Repeater e Intruder

Una vez capturada una solicitud, dos herramientas le permiten experimentar con ella. Repeater sirve para realizar pruebas manuales cuidadosas — envíe una solicitud, modifíquela y vuelva a enviarla. Intruder automatiza el envío de muchas variantes para someter parámetros a fuzzing.

Desde el historial HTTP o el proxy, haga clic con el botón derecho en una solicitud y seleccione Send to Repeater (Ctrl+R). Se abrirá en una pestaña donde podrá editar la solicitud sin formato a la izquierda y ver la respuesta a la derecha.

Repeater es ideal para investigar un parámetro cada vez. Cambie un valor, pulse Send y compare las respuestas. Burp muestra el código de estado, la longitud y el tiempo de respuesta para que pueda detectar diferencias significativas.

Los cambios sutiles en las respuestas revelan vulnerabilidades. Una longitud diferente, un mensaje de error nuevo o un código de estado modificado después de inyectar un payload suelen indicar una inyección SQL, un IDOR o un control de acceso defectuoso.

Para automatizar el proceso, haga clic con el botón derecho y seleccione Send to Intruder (Ctrl+I). Intruder repite una solicitud muchas veces y sustituye los payloads en las posiciones que marque con marcadores §.

En la pestaña Positions, Burp marca automáticamente los parámetros. Borre esas marcas y coloque sus propios marcadores §§ exactamente donde deban insertarse los payloads.

Sniper utiliza un conjunto de payloads y se dirige a cada posición marcada por turnos, una cada vez. Es ideal para someter un único campo a fuzzing, por ejemplo, para aplicar fuerza bruta a una contraseña de un nombre de usuario conocido.

Cluster bomb utiliza varios conjuntos de payloads y prueba todas las combinaciones — es ideal para probar masivamente pares de nombres de usuario y contraseñas. Pitchfork, en cambio, empareja los conjuntos por índice, y Battering ram coloca el mismo payload en todas las posiciones.

La pestaña Payloads carga listas de palabras o genera payloads (números, fuerza bruta y fechas). Las reglas de procesamiento de payloads pueden aplicar un hash, añadir un prefijo, codificar cada payload en formato URL o convertirlo a Base64 antes de enviarlo.

Ordene los resultados por estado, longitud o tiempo de respuesta para encontrar el valor atípico. Un inicio de sesión correcto suele devolver una longitud diferente o una redirección 302 en comparación con los intentos fallidos. Utilice Grep - Match para marcar las respuestas que contengan "Welcome" o "Invalid".

La edición Community limita considerablemente la velocidad de Intruder. En intervenciones reales, configure la limitación del grupo de recursos para no sobrecargar el objetivo y evitar bloqueos. El fuzzing agresivo puede provocar una denegación de servicio — manténgase siempre dentro del alcance autorizado y de los límites acordados.

Ha explorado las herramientas manuales y automatizadas de Burp para solicitudes:

• Repeater — iterar sobre una solicitud individual y comparar las respuestas
• Intruder — someter a fuzzing las posiciones §§ marcadas con conjuntos de payloads
• Tipos de ataque: Sniper, Battering ram, Pitchfork, Cluster bomb
• Ordene por estado o longitud y utilice Grep-Match para encontrar coincidencias

A continuación: el Scanner automatizado de Burp.