由於 Burp Suite是由Java語言編寫而成，所以你需要首先安裝JAVA的運行環境，而Java自身的跨平台性，使得軟件幾乎可以在任何平台上使用。Burp Suite不像其他的自動化測試工具，它需要你手工的去配置一些參數，觸發一些自動化流程，然后它才會開始工作，接下來我們將手動配置好代理，然后暴力破解一個網頁的賬號密碼，本篇內容的實用性不強，因為現在的頁面大多數有驗證碼或采用Token驗證，且登錄次數也會做限制，所以了解即可。
1.第一步我們首先打開 Firefox 火狐瀏覽器，然后我們點擊最右側的菜單，選擇【選項】，然后設置本地瀏覽器使用代理服務器，此處我們使用本機【127.0.0.1：8080】.
2.打開Brup工具選擇，【Proxy -> Options -> Edit】配置本機的代理，這里我們就默認參數就好。
3.配置好代理以后，回到Brup中直接選擇【Intercept】選項卡，開啟攔截【Intercept is On】並點擊登錄按鈕。
4.回到需要爆破的頁面中，然后輸入假的用戶名和密碼，點擊登錄按鈕，此時頁面沒有反應了。
5.此時Brup會自動截獲這個登錄請求，回到Burpsuite主界面：可以看到輸入的測試用戶名密碼賦值給了log和pwd字段，找到用戶名密碼的字段就好說了。
6.在Brup的空白位置右鍵，選擇【Send to Intruder】發送到爆破模塊中，然后會看到【Intruder】標簽變亮了，我們直接點過去。
7.接着我們點擊【Intruder】然后選擇【Positions】模塊，第一步先清空特殊符號，然后在需要爆破的字段上添加特殊符號，將賬號密碼括起來，如下所示。
8.加載用戶名字典。
加載密碼字典。
9.直接點擊【Start attack】按鈕啟動爆破程序，爆破是否成功取決於社工與字典，通常我們會觀察Length長度如果發現長度與其他大部分不同的話則可能就是已經成功了，如下顯示用戶名【admin】密碼【wang123123】。
10.回到Brup放行所有數據包，然后使用我們爆破出的用戶名密碼，順利的登陸到了網站的后台，接下來開始拿Shell，WordPress允許用戶上傳主題或插件，我們將shell.php直接點擊如下圖，上傳。
11.默認情況下會命名為 /wp-content/uploads/2019/08 路徑+上傳日期 ，直接蟻劍連接即可拿Shell。
