Guía de herramienta · Web

Burp Suite · tu navaja para la web

Burp se sienta entre tu navegador y la web como un proxy: intercepta, inspecciona y modifica cada petición. Es LA herramienta del pentesting web. Aquí la configuras desde cero (proxy, FoxyProxy y certificado) y dominas sus utilidades una a una.

1 ¿Qué es y cómo funciona

Tu navegador normalmente habla directo con el servidor. Con Burp, el tráfico pasa primero por él (127.0.0.1:8080): puedes ver cada petición/respuesta, pausarla, editarla y reenviarla. Eso te deja saltarte validaciones del cliente, manipular parámetros y probar inyecciones que desde el navegador no podrías.

flujo
Navegador  →  Burp Proxy (127.0.0.1:8080)  →  Servidor web
            ↑  interceptas, inspeccionas y MODIFICAS aquí

2 Configurar el proxy + FoxyProxy + certificado

El paso que todo el mundo falla al principio. Házlo una vez y bien:

  1. Arranca el listener de Burp. Pestaña Proxy → Proxy settings (o Options): comprueba que hay un listener en 127.0.0.1:8080. Es el puerto por defecto.
  2. Apunta el navegador a Burp. A mano irías a la config de red del navegador y pondrías proxy HTTP 127.0.0.1 puerto 8080. Pero es más cómodo con una extensión.
  3. Instala FoxyProxy (en Firefox/Chrome). Crea un perfil nuevo: Título "Burp", Proxy Type HTTP, Host/IP 127.0.0.1, Port 8080. Guarda.
  4. Activa el perfil con un clic en el icono de FoxyProxy cuando quieras enviar el tráfico a Burp, y lo desactivas («Turn Off» / «Disable») cuando quieras navegar normal. Ese interruptor es el truco: nada de tocar la config del navegador cada vez.
  5. Instala el certificado CA de Burp (imprescindible para HTTPS). Con el proxy activo, visita http://burp → botón CA Certificate → descarga cacert.der. En Firefox: Ajustes → Certificados → Ver certificados → Autoridades → Importar y marca «confiar para sitios web».
¿Por qué el certificado? HTTPS va cifrado. Para que Burp pueda leer y modificar tráfico HTTPS hace de «hombre en el medio» con su propio certificado. Si no lo importas, el navegador dará errores de seguridad en cada web https. Instalado una vez, interceptas HTTPS sin avisos.

3 Las utilidades, una a una

📶 Proxy → Intercept

El corazón. Con Intercept ON, cada petición se pausa y la ves/editas antes de enviarla: Forward la envía, Drop la descarta.

Con Intercept OFF sigues navegando y todo queda registrado en HTTP history.

🗺 Target → Site map / Scope

Mapa de todo el sitio descubierto. Define el Scope (botón derecho → «Add to scope») para centrarte solo en tu objetivo y filtrar el ruido de terceros.

«Show only in-scope items» te limpia la vista.

🔄 Repeater

La más usada. Mandas una petición ahí (Ctrl+R) y la reenvías modificada cuantas veces quieras, viendo la respuesta al lado. Perfecta para probar SQLi, IDOR, cabeceras…

Prueba-error manual: cambia un parámetro, Send, observa.

🎯 Intruder

Automatiza el envío con payloads. Marcas posiciones §§ y eliges ataque: Sniper (1 lista, 1 posición), Pitchfork y Cluster bomb (varias listas). Ideal para fuzzing y fuerza bruta de login.

En la versión Community va con throttling (lento). Para listas grandes, ffuf/hydra desde Kali.

🔨 Decoder

Codifica/decodifica al vuelo: URL, Base64, HTML, hex, hashes. Para preparar payloads o leer datos ofuscados sin salir de Burp.

También en el Arsenal tienes encoders en vivo.

⚖ Comparer / Sequencer

Comparer resalta diferencias entre dos respuestas (útil en inyecciones a ciegas). Sequencer analiza la aleatoriedad de tokens de sesión (¿son predecibles?).

🧩 Extensions (BApp Store)

Añade superpoderes: Logger++, Autorize (test de autorización/IDOR), Param Miner, JSON Web Tokens. Pestaña Extensions → BApp Store.

🔍 Scanner (solo Pro)

Escaneo automatizado de vulnerabilidades. No está en Community; ahí el trabajo es manual con Repeater/Intruder (que es como de verdad se aprende).

4 Flujo típico de una auditoría web

  1. Configura el proxy + FoxyProxy + certificado (sección 2).
  2. Navega el objetivo con Intercept OFF para poblar el Site map, y añádelo al Scope.
  3. Explora el HTTP history: busca parámetros, endpoints de API, campos ocultos y cookies.
  4. Manipula peticiones interesantes en Repeater: prueba ' OR '1'='1 (SQLi), ../../etc/passwd (LFI), cambia un id= (IDOR), toca cabeceras.
  5. Automatiza con Intruder lo repetitivo (fuzzing de valores, fuerza bruta).
  6. Documenta cada hallazgo con la petición/respuesta como evidencia (eso va al informe, como viste en Metodología).

5 Atajos y buenas prácticas

  • Ctrl+R envía la petición seleccionada a Repeater; Ctrl+I a Intruder.
  • Clic derecho sobre una petición → Copy as curl command: te la llevas a la terminal tal cual.
  • Acuérdate de desactivar FoxyProxy cuando termines, o «romperás» tu navegación normal (todo intenta ir a Burp).
  • Define bien el Scope: nunca mandes tráfico contra dominios fuera del encargo (recuerda las reglas de enganche).
  • Community vs Professional: Community es gratis y te vale para aprender y para el eJPT (Proxy, Repeater, Intruder limitado, Decoder). Pro añade Scanner e Intruder a toda velocidad.
Alternativa libre: si buscas 100% open source, OWASP ZAP hace casi lo mismo (proxy, repeater, fuzzer, scanner incluido). El concepto que aprendes aquí se traslada igual.

▶ Pon a prueba tu base: Simulacro eJPT El Arsenal (herramientas) Ver la red con Wireshark Máquinas de la academia