Hacer testeo con Burp Suite

Qué es Burp Suite

Burp Suite es una herramienta fundamental dentro de la seguridad informática, creada por la empresa PortSwigger y escrita en Java que permite realizar pruebas de seguridad de aplicaciones web, Burp Suite cuenta con una versión gratuita (Burp Free) y una versión de pago (Burp Professional).

Entre las funciones básicas se encuentra el servidor proxy que permite inspeccionar y modificar el tráfico haciendo de intermediario entre el navegador y la aplicación destino, el escáner de vulnerabilidades que automatiza la detección de varios tipos de vulnerabilidades de aplicaciones web, el repetidor se utiliza para modificar y reenviar solicitudes individuales al servidor, y muchas otras funcionalidades.

Descarga

Es compatible en algunos sistemas Operativos como Windows, Mac, Linux. Se puede descargar haciendo click en el siguiente enlace descargar

En la distribución Kali Linux ya viene instalado.

Ejecución

Con el siguiente comando podemos ejecutar Burp Suite, recordando que en Linux se debe encontrar en la ruta /usr/bin

java -jar /usr/bin/burpsuite

Luego podemos apreciar la interfaz de Burp Suite

Configuración

Para configurar Burp Suit y que sea un servidor proxy que registre todo el tráfico que se genere en el navegador web debemos hacer lo siguiente:

En Burp Suite ir a la pestaña Proxy -> Options y verificar si tenemos agregado un proxy como se muestra a continuación:

Luego en el navegador por ejemplo en Mozilla Firefox ir a:

Preferencias -> Avanzadas-> Proxy de Red -> Configuración -> Configuración Manual del Proxy

En Proxy HTTP escribir 127.0.0.1 Puerto 8080 y tildar el mismo proxy para todo.

En Burp Suite debemos verificar en la pestaña Proxy -> Intercept que esté en Intercept is on

Cuando comenzamos hacer peticiones en el navegador, como por ejemplo ir a una página web, Barp Suite debe Interceptar la petición y allí podemos ver que está perfectamente configurado.

Ya con esto configurado podemos comenzar a utilizar las diferentes funcionalidades que nos ofrece la herramienta, podemos no solo interceptar sino inspeccionar, modificar solicitudes y respuestas HTTP pudiendo automatizar las pruebas, buscar XSS o SQL Injection que esté afectando la seguridad.