Proxy e interceptación

Burp Suite es una plataforma integrada para probar la seguridad de aplicaciones web. Se sitúa entre el navegador y el servidor de destino como un proxy de interceptación, lo que le permite inspeccionar y modificar cada solicitud y respuesta HTTP/HTTPS.

• Proxy — interceptar tráfico
• Repeater — repetir solicitudes manualmente
• Intruder — automatizar el fuzzing
• Scanner — encontrar vulnerabilidades (Pro)

El Proxy de Burp escucha en un puerto local (de forma predeterminada, 127.0.0.1:8080). El navegador se configura para enviar todo el tráfico a través de él, de modo que Burp puede pausar las solicitudes antes de que lleguen al servidor.

Esta posición de intermediario es lo que hace posible probar aplicaciones web: puede ver exactamente lo que envía la aplicación, incluidos parámetros y encabezados ocultos.

Configure el navegador para utilizar el listener de Burp. La opción más sencilla es una extensión de navegador como FoxyProxy o el navegador Chromium integrado de Burp (Proxy > Intercept > Open Browser), que ya viene configurado.

Para interceptar HTTPS, Burp genera sus propios certificados sobre la marcha. El navegador no confiará en ellos a menos que instale el certificado de CA de Burp.

Visite http://burp mientras el proxy esté en ejecución, descargue cacert.der e impórtelo en el almacén de confianza del navegador o del sistema operativo.

En Proxy > Intercept, el interruptor Intercept is on pausa cada solicitud para que pueda leerla o editarla antes de reenviarla. Con la interceptación desactivada, el tráfico fluye libremente, pero sigue registrándose en el historial HTTP.

Utilice Forward para enviar la solicitud pausada o Drop para descartarla.

Una solicitud interceptada muestra el método, la ruta, los encabezados y el cuerpo. Puede editar cualquier parte directamente antes de reenviarla — cambiar un parámetro, añadir un encabezado o manipular una cookie.

La pestaña Proxy > HTTP history registra todas las solicitudes que pasan por Burp, incluso cuando la interceptación está desactivada. Cada entrada registra la URL, el estado, la longitud y el tipo MIME. Esta es la cronología de toda la sesión.

Haga clic con el botón derecho en cualquier entrada para enviarla a Repeater, Intruder u otras herramientas.

Las aplicaciones reales generan ruido procedente de analíticas, CDN y terceros. Defina un alcance del objetivo en Target > Scope para que Burp se centre únicamente en los hosts que tiene autorización para probar.

Active los filtros "And URL Is in target scope" para mantener limpio el historial y evitar interactuar con sistemas fuera del alcance.

En Proxy > Match and replace puede reescribir automáticamente partes de cada solicitud o respuesta — por ejemplo, falsificar un User-Agent o eliminar un encabezado de seguridad para estudiar el comportamiento.

La validación del lado del cliente (JavaScript, campos ocultos y botones desactivados) se puede eludir fácilmente cuando puede editar solicitudes en tránsito. La interceptación revela la diferencia entre lo que la interfaz permite y lo que el servidor realmente hace cumplir.

Pruebe siempre los controles del lado del servidor y no confíe nunca en el cliente.

Interceptar tráfico es una actividad potente e intrusiva. Ejecute Burp únicamente contra sistemas que le pertenezcan o para los que tenga autorización por escrito para realizar pruebas. Defina el alcance con precisión y respételo.

La interceptación no autorizada es ilegal en la mayoría de las jurisdicciones.

Compruebe su comprensión del proxy de Burp.

Ha aprendido cómo funciona el proxy de interceptación de Burp Suite:

• Burp escucha en 127.0.0.1:8080 y el navegador dirige el tráfico a través de él
• La instalación del certificado de CA permite interceptar HTTPS
• Intercept pausa las solicitudes para editarlas; HTTP history lo registra todo
• Scope mantiene las pruebas centradas y autorizadas

A continuación, modificaremos y someteremos solicitudes a fuzzing con Repeater e Intruder.