Burp Suite
La herramienta más popular para web application penetration testing
¿Qué es Burp Suite?
Burp Suite es una plataforma integrada para realizar pruebas de seguridad en aplicaciones web. Incluye herramientas para interceptar tráfico HTTP, escanear vulnerabilidades, y manipular requests.
Community Edition (Gratis)
- • Proxy interceptor
- • Repeater manual
- • Decoder/Comparer
- • Intruder básico (throttled)
Professional (Pago)
- • Scanner automático de vulnerabilidades
- • Intruder sin lÃmites
- • Extensiones avanzadas
- • Colaborador OAST
Componentes Principales
1. Proxy
Interceptor de tráfico HTTP/HTTPS entre navegador y servidor. Permite modificar requests/responses en tiempo real.
# Configurar navegador Proxy: 127.0.0.1:8080 # Certificado CA 1. Navegar a http://burp 2. Descargar CA certificate 3. Instalar en navegador (Firefox: about:preferences#privacy) # Interceptar requests Proxy > Intercept > Intercept is on - Modificar headers, body, params - Forward / Drop / Action
2. Repeater
Permite enviar requests modificados repetidamente para probar payloads manualmente.
# Workflow 1. Click derecho en request > Send to Repeater 2. Modificar request (params, headers, body) 3. Click "Send" 4. Analizar response # Ejemplo: Testing SQL injection GET /users?id=1' OR '1'='1 HTTP/1.1 Host: vulnerable-site.com # Ver si cambia la respuesta
3. Intruder
Automatiza ataques de fuerza bruta, fuzzing, y enumeración con payloads personalizados.
# Attack types - Sniper: 1 posición, 1 payload set - Battering ram: N posiciones, mismo payload - Pitchfork: N posiciones, N payload sets (paralelo) - Cluster bomb: N posiciones, N payload sets (cartesiano) # Ejemplo: Brute force login POST /login HTTP/1.1 username=admin&password=§payload§ Payloads: password123 admin123 qwerty ... # Analizar resultados por status code, length
4. Scanner (Pro)
Escáner automático que detecta SQLi, XSS, CSRF, SSRF, y más.
# Tipos de scan - Passive: Analiza tráfico existente - Active: EnvÃa payloads de ataque # Configuración Target > Site map > Right click > Scan # Issues detectados - SQL injection points - XSS vulnerabilities - Missing security headers - Sensitive data exposure
Workflow TÃpico
- 1. Configurar Proxy: Navegador → Burp Proxy (127.0.0.1:8080)
- 2. Navegar sitio target: Burp registra todo el tráfico en HTTP history
- 3. Analizar sitemap: Target → Site map para ver estructura
- 4. Interceptar requests clave: Login, forms, APIs
- 5. Testing manual: Send to Repeater, modificar payloads (SQL, XSS, etc.)
- 6. Automatización: Send to Intruder para fuzzing o brute force
- 7. Scanner (Pro): Scan automático para detectar vulns
- 8. Reporte: Exportar findings con evidencia (screenshots, requests)
Extensiones Útiles
Autorize
Detecta broken access control automáticamente
Turbo Intruder
Intruder ultra-rápido para race conditions
JWT Editor
Decodifica y modifica JSON Web Tokens
Logger++
Logging avanzado con filtros personalizados