Burp Suite

0. Configurar Burp

Desde la web https://portswigger.net/burp podemos descargar la última versión de Burp Suite, según el sistema operativo que usemos, y la versión de Burp Suite (Community, Pro o Enterprise) que queramos usar.

Para interceptar las peticiones con el navegador:

1. Descargamos herramientas como Foxy Proxy, y la instalamos en el navegador, añadiendo un nuevo proxy con IP 127.0.0.1 y puerto 8080.

2. Una vez instalado Burp, en la sección Proxy > Options > Proxy Listener > Add, indicando la IP y puerto anteriores.

Añadir nuevo listener

3. Después vamos al navegador y escribimos en el buscador http://burp, descargamos e instalamos el certificado en el navegador.

4. Para ver el tráfico interceptado, vamos a la sección de Proxy > HTTP History.

• NOTA: En Proxy > Intercept, debe estar "Intercept is off" para que el tráfico no sea parado y se pueda navegar con normalidad.

Si usamos Burp Suite desde Linux y solamente tenemos el fichero .jar, podemos ejecutar Burp a través del comando:

java -jar /opt/BurpSuitePro/burpsuite_pro.jar

1. Proxy

En Proxy > HTTP History tenemos el historial de todas las peticiones interceptadas a lo largo de la sesión.

1.1. Discover content

Esta funcionalidad permite buscar directorios y ficheros por defecto en un endpoint.

Localización de Discover Content en Burp Suite

2. Repeater

Permite replicar cuantas veces quieras una petición, modificando los valores y parámetros.

3. Intruder

En estos artículos podéis encontrar, entre otras, distintas formas de hacer uso del intruder:

• https://www.flu-project.com/2020/04/burpees-worders-of-dividing.html

• https://www.flu-project.com/2020/04/burpees-wonders-of-decoding-mq.html

4. Decoder

Permite codificar o decodificar strings de datos que encontremos durante nuestro análisis

Decodificamos una string usando Base64, y posteriormente la codificamos con URL

Como complemento a esta funcionalidad, se puede usar Cyberchef.

5. Extensiones

Además de en el propio Burp Suite, en el repositorio oficial de PortSwigger de Github se encuentran las extensiones.

Burp Suite Extender

6. Opciones de Mozilla

Entre las peticiones que se interceptan en un proyecto de Burp, se pueden ver algunas que son "basura" del navegador, y que podemos desactivar accediendo a la configuración del navegador con about:config :

Configuración de Mozilla

En este artículo tienes un gran número de dominios de Mozilla que intercepta Burp, y cómo cambiar su configuración.

7. PortSwigger Academy

En la web oficial de PortSwigger tienes la academia para seguir aprendiendo y mejorando las skills, en este enlace: https://portswigger.net/web-security

Recursos

• Blog post: Burp Suite roadmap for 2022

• Beginners Guide to Burpsuite Payloads (Part 1)

• Beginners Guide to Burpsuite Payloads (Part 2)

• Payload Processing Rule in Burp suite (Part 1)

• Payload Processing Rule in Burp suite (Part 2)