文章总结： 本文介绍了通过CCSwitch与BurpMCP-Ultra插件连接ClaudeCode与BurpSuite，实现AI驱动的自动化流量分析与渗透测试。文章涵盖环境搭建、插件选型、配置流程及实战演示。核心结论是该方案让AI直接解析历史流量，大幅提升黑盒测试与漏洞挖掘效率，建议安全人员掌握此工具链以优化测试流程。 综合评分： 82 文章分类： 渗透测试,AI安全,安全工具,WEB安全,实战经验
Claude Code + Burp Suite 流量分析与自动化渗透
孔方兄 孔方兄
知微守望
2026年8月9日 14:00 北京
在小说阅读器读本章
去阅读
本文旨在指导如何利用 Claude Code 结合 Burp Suite 进行高效的流量分析与安全测试。通过集成 MCP（Model Context Protocol）服务器，我们可以让 AI 直接读取 Burp 的历史流量数据，从而自动化分析攻击路径。
1. 环境准备与工具安装
在开始之前，请确保你的开发环境已准备好。
1.1 安装 CC Switch
CC Switch 是连接 AI 模型与本地工具的关键桥梁。
-
下载地址
：GitHub Release – cc-switch
-
推荐版本
：
v3.19.2。 -
更新说明
：新版本修复了 Codex 用量统计的计数器交错问题，并增强了 MCP 面板的搜索功能及批量开关能力。
1.2 安装 Burp Suite
为了获得最佳的兼容性和性能，建议使用较新的版本。
-
版本建议
：Burp Suite Professional 2025.x 以上版本。
-
Java 环境
：建议使用 JDK 24 左右版本，以避免兼容性问题。
-
获取方式
：可通过官方渠道或相关技术网盘获取（建议优先使用官方正版）。
通过网盘分享的文件：Burp Suite链接: https://pan.baidu.com/s/1_w5ySBerIO7K4xLG8mINSg?pwd=82y9 提取码: 82y9
2. 核心组件：Burp MCP 插件选择
要让 Claude Code 能够“看懂”Burp 的数据，我们需要安装 MCP 插件。目前主要有两种选择，强烈推荐使用第二款。
| 插件名称 | 来源 | 特点 | 推荐度 | | — | — | — | — | | PortSwigger 官方 MCP | BApp Store | 轻量级，仅支持基础请求转发，适合简单调试。 | ⭐⭐ | | BurpMCP-Ultra | GitHub (Cy-S3c) | 功能强大 。包含 137+ 渗透工具，支持扫描、爆破、站点地图、WebSocket 及漏洞批量检测。 | ⭐⭐⭐⭐⭐ |
💡 为什么选择 BurpMCP-Ultra？ 它不仅是一个转发器，更是一个 AI 驱动的安全助手。它支持 IDOR 狩猎、Race 条件测试等高级功能，且拥有实时仪表盘，是目前主流的 AI 渗透方案。
3. 配置流程：连接 Burp 与 CC Switch
3.1 获取 MCP 配置信息
- 在 Burp Suite 中安装并启动 BurpMCP-Ultra 插件。
- 进入插件的 Server 选项卡。
- 找到 MCP Client Config 区域，点击 Copy Config 按钮复制 JSON 配置。
-
注意
：确保服务已启动，默认端口通常为
9876。
https://github.com/Cy-S3c/BurpMCP-Ultra/releases
3.2 在 CC Switch 中添加 MCP 服务器
- 打开 CC Switch 客户端。
- 进入 MCP 服务器管理 页面，点击 添加 MCP。
- 填写配置信息：
-
MCP 标题
：
burpsuite(自定义，需唯一) -
显示名称
：
burpsuite -
启用应用
：勾选 Claude 和 OpenCode (根据你使用的 AI 客户端勾选)。
-
完整的 JSON 配置
：粘贴刚才从 Burp 复制的 JSON 代码。
JSON 配置示例：
{ "type": "sse", "url": "http://127.0.0.1:9876/", "headers": { "Authorization": "Bearer <你的Token>" }}
- 点击 保存。保存后，CC Switch 会自动检测连接状态，显示“Connected”即表示成功。
4. 实战演练：流量分析与 AI 辅助
配置完成后，我们就可以开始利用 Claude Code 分析流量了。
4.1 验证连接
在 Claude Code 终端中输入 /mcp 查看服务器状态。
-
预期结果
：看到
burpsuite状态为connected，且显示可用工具数量（如137 tools）。
4.2 流量捕获
- 开启 Burp Suite 的 Proxy – Intercept 或查看 HTTP History。
- 在浏览器中访问目标站点（例如本地搭建的
YXcms）。 - 完成一系列操作（如浏览首页、登录、提交数据），确保 Burp 中捕获到了完整的数据包。
4.3 AI 自动化分析
回到 Claude Code 终端，直接下达自然语言指令。
示例指令：
“告诉我 burp 的历史数据包有什么？” “分析刚才捕获的登录请求，是否存在 SQL 注入风险？”
AI 分析反馈示例： Claude Code 会调用 MCP 工具读取 Burp 历史，并输出结构化分析：
-
目标站点
：
yxcms:6677(本地 CMS 应用) -
操作流程分析
：
-
前台浏览
：捕获到首页访问 (200 OK) 及 JS 资源加载。
-
登录行为
：捕获到
/index.php?r=admin/index/loginPOST 请求。 -
异常检测
：发现外部 JS 引用 404，或特定的 API 调用。
总结
通过 CC Switch + BurpMCP-Ultra 的组合，我们将 Burp Suite 强大的流量捕获能力与 Claude Code 的逻辑分析能力结合在了一起。
-
优势
：无需手动导出数据包，AI 实时读取上下文，极大提高了代码审计和渗透测试的效率。
-
适用场景
：黑盒测试流量分析、自动化漏洞挖掘、复杂业务逻辑审计。
真心感觉自己要学习的知识好多，也有好多大神卧虎藏龙、开源分享。作为初学者，我们可能有差距，不论你之前是什么方向，是什么工作，是什么学历，是大学大专中专，亦或是高中初中，只要你喜欢安全，喜欢渗透，就朝着这个目标去努力吧！有差距不可怕，我们需要的是去缩小差距，去战斗，况且这个学习的历程真的很美，安全真的有意思。但切勿去做坏事，我们需要的是白帽子，是维护我们的网络，安全路上共勉。
本文版权归作者和微信公众号平台共有，重在学习交流，不以任何盈利为目的，欢迎转载。
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。公众号内容中部分攻防技巧等只允许在目标授权的情况下进行使用，大部分文章来自各大安全社区，个人博客，如有侵权请立即联系公众号进行删除。若不同意以上警告信息请立即退出浏览！！！
敲敲小黑板：《刑法》第二百八十五条 【非法侵入计算机信息系统罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪】违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：知微守望 孔方兄 孔方兄《Claude Code + Burp Suite 流量分析与自动化渗透》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论