整理成表格方便你对照排查。症状可能原因解决方法双击图标后没反应Java 未安装或版本过低检查java -version安装 JDK 17弹出命令行显示UnsupportedClassVersionError当前 JDK 版本低于 BurpSuite 编译要求切换JAVA_HOME到 JDK 17 或 21界面出现但全是空白显卡驱动渲染兼容问题启动参数加--disable-gpu启动后一直卡在加载界面首次加载扩展或网络访问更新服务器超时等待或在 Proxy 设置中配置可用代理抓不到 HTTPS 流量没有安装 BurpSuite CA 证书访问http://burp下载并信任 CA 证书打开后提示代理端口被占用8080 端口被其他软件如本机 Web 服务占用修改 Port 为 8081 或其他空闲端口中文乱码系统字体或 JDK 字符集设置问题在启动参数里追加-Dfile.encodingUTF-8这里重点讲一下--disable-gpu这个参数。BurpSuite 界面是基于 Swing 的在部分 Windows 机器上会和显卡驱动产生兼容问题表现为窗口显示不全、菜单下拉无响应或者白屏。加了这个参数以后强制关闭 GPU 渲染回到 CPU 渲染模式通常会立刻恢复正常。这个参数不会影响 BurpSuite 本身的截包能力可以放心加。关于端口占用的问题本地8080端口经常被其他调试工具占用。排查的时候Windows 上执行netstat -ano | findstr 8080macOS 上执行lsof -i :8080看输出里哪个进程占用了端口然后在任务管理器或者kill掉对应进程或者直接改 BurpSuite 的监听端口。还有一个小技巧在启动脚本里把标准输出重定向到日志文件这样就算启动崩溃也能看到完整的堆栈信息java -Xmx2g -jar /你的路径/burpsuite_community.jar /你的路径/burp.log 21之后出了问题先看burp.log里面一般会直接告诉你缺什么、错在哪。8. 主题设置与工作区优化从默认界面到顺手布局BurpSuite 默认的深色主题很多人第一眼不太适应尤其是从其他工具转过来的用户会觉得界面信息密度高、颜色对比度低。实际上这个工具的主题和字体都是可以调的而且调整以后能明显提升长时间使用的舒适度。在 Settings 或者 User Options 里找到 Display 相关配置可以切换主题。2025 年版本支持浅色和深色两种内置主题选择一个你觉得顺眼的。我个人的习惯是深色主题因为抓包配对时高亮颜色在深色背景下更醒目。字体这块也建议顺手调整。默认字体在 Windows 上有时显示得偏小在 User Options 的 Display 选项里把字体大小从 12 调整到 14 左右看数据包的时候眼睛会舒服很多。这个纯粹看个人习惯但很多新手忽略了这一项用了几天才发现界面字太小没必要。工作区布局方面BurpSuite 默认把左侧导航、主工作区、右侧数据包面板放在一个视窗里。你可以根据自己的显示器尺寸决定是否切换布局模式。如果屏幕是竖向分辨率高的建议保留默认布局如果是横向宽屏可以考虑把数据包历史列表横向拉宽这样查请求时能看到更多 URL 信息。界面上的这些调整不会影响核心功能但优化以后你愿意一直开着的概率会大很多。BurpSuite 这东西顺手是关键不顺手的工具就算功能再强也不想打开。9. 从安装到抓包一个小而完整的验证流程装完、配完、调完最后用一个简单的流程验证整条链路是否打通。这一步不要跳很多人在浏览器里配了代理就以为自己会用了其实连一个包都没抓到过。打开 BurpSuite确保 Proxy 选项卡下的 Intercept 开关处于打开状态。此时打开浏览器访问一个普通网页比如一个公开的测试站点。切回 BurpSuite在 Proxy - HTTP history 里应该能看到刚才访问产生的请求记录。如果看到请求记录说明代理链路已经通了。然后试一下抓包改包的核心操作回到 Intercept 面板此时浏览器再发起一个新请求比如点击页面上的任意链接这个请求会停留在 BurpSuite 的拦截界面不会立刻放行。在消息编辑区找到请求头里的User-Agent字段把它改成一个不存在的字符串再点击 Forward 按钮放行。回到浏览器看结果如果页面正常加载说明 BurpSuite 已经成功修改了请求。这个流程走完你就算是真正会用 BurpSuite 了后面什么重放器、扫描器、扩展插件都是在同一个逻辑上延伸出来的。如果在这个验证过程中发现 HTTP history 里没有记录优先检查浏览器代理设置是否生效以及 BurpSuite 的监听地址和端口是否和浏览器配置的一致。这两个环节最容易出问题而且往往是你觉得自己都配对了其实浏览器走了系统代理而不是你指定的代理设置。最后再分享一个小经验日常启动 BurpSuite 时先把 Intercept 关掉只保留代理监听这样浏览网页不卡手等需要抓包时再手动开启拦截。不然默认开着拦截每访问一个页面都要点一次 Forward工作一会儿就烦了体验非常差。