Tutorial de Burpsuite

Hola querido amigo(a)! espero que te encuentres muy bien. El dia de hoy decidi hacer este tutorial Burpsuite.

Burpsuite es una herramienta muy versatil y eficaz para realizar pruebas de seguridad (Pentest) con el fin de encontrar vulnerabilidads en aplicaciones Web.

Burpsuite, al momento de escribir esta nota, le pertenece a la compania PortSwigger, y es probablemente la herramienta mas popular e indispensable para probar la seguridad de un aplicacion web.

PortSwigger ofrece diferentes ediciones de Burpsuite: Enterprise, Professional and Community. La edicion community es la version gratis de Burpsuite, pero es la que tiene menos funcionalidades integradas. En este tutorial nos vamos a enfocar en la version Community con el navegador Firefox en Kali Linux. Sin embargo, si estas pensando en dedicarte a Ciberseguridad y/o Pentesting profesionalmente, te recomiendo invertir en la licencia de Burpsuite Professional.

Afortunadamente Burpsuite (a veces simplemente "burp") ya viene instalado en Kali Linux, y basta con actualizar nuestro sistem para tener la version mas nueva de Burpsuite. Para actualizar nuestro sistema usaremos el adminitrador de paquete de linux con el siguiente comando en la terminal: "sudo apt update && sudo apt upgrade -y", este paso puede tardar unos cuantos minutos. Burpsuite necesita tener Java Runtime Environment (JRE) para poder funcionar.

Una vez actualizado el sistema, podemos abrir la interfaz grafica de usuario (GUI) desde el boton de inicio, o desde la terminal usando el comando "burpsuite":

Dependiendo de la version de Java que tengas instalada, Burpsuite puede notificarte de algun error o advertencia que podria mermar su funcionalidad. Si Java esta bien instalado, Burpsuite abrira satisfactoriamente y te pedira crear un nombre para proyecto. Lamentablemente en la edicion Community unicamente se pueden crear proyectos temporales, asi que seleccionaremos "temporary project" y daremos click en "Next".

Lo siguiente sera eligir la configuracion de Burp. Si tienes un archivo con alguna configuracion especial para ejecutar Burpsuite, deberas seleccionar "Load from configuration file" y dar click en el boton "Choose File ...". De otra manera, y para mantener simple este tutorial, elegiremos la configuracion predeterminada dando click en "Use Burp defaults" y otro click en "Start Burp" para comenzar.

Una vez que Burp ha comenzado el proyecto, vemos la inferfaz principal de usuario.

En la siguiente tabla voy a describir brevemente la diferentes herramientas que tiene Burpsuite:

Herramienta	Descripcion
Dashboard	Aqui puedes encontrar todas las tareas del modulo de intrusion, tambien el registro de actividades
Target	Aqui podemos definir el area de enfoque de nuestras pruebas, asi evitamos capturar paquetes de URLs que estan fuera de interes. Burpsuite tambien nos provee de un mapa del sitio(s) que han sido identificados durante nuestras pruebas.
Proxy	Esta es una de las herramientas mas utiles y populares dentro de Burpsuite. Una vez que configuramos nuestro navegador para enviar y recibir nuestros paquetes HTTP a burpsuite, es aqui donde podemos ver, analizar, diseccionar y hasta modifcar todas estas solicitudes.
Intruder	Aqui podemos enviar las solicitudes HTTP capturadas y preparar diferentes dipos de ataques como bruteforcing, enumeracion de directorios, inyecciones, etc. Con intruder solo tenemos que especificar la variable que se va a atacar, especificar el tipo automatizacion ya sea Sniper, Battering Ram, Pitchfork o Clusterbomb para los payload, y finalmente definir tu lista de payloads.
Repeater	Es cierto que Intruder nos permite automatizar el ataque, sin embargo Burpsuite nos ofrece su herramienta "Repeater", para modificar una solicitud HTTP a la vez, y asi tener un control mas granular del ataque.
Sequencer	Esta herramienta nos permite auditar la seguridad del mecanismo de autorazion e integridad, especificamente para tokens tipo Cross-Site Request Forgery (CSRF) y otros tokens.
Decoder	Dado que las aplicaciones web tienden a codificar la transferecia de datos dentro de las solicitudes y respuestas tipo HTTP, burpsuite ofrece la herramienta Decoder para codificar y decodificar datos en diferentes tipos de codificacion: URL, Base64, HTML, ASCII, hexadecimal, octal, binario y Gunzip.
Comparer	Esta herramienta nos permite comprar dos paquetes de datos y encontrar sus diferencias.
Logger	Aqui podemos habilitar y deshabilitar la recopilacion de solicitudes HTTP, al igual que examinar los estos paquetes de datos.
Extensions	Esta una de las herramientas que convierten a Burpsuite en una aplicacion muy poderosa. Es posible instalar extensions hechos por desarrollares de la comunidad de Burpsuite (o simplemente hacer los propios), para cambiar el comportamiento de Burpsuite.

Este es un tutorial muy basico de la funcionalidad de Burpsuite, mas adelante creare otras entradas en este blog para describir como utilizar estas ultimas herramientas de Burpsuite.