¿Qué es Burp Suite?

burp Suite es el conjunto de herramientas de PortSwigger diseñado para ayudar en las pruebas de penetración de aplicaciones web a través de HTTP y HTTPS. La herramienta principal es un proxy diseñado para permitir el análisis y modificación del tráfico web. El proxy puede interceptar solicitudes y respuestas web y leerlas y modificarlas en tiempo real antes de que lleguen a sus respectivos destinos. Hay versiones disponibles para Windows, MacOS y Linux, junto con un archivo JAR.

El proxy en sí le permite configurar qué dominios tienen su tráfico web interceptado y qué tipo de tráfico se muestra. Por ejemplo, la interceptación de solicitudes web es útil, ya que puede modificarlas para probar cómo reacciona el sitio web a solicitudes inusuales, pero interceptando las respuestas, ya que no tiene sentido modificarlas.

Muchas de las herramientas incluidas en burp suite están diseñadas para integrarse con el proxy principal y pueden tener solicitudes importadas. Intruder le permite importar una solicitud y luego configurar la disposición de las cargas útiles para intentar ejecutarlas automáticamente. Repeater le permite importar una solicitud web y luego realizar cambios manuales en ella y ver la respuesta una al lado de la otra, lo que le permite realizar pequeños cambios para aprovechar los intentos y ver fácilmente si funciona. Una función de panel muestra una lista de problemas identificados, aunque estos deben revisarse manualmente para detectar falsos positivos.

Consejo: el rastreador de problemas es una función premium, mientras que los ataques automáticos tienen una frecuencia limitada en la versión gratuita.

El secuenciador está diseñado para analizar la aleatoriedad de los datos, como el ID de sesión, el token CSRF y el token de restablecimiento de contraseña. El análisis requiere más de 100 muestras, pero puede identificar debilidades en cómo se generan presumiblemente valores aleatorios. Decoder le permite decodificar cadenas de una variedad de estándares de codificación, así como también le permite volver a codificar datos. El comparador le permite comparar dos cadenas para comprobar si hay pequeñas diferencias.

Una amplia variedad de extensiones escritas por la comunidad están disponibles de forma gratuita dentro de la aplicación, aunque algunas requieren una funcionalidad limitada a la versión paga de Burp Suite. La versión gratuita de Burp Suite es compatible con la mayoría de las funciones, una licencia profesional para desbloquear todas las funciones cuesta $ 399 por año, mientras que una "edición empresarial" cuesta $ 3999 por año, más $ 399 por agente de escaneo que puede Solo se agregará en lotes de 10.