Scanner y extensiones

El Scanner de Burp comprueba automáticamente si una aplicación presenta vulnerabilidades comunes, lo que le permite centrarse en los defectos de lógica manuales más complejos.

Está disponible en las ediciones Professional y Enterprise de Burp Suite, pero no en Community.

Un análisis de Burp tiene dos fases: el crawl descubre las páginas y entradas de la aplicación, y la audit comprueba cada entrada descubierta en busca de vulnerabilidades.

Puede ejecutar solo el crawl, solo la audit o ambas fases.

El análisis pasivo solo observa el tráfico que usted genera, por lo que es seguro y silencioso. El análisis activo envía payloads diseñados y puede modificar el estado del servidor.

Utilice el análisis activo únicamente contra objetivos autorizados y, cuando sea posible, que no estén en producción.

Puede iniciar un análisis desde el dashboard proporcionando una URL, o hacer clic con el botón derecho en elementos del mapa del sitio de destino y elegir 'Scan'.

Delimite estrictamente el ámbito del análisis para que no se extienda a sistemas fuera de ámbito.

Los hallazgos aparecen en la lista Issue activity con una gravedad y una valoración de confianza.

La confianza es importante: una inyección SQL 'Firm' es más fiable que una 'Tentative' y debe verificarse primero.

Los scanners automatizados producen falsos positivos. Reproduzca siempre el problema informado en Repeater antes de incluirlo en su informe.

Su nombre aparece asociado al hallazgo, no el del scanner.

Los scanners son excelentes para detectar errores basados en patrones, pero no detectan fallos de lógica de negocio: controles de acceso defectuosos, manipulación de precios y omisión de pasos del flujo de trabajo.

Estos problemas requieren razonamiento humano, por lo que un análisis es un punto de partida, no la totalidad de la prueba.

La funcionalidad de Burp se amplía mediante BApp Store, un marketplace de extensiones oficiales y de la comunidad disponible en la pestaña Extensions.

Las extensiones añaden nuevas comprobaciones de análisis, decodificadores e integraciones.

Algunas extensiones son prácticamente imprescindibles para realizar pruebas serias.

• Logger++ para obtener un registro avanzado de solicitudes.
• Autorize para realizar pruebas automatizadas de control de acceso.
• Active Scan++ para añadir comprobaciones al análisis.
• JSON Web Tokens para editar JWT.

Puede escribir extensiones personalizadas en Java, Python (mediante Jython) o Kotlin utilizando la API de Montoya.

Las extensiones personalizadas permiten automatizar lógica específica de la aplicación que está probando.

El flujo de trabajo de una persona experta combina ambos enfoques: deje que Scanner y las extensiones busquen los problemas evidentes y dedique después su tiempo a los fallos de lógica y a verificar los resultados del scanner.

La automatización amplía la cobertura; el criterio humano detecta los errores más profundos.

Compruebe cuánto ha entendido de Scanner y las extensiones.

Ha aprendido a automatizar pruebas con Scanner y extensiones.

• Scanner realiza primero un crawl y después una audit; el análisis pasivo es seguro y el activo envía payloads.
• Los problemas tienen una gravedad y un nivel de confianza; verifíquelos siempre en Repeater.
• Los scanners no detectan los fallos de lógica de negocio.
• BApp Store añade extensiones como Autorize y Logger++.
• Puede escribir extensiones personalizadas mediante la API de Montoya.

A continuación, realizará una prueba completa de una aplicación web de principio a fin.