Burp Suite para Pruebas de Aplicaciones Web

Burp Suite es una plataforma integrada utilizada para realizar pruebas de seguridad en aplicaciones web. Desarrollada por PortSwigger, Burp Suite ofrece una variedad de herramientas para probar, detectar y explotar vulnerabilidades en aplicaciones web. Es una herramienta esencial para los profesionales de la seguridad y los pentesters.

• Proxy HTTP: Permite interceptar y modificar el tráfico HTTP entre el navegador y el servidor web.
• Spider: Mapea la estructura de una aplicación web rastreando enlaces y contenidos.
• Scanner: Identifica vulnerabilidades de seguridad automáticamente.
• Intruder: Realiza ataques automatizados y personalizados para explotar vulnerabilidades.
• Repeater: Permite modificar y reenvíar solicitudes HTTP manualmente.
• Sequencer: Analiza la aleatoriedad en datos críticos como tokens de sesión.
• Comparer: Compara dos conjuntos de datos para encontrar diferencias.
• Decoder: Codifica y decodifica datos en múltiples formatos.

• Burp Suite Official Website
• Burp Suite Community Edition Download

Burp Suite se puede descargar e instalar desde su sitio oficial. Hay una versión Community gratuita y una versión Professional de pago.

• Descargar el instalador desde el sitio oficial.
• Seguir las instrucciones del instalador para su sistema operativo específico.

• Burp Suite Installation Guide

Para interceptar el tráfico HTTP, Burp Suite debe configurarse como un proxy en el navegador.

• Abrir Burp Suite y navegar a la pestaña “Proxy”.
• Habilitar el proxy HTTP en el puerto predeterminado (generalmente 8080).
• Configurar el navegador para usar Burp Suite como proxy:
• En Firefox: Opciones > General > Configuración de red > Configuración manual del proxy.
• En Chrome: Configuración > Avanzado > Sistema > Abrir configuración de proxy.

Para interceptar el tráfico HTTPS, se debe importar el certificado CA de Burp Suite en el navegador.

• En la pestaña “Proxy” de Burp Suite, ir a “Options” > “Import / export CA

certificate”.

• Seguir las instrucciones para importar el certificado en el navegador.

• Configuring Browsers to Work With Burp

• Permite interceptar, inspeccionar y modificar solicitudes y respuestas HTTP en tiempo real.
• Filtrar y analizar el tráfico para detectar posibles vulnerabilidades.

• Abrir el navegador y navegar a una página web.
• Interceptar una solicitud en Burp Suite, modificar algún parámetro y

reenviarla.

• Observar la respuesta del servidor para analizar cómo maneja los datos.

• Burp Proxy Documentation

• Rastrea la aplicación web para mapear su estructura.
• Detecta enlaces ocultos, formularios y parámetros.

• Configurar el objetivo en la pestaña “Target”.
• Iniciar el spider desde la pestaña “Spider”.
• Analizar el árbol de contenidos generado para entender la estructura de la

aplicación.

• Burp Spider Documentation

• Escanea la aplicación en busca de vulnerabilidades comunes como inyección SQL, XSS, CSRF, etc.
• Disponible en la versión Professional.

• Configurar el objetivo en la pestaña “Target”.
• Iniciar el escaneo desde la pestaña “Scanner”.
• Revisar los resultados para identificar y priorizar las vulnerabilidades

encontradas.

• Burp Scanner Documentation

• Realiza ataques automatizados y personalizados para explotar vulnerabilidades.
• Útil para ataques de fuerza bruta, inyección, entre otros.

• Capturar una solicitud en la pestaña “Proxy”.
• Enviar la solicitud a “Intruder”.
• Configurar los puntos de inserción y las cargas útiles.
• Iniciar el ataque y analizar los resultados.

• Burp Intruder Documentation

• Permite modificar y reenviar solicitudes HTTP manualmente.
• Útil para probar manualmente las entradas y analizar las respuestas del servidor.

• Capturar una solicitud en la pestaña “Proxy”.
• Enviar la solicitud a “Repeater”.
• Modificar la solicitud según sea necesario.
• Enviar la solicitud y observar la respuesta del servidor.

• Burp Repeater Documentation

• Analiza la aleatoriedad de datos críticos como tokens de sesión.
• Útil para detectar problemas en la generación de tokens de seguridad.

• Capturar una solicitud con un token de sesión.
• Enviar la solicitud a “Sequencer”.
• Configurar la captura y analizar la aleatoriedad de los tokens.

• Burp Sequencer Documentation

• Compara dos conjuntos de datos para encontrar diferencias.
• Útil para comparar respuestas del servidor antes y después de modificaciones.

• Capturar dos solicitudes o respuestas.
• Enviar ambas a “Comparer”.
• Realizar la comparación y analizar las diferencias.

• Burp Comparer Documentation

• Codifica y decodifica datos en múltiples formatos (Base64, URL encoding, etc.).
• Útil para manipular datos cifrados o codificados.

• Copiar los datos codificados o cifrados.
• Pegarlos en la pestaña “Decoder”.
• Seleccionar el tipo de codificación o cifrado y decodificar los datos.

• Burp Decoder Documentation

Burp Suite permite generar reportes detallados de las vulnerabilidades encontradas durante las pruebas de seguridad.

• Ir a la pestaña “Dashboard” o “Issues”.
• Seleccionar las vulnerabilidades detectadas.
• Exportar el reporte en el formato deseado (HTML, XML, JSON).

• Burp Reporting Documentation

Burp Suite es una herramienta imprescindible para los profesionales de la seguridad que buscan realizar pruebas de penetración en aplicaciones web. Con sus múltiples funcionalidades, desde el análisis manual y automatizado hasta la generación de reportes detallados, Burp Suite proporciona una plataforma completa para identificar y explotar vulnerabilidades en aplicaciones web. Dominar esta herramienta puede mejorar significativamente la eficacia de las pruebas de seguridad y contribuir a la creación de aplicaciones más seguras.

Burp Suite Documentation (PortSwigger)