Qué es Burp Suite y cómo se ve su ventana · Burp Suite: el proxy del pentester web

Bienvenida

Bienvenido a Burp Suite: el proxy del pentester web. Esta píldora es para quien empieza en seguridad web, desarrollo o soporte y quiere ver de verdad qué viaja entre un navegador y una aplicación. Al terminar sabrá qué es un proxy de interceptación, reconocerá la ventana real de Burp, configurará el proxy y el certificado, detendrá y modificará una petición, y usará Repeater para repetirla. Son cuatro lecciones cortas, un laboratorio y un quiz de cuatro preguntas: unos 45 minutos. No necesita conocimientos previos, solo una computadora donde pueda instalar programas y la edición gratuita de Burp.

Qué es Burp Suite y por qué importa

Cuando usted abre una página, el navegador y el servidor intercambian muchas peticiones y respuestas HTTP que normalmente no ve. Burp Suite es un proxy de interceptación: un programa que se coloca en medio de esa conversación. El navegador le habla a Burp, Burp le habla a la aplicación, y todo el tráfico, incluso el cifrado por HTTPS, pasa por sus manos. Así usted puede leerlo, detenerlo, modificarlo y reenviarlo.

Lo desarrolla la empresa PortSwigger y es la herramienta más usada para probar la seguridad de aplicaciones web. Un pentester la emplea para encontrar fallas; una persona que desarrolla o defiende la usa para entender exactamente qué envía y recibe su propia aplicación, que es justo lo que hará usted aquí.

La ventana de Burp

Al abrir Burp verá una fila de pestañas principales en la parte superior. Estas son reales y conviene ubicarlas desde el primer día:

Dashboard | Target | Proxy | Intruder | Repeater | Sequencer | Decoder | Comparer | Logger | Extensions | Learn

Pestaña	Para qué sirve
Dashboard	Resumen de la actividad y de las tareas en curso
Target	El Site map (mapa del sitio) y el alcance (Scope) de lo que está probando
Proxy	Interceptar tráfico (Intercept) y el historial de todo lo que pasó (HTTP history)
Repeater	Reenviar una petición una y otra vez, editándola
Intruder	Enviar muchas peticiones automatizadas variando un valor
Decoder	Codificar y decodificar texto (URL, Base64, hexadecimal)
Comparer	Comparar dos respuestas y ver en qué se diferencian
Logger	Registro de todas las peticiones HTTP que pasaron por Burp

Dentro de Proxy, a su vez, hay sub-pestañas. La de Intercept detiene peticiones; la de HTTP history guarda cada una para revisarla con calma.

Proxy:  Intercept | HTTP history | WebSockets history | Proxy settings

Community o Professional

Burp viene en dos ediciones. La Community es gratuita y suficiente para aprender y para este curso; la Professional es de pago y añade automatización para trabajo profesional.

Función	Community (gratis)	Professional
Proxy, Target, Repeater, Decoder, Comparer	Completos	Completos
Intruder	Limitado: envía despacio, con retardo	A toda velocidad
Escáner de vulnerabilidades automático	No	Sí
Burp Collaborator y guardar el proyecto	No	Sí