Burp Suite 汉化与配置指南：中文显示、必备插件与六个必改设置

先纠正一个误区：你要的不是汉化，是「中文能正常显示」

很多人搜「Burp 汉化」，实际卡住的问题是中文显示成方块或乱码——请求体里的中文、响应里的 GBK 编码、插件界面里的中文标签，全变成 □□□。

这两个问题是不同的：

• 界面语言：菜单、按钮是英文。不影响使用，几天就熟了。
• 字符编码：中文内容显示不出来。这个必须解决，否则你连请求参数都看不懂。

本文把三条路线都讲清楚，包括汉化补丁的真实风险，以及汉化之外真正该配的六项设置。

三种路线对比

结论很直接：先把①做好，90% 的「乱码」问题就消失了。②只在确实需要时用，且必须理解风险。

路线一：让中文正常显示（必做）

1. 设置支持中文的字体

Burp 默认使用等宽字体，很多不含 CJK 字形，于是中文变成方块。

新版（2023.x 之后）：Settings → User interface → Font
老版本：User options → Display → Font

选择 Microsoft YaHei（微软雅黑）或 SimSun。注意有两个字体设置项：

• HTTP 消息字体：影响请求/响应正文显示
• 界面字体：影响菜单

两个都改，否则会出现「菜单正常、正文方块」的割裂感。

2. 处理 GBK 编码的响应

国内不少老系统返回 GBK，Burp 默认按 UTF-8 解码，中文就是乱码。两个办法：

• 手动切换：在响应区右键 → Change display encoding（或 Show response in browser）
• 装插件自动处理：Hackvertor 或 Burp 编码转换类插件能自动识别

3. 启动参数加上 UTF-8

如果整个界面在中文系统上仍显示异常，给 JVM 加编码参数：

# Linux / macOS：编辑启动脚本，加入
java -Dfile.encoding=UTF-8 -jar burpsuite.jar

# Windows：编辑安装目录下的 BurpSuiteCommunity.vmoptions
-Dfile.encoding=UTF-8

新版 Burp 自带 JRE，不再依赖系统 Java，但仍然读取 .vmoptions 文件。

路线二：汉化补丁（先看风险）

原理

Burp 是 Java 程序，界面文字硬编码在 burp.jar 的 class 和资源文件里。所谓「汉化包」，通常是：

• 反编译 → 替换字符串 → 重新打包，得到一个替换用的 jar
• 或用 -javaagent 在类加载时动态替换字符串

为什么说风险高

1. 版本强绑定：Burp 每个版本都会改类结构，汉化包跟不上。升级后要么失效，要么直接启动崩溃。
2. 必须关闭自动更新：一旦更新，汉化失效，你还得重新找对应版本。
3. 来源不可信：这类补丁需要修改程序本体，你无法验证它有没有夹带东西。Burp 里跑着你的所有请求、Cookie、Token——这是安全工具里最不该冒险的一环。

如果确实要用，最低限度的防护：

• 只在隔离虚拟机里用（参考《零基础安全实验环境搭建指南》）
• 不用它登录任何真实账号、不处理生产环境的凭据
• 把补丁文件和官方 jar 做哈希对比，至少知道它改了哪些文件

路线三：外部翻译（最稳但覆盖不全）

• 浏览器插件：把 Burp 的 Repeater 响应复制到浏览器里看，用浏览器翻译——只适合看，不适合操作。
• 系统翻译工具：只翻译屏幕上的静态文字，对 Java 自绘界面支持一般。
• 最实用的一招：把 Burp 官方文档的对应页面用浏览器翻译打开，边用边查。半天就能建立术语映射，比汉化更持久。

汉化之外，真正该配的六项

说实话，界面汉化对效率的提升远不如下面这些设置。

1. 代理监听范围

Proxy → Options → Proxy listeners
监听 127.0.0.1:8080（本机）或 0.0.0.0:8080（手机要连）

手机抓包必须选 All interfaces，并勾选 Support invisible proxying——有些 App 不读系统代理。

2. 上游代理（链式代理）

需要经 Tor 或公司代理出去时：Settings → Network → Connections → Upstream proxy servers。

3. CA 证书

导出 DER 格式，装到设备上。Android 7+ 的用户证书不被信任，需要配合 Frida 或系统证书方案，详见《Frida 抓包实战：绕过 Android 证书固定》。

4. 项目文件与内存

Burp 默认把历史存在内存里，跑久了会卡。Settings → Project → Memory 里限制历史条数；重要项目用 Project → Save project 存成文件，别指望临时项目。

5. 拦截规则（避免自伤）

把 *.google.com、*.mozilla.org、系统更新域名加进 Proxy → Options → Intercept Client Requests 的排除列表，否则你会被无关请求淹没。

6. 日志与搜索

开启 Logger++ 插件（下面会讲），把每个请求落盘，出问题时能回溯——Burp 自带的 HTTP history 会被容量上限截断。

必备插件（BApp Store 直接装）

路径：Extensions → BApp Store，搜索名字点 Install。

Professional 版还有 Collaborator Everywhere，能自动在请求里埋带外检测点，查 SSRF 特别好用。

插件装不上怎么办

• BApp Store 空白：网络问题，配置代理或换时段
• 安装报 Java 版本不兼容：插件要求的 Java 版本高于 Burp 自带 JRE，只能等插件更新或降级
• 装完 Burp 变卡：插件加载全部请求会吃内存，关掉不用的

常见坑

小结

1. 别执着汉化：把字体和编码配好，中文能看就行，界面英文一周就熟。
2. 汉化补丁是妥协：版本绑定、来源不可信，只在不含真实凭据的隔离环境里用。
3. 插件比汉化更值钱：Logger++ 和 Autorize 带来的效率提升，远超把菜单变中文。
4. 六项基础设置先配完：代理、证书、上游代理、内存、拦截规则、日志。

延伸阅读：

• 《Frida 抓包实战：绕过 Android 证书固定》
• 《零基础安全实验环境搭建指南》
• 《Kali NetHunter 2026 完整实战指南》

免责声明：本文仅用于自有系统与授权范围的安全测试。使用第三方汉化补丁的风险由使用者自行承担，建议仅在隔离环境中使用。