Flujos de trabajo prácticos

Ahora conoce las herramientas individuales de Burp. En esta lección las combinará en un flujo de trabajo completo y realista para probar una aplicación web.

Un flujo de trabajo repetible le ayuda a ser exhaustivo y evita que se pasen por alto ciertas áreas.

Antes de hacer nada, establezca el ámbito del objetivo según las reglas de participación. Esto mantiene todas las herramientas enfocadas y dentro de la legalidad.

Active los filtros 'in-scope only' en todo Burp.

Explore toda la aplicación a través del proxy utilizando el navegador integrado. Mientras hace clic, Burp crea un mapa del sitio con las URL y los parámetros.

Inicie sesión, utilice todas las funciones y active todos los formularios para que el mapa esté completo.

Revise el historial HTTP en busca de solicitudes interesantes: cualquier solicitud con identificadores, tokens, cargas de archivos o rutas de administración.

Estos son sus objetivos candidatos para realizar pruebas manuales más profundas.

Inicie una auditoría de Scanner sobre el mapa del sitio dentro del ámbito para detectar problemas evidentes mientras continúa con las pruebas manuales.

Deje que la automatización se ejecute en segundo plano y céntrese en la lógica.

Lleve a Repeater una solicitud que contenga el identificador de un recurso y cambie el identificador por el de otro usuario. Si obtiene sus datos, ha encontrado un IDOR.

La extensión Autorize automatiza este proceso en toda la sesión.

Envíe los parámetros prometedores a Intruder y haga fuzzing con payloads de inyección para buscar SQLi, XSS e inyección de comandos.

Observe los resultados en busca de respuestas de error o payloads reflejados.

Analice la lógica del inicio de sesión y de la sesión: contraseñas débiles, ausencia de límites de velocidad, tokens predecibles y fijación de sesión.

Intruder realiza ataques de fuerza bruta contra las credenciales; Repeater permite inspeccionar cómo se emiten y reutilizan los tokens.

Reproduzca claramente cada hallazgo candidato en Repeater. Confírmelo, capture las pruebas de solicitud y respuesta, y asígnele una gravedad.

Descarte los falsos positivos antes de que lleguen a sus notas.

Para cada hallazgo confirmado, guarde la solicitud y la respuesta exactas, además de una captura de pantalla si el impacto es visual.

Elimine inmediatamente cualquier dato real de clientes.

Incorpore los hallazgos verificados a la estructura del informe que aprendió anteriormente: resumen ejecutivo, tabla de riesgos, hallazgos detallados y correcciones.

El flujo de trabajo de Burp produce el material en bruto; una redacción clara lo convierte en valor.

Compruebe cuánto ha entendido del flujo de trabajo.

Ha aprendido un flujo de trabajo de Burp completo, de principio a fin.

• Defina el ámbito y, después, mapee la aplicación mediante el proxy.
• Revise el historial HTTP y ejecute un análisis con Scanner.
• Utilice Repeater para el control de acceso e Intruder para el fuzzing y la autenticación.
• Verifique cada hallazgo y recopile pruebas con los datos confidenciales redactados.
• Incorpore los hallazgos verificados a un informe estructurado.

Ha completado el curso Burp Suite Mastery.