Man kann diese ganzen versteckten Felder auch generell via Burp aufdecken, nämlich in den Proxz einstellungen...
Das ganze geht übrigens auch bei HTTPS verschlüsselten seiten, wenn man das CA Zertifikat von Burp im Browser noch importiert, so dass Burp entschlüsseln und für den Browser wieder verschlüsseln kann und der Browser die Verbindung "vertraut".