Burp Suite 如何在 iPhone 上抓包

Burp Suite 是一套用於應用程式安全測試的整合型滲透測試平台，能夠捕獲與調試 HTTPS 流量。但它沒有提供行動端 App。想要捕獲 iPhone 上的 HTTP/S 流量，得在 iPhone 上設定 Wi-Fi 代理，把請求轉發到 Burp Suite。這種做法每次抓包都得重新設定一次 Wi-Fi 代理，相當麻煩。而且 Flutter 等框架開發的應用不走系統代理，這類應用的流量也抓不到。

ApiCatcher 是一款 HTTPS 抓包與調試工具。它的行動端能解決在 iPhone 上抓包不方便的問題：透過 VPN 抓包，不必設定 Wi-Fi 代理，也可以捕獲 Flutter 應用的流量。

ApiCatcher 開源了遠端即時同步協定，我們可以實作接收器，接收它即時捕獲的 HTTP/S 流量。ApiCatcher 提供的 Burp Suite 外掛，正是這套協定的接收器：把 ApiCatcher 捕獲的 HTTP/S 流量即時同步到 Burp Suite。

只要到 GitHub 下載 ApiCatcher for Burp Suite 外掛，在 Burp Suite 安裝外掛，切換到外掛面板，點選啟動監聽，然後打開 iPhone 上的 ApiCatcher，掃描 Burp Suite 外掛頁面顯示的 QR Code 開啟即時同步。iPhone 上捕獲的封包就會出現在 Burp Suite 的 Sitemap，或是出現在 Proxy History。

詳細的安裝與使用方式，請參考這篇教學：https://apicatcher.net/zh-TW/burpsuite-extension