自動抓取和掃描
◎覆蓋超過100個通用漏洞，如SQL注入和跨站點腳本（XSS），具有針對OWASP前10的所有漏洞的出色性能。
◎不同的掃描速度模式，允許為不同目的進行快速，正常和徹底的掃描。
◎準確地掃描你想要的。您可以對整個主機，網站內容的特定分支或單個網址執行完全爬網和掃描。
◎支持請求中的多種類型的攻擊插入點，包括參數，Cookie，HTTP頭，參數名稱和URL文件路徑。
◎支持嵌套插入點，允許自定義應用程序數據格式的自動測試，例如Base64內的JSON內部URL編碼參數。
◎Burp的高級應用程序感知爬網程序可用於在自動掃描或手動測試之前映射應用程序內容。
◎使用細粒度的基於作用域的配置來精確控制要包含在爬網或掃描中的主機和URL。
◎自動檢測自定義未找到的響應，以減少爬網期間的誤報。
手動測試儀的高級掃描
◎查看掃描期間執行的所有操作的實時反饋。活動掃描隊列顯示排隊等待掃描的每個項目的進度。問題活動日誌顯示添加或更新所有問題的順序記錄。
◎使用主動掃描模式交互式測試漏洞，如操作系統命令注入和文件路徑遍歷。
◎使用被動掃描模式來識別缺陷，如信息洩露，SSL的不安全使用和跨域暴露。
◎您可以在請求中的任意位置放置手動插入點，以通知掃描器有關非標準輸入和數據格式。
◎Burp Scanner可以自動在不同位置之間移動參數，例如URL參數和Cookie，以幫助逃避Web應用程序防火牆和其他防禦。
◎您可以完全控制在您瀏覽時使用實時掃描掃描的內容。每次在您定義的目標範圍內發出新請求時，Burp會自動計劃主動掃描的請求。
◎Burp可以選擇報告所有反射和存儲的輸入，即使沒有確認漏洞，以便於手動測試跨站點腳本等問題。
◎用於掃描精度的不同模式，以可選地有利於更多的假陽性或陰性。
尖端掃描邏輯
◎Burp Scanner 由業界領先的滲透測試人員設計。其先進的反饋驅動掃描邏輯設計用於再現熟練的人類測試儀的行為。
◎高級爬行功能（包括覆蓋最新的Web技術，如REST，JSON，AJAX和SOAP），結合其尖端的掃描引擎，允許Burp實現比其他全自動Web掃描器更大的掃描覆蓋和漏洞檢測。
◎Burp率先使用高度創新的帶外技術來增強傳統的掃描模型。Burp Collaborator技術允許Burp檢測在應用程序的外部行為中完全不可見的服務器端漏洞，甚至報告掃描完成後異步觸發的漏洞。
◎Burp Infiltrator技術可用於執行交互式應用程序安全測試（IAST），通過檢測目標應用程序，以便在Burp Scanner的有效負載達到應用程序中的危險API時向其提供實時反饋。
◎Burp Scanner包括一個完整的靜態代碼分析引擎，用於檢測客戶端JavaScript中的安全漏洞，例如基於DOM的跨站點腳本。
◎Burp的掃描邏輯不斷更新增強功能，以確保它可以找到最新的漏洞和現有漏洞的新邊緣案例。近年來，Burp一直是第一個檢測Burp研究團隊首創的新漏洞的掃描器，包括模板注入和路徑相關樣式表導入。
清楚和詳細地介紹漏洞
◎該目標站點地圖顯示所有已在網站被發現被測試的內容。內容顯示在與網站的網址結構相對應的樹狀視圖中。選擇樹中的分支或節點將顯示單個項目的列表，其中包括請求和響應（如果可用）的完整詳細信息。
◎網站地圖還顯示了漏洞已經確定。站點樹中的圖標允許快速識別和探索目標的脆弱區域。
◎脆弱性的嚴重程度和信心被評定為幫助決策者快速關注最重要的問題。
◎所有報告的漏洞都包含詳細的自定義建議。這些包括問題的完整描述和逐步修復建議。為每個單獨的問題動態生成建議措辭，準確描述任何特殊功能或修復點。
◎每個報告的漏洞包括其所基於的證據的完整信息。這包括突出顯示相關功能的HTTP請求和響應，以及與Burp Collaborator的任何帶外交互。報告的證據使開發人員能夠快速了解每個漏洞的性質，以及應用程序中需要應用修復的位置。
您可以導出發現的漏洞的格式精美的HTML報告。可以為不同的受眾自定義報告中包含的詳細信息的級別和類型。
◎Burp Proxy允許手動測試人員攔截瀏覽器和目標應用程序之間的所有請求和響應，即使正在使用HTTPS。
您可以查看，編輯或刪除單個消息以操縱應用程序的服務器端或客戶端組件。
該代理歷史記錄的所有請求和響應通過代理的全部細節。
您可以使用註釋和彩色高亮標註各個項目，讓您標記有趣的項目，以便以後手動跟進。
◎Burp Proxy可以執行響應的各種自動修改，以便於測試。例如，您可以取消隱藏表單字段，啟用已禁用的表單字段，並刪除JavaScript表單驗證。
您可以使用匹配和替換規則自動對通過代理的請求和響應應用自定義修改。您可以創建對消息頭和正文，請求參數或URL文件路徑進行操作的規則。
◎Burp有助於消除在攔截HTTPS連接時可能發生的瀏覽器安全警告。在安裝時，Burp會生成一個唯一的CA證書，您可以在瀏覽器中安裝它。然後將為您訪問的每個域生成主機證書，由受信任的CA證書籤名。
◎Burp支持非代理感知客戶端的不可見代理，支持測試非標準用戶代理，例如胖客戶端應用程序和一些移動應用程序。
◎HTML5 WebSockets消息被攔截並記錄到單獨的歷史記錄，與常規HTTP消息相同。
您可以配置精細攔截規則，精確控制攔截的消息，讓您專注於最有趣的交互。
◎Burp Intruder是一種用於自動對應用程序進行自定義攻擊的高級工具。它可以用於許多目的，以提高手動測試的速度和準確性。常見的用例是漏洞的模糊，枚舉有效的標識符，提取有趣的數據，並積極利用發現的漏洞。
您可以將請求放置在任意位置的有效負載，允許有效負載放置在自定義數據結構和協議中。
不同類型的多個同時有效載荷可以被置於同一請求內的不同位置，並且可以以各種方式組合。
有許多內置的有效載荷生成器，可以自動創建有效載荷幾乎任何目的，以高度可配置的方式。有效負載生成器包括數字，日期，蠻力，位翻轉器，用戶名生成器，ECB塊shuffler，非法Unicode和案例修改。Burp擴展還可以通過API提供完全自定義的有效載荷生成器。
◎有許多常見目的的內置字表，包括目錄和文件名，公共字段名和值，模糊字符串，HTTP動詞和用戶代理。您還可以輕鬆地配置自定義詞庫列表，以便在Intruder有效內容中直接使用。
◎有效負載處理規則可以被定義為以任意方式操縱生成的有效載荷，以滿足正在執行的定制攻擊的確切需要。有效載荷處理規則包括在各種方案中添加前綴或後綴，匹配和替換，子串，編碼或解碼，或跳過與正則表達式匹配的有效載荷。Burp擴展還可以通過API提供完全自定義的有效負載處理規則。
◎入侵者攻擊可以配置為自動grep響應中的自定義匹配字符串。此函數可用於許多目的，包括在模糊過程中查找錯誤消息，在枚舉任務期間確認有效的標識符，以及標記成功利用發現的漏洞。
◎Burp Intruder可以從響應中提取自定義數據項。例如，您可以循環訪問一系列頁面標識符，並提取每個返回的頁面的標題，或迭代所有有效的用戶ID，並提取每個用戶的名稱和組。
◎入侵者捕獲詳細的攻擊結果，每個請求和響應的所有相關信息以表格形式清楚地呈現。捕獲的數據包括有效負載值和位置，HTTP狀態代碼，響應計時器，Cookie，重定向數以及任何已配置的grep或數據提取設置的結果。
◎所有請求和響應都顯示在功能豐富的HTTP消息編輯器中。這提供了許多視圖到底層消息以幫助分析和修改其內容。
◎個人請求和響應可以輕鬆地在Burp工具之間發送，以支持各種手動測試工作流程。
◎通過Repeater工具，您可以手動編輯和重新發布個別請求，並提供請求和響應的完整歷史記錄。
◎Sequencer工具用於使用用於隨機性的標準加密測試的會話令牌的統計分析。
◎解碼器工具可讓您在現代網絡上使用的常見編碼方案和格式之間轉換數據。
◎CSRF PoC生成器功能可以用於為給定請求生成概念驗證的跨站點請求偽造（CSRF）攻擊。
◎Clickbandit工具針對脆弱的應用程序功能生成有效的點擊劫持攻擊。
◎比較器工具在請求和響應或其他感興趣數據的對之間執行視覺差異。
◎內容髮現功能可用於發現未從可瀏覽的可見內容鏈接的隱藏內容和功能。
◎目標分析器功能可用於分析目標Web應用程序，並告訴您它包含多少 靜態和動態URL，以及每個URL需要多少參數。
比較網站地圖功能可以比較兩個網站地圖並突出差異。此功能可以以各種方式使用，以幫助找到不同類型的訪問控制漏洞。
搜索功能可用於在所有Burp工具中查找有趣的數據項。
計劃任務功能可用於在定義的時間和間隔自動啟動和停止某些任務。
◎Burp支持使用Basic，NTLMv1和v2和Digest身份驗證類型的平台身份驗證。
您可以在測試期間加載要向受保護的應用程序進行認證所需的客戶端SSL證書和智能卡。
◎您可以配置SSL協商的所有詳細信息，以幫助處理異常配置的目標。
◎Burp可以自動處理會話處理機制，包括常規登錄和跨站點請求偽造令牌。
◎您可以記錄用於重複通用請求序列的宏，以在會話處理機制中使用。
您可以創建自定義會話處理規則來處理特定情況。會話處理規則可以自動登錄，檢測和恢復無效會話，並獲取有效的CSRF令牌。
◎強大的Burp Extender API允許擴展定制Burp的行為並與其他工具集成。Burp擴展的常見用例包括即時修改HTTP請求和響應，自定義Burp UI，添加自定義掃描程序檢查以及訪問關鍵運行時信息（包括抓取和掃描結果）。
該BAPP商店是貢獻的爆發式用戶社區準備使用的擴展庫。這些可以從Burp UI中單擊一次安裝。
◎您可以使用Java，Python或Ruby編程語言輕鬆創建自己的擴展。
◎發現的漏洞可以導出為XML，以導入到支持Burp導出格式的數十個第三方工具。