Hacer testeo con Burp Suite
Qué es Burp Suite
Burp Suite es una herramienta fundamental dentro de la seguridad informática, creada por la empresa PortSwigger y escrita en Java que permite realizar pruebas de seguridad de aplicaciones web, Burp Suite cuenta con una versión gratuita (Burp Free) y una versión de pago (Burp Professional).
Entre las funciones básicas se encuentra el servidor proxy que permite inspeccionar y modificar el tráfico haciendo de intermediario entre el navegador y la aplicación destino, el escáner de vulnerabilidades que automatiza la detección de varios tipos de vulnerabilidades de aplicaciones web, el repetidor se utiliza para modificar y reenviar solicitudes individuales al servidor, y muchas otras funcionalidades.
Descarga
Es compatible en algunos sistemas Operativos como Windows, Mac, Linux. Se puede descargar haciendo click en el siguiente enlace descargar
En la distribución Kali Linux ya viene instalado.
Ejecución
Con el siguiente comando podemos ejecutar Burp Suite, recordando que en Linux se debe encontrar en la ruta /usr/bin
java -jar /usr/bin/burpsuite
Luego podemos apreciar la interfaz de Burp Suite
Configuración
Para configurar Burp Suit y que sea un servidor proxy que registre todo el tráfico que se genere en el navegador web debemos hacer lo siguiente:
En Burp Suite ir a la pestaña Proxy -> Options y verificar si tenemos agregado un proxy como se muestra a continuación:
Luego en el navegador por ejemplo en Mozilla Firefox ir a:
Preferencias -> Avanzadas-> Proxy de Red -> Configuración -> Configuración Manual del Proxy
En Proxy HTTP escribir 127.0.0.1 Puerto 8080 y tildar el mismo proxy para todo.
En Burp Suite debemos verificar en la pestaña Proxy -> Intercept que esté en Intercept is on
Cuando comenzamos hacer peticiones en el navegador, como por ejemplo ir a una página web, Barp Suite debe Interceptar la petición y allí podemos ver que está perfectamente configurado.
Ya con esto configurado podemos comenzar a utilizar las diferentes funcionalidades que nos ofrece la herramienta, podemos no solo interceptar sino inspeccionar, modificar solicitudes y respuestas HTTP pudiendo automatizar las pruebas, buscar XSS o SQL Injection que esté afectando la seguridad.