Burp Suite

Burp Suite es una plataforma integrada para pruebas de penetración y evaluación de vulnerabilidades en aplicaciones web. La herramienta intercepta, examina y modifica el tráfico HTTP/HTTPS entre el navegador y los servidores objetivo, facilitando la identificación de fallos de seguridad. Proporciona un entorno centralizado para las fases de mapeo, análisis y explotación durante auditorías de seguridad.

★★★★★

5.0(1 valoraciones)

• Proxy Interceptivo. Componente central que captura el tráfico HTTP/S entre el navegador y la aplicación objetivo. Permite la inspección y modificación en tiempo real de solicitudes y respuestas antes de que lleguen a su destino. Esta funcionalidad es fundamental para pruebas manuales como manipulación de parámetros, inyección de datos y análisis de encabezados.
• Escáner Automatizado. Motor de análisis que identifica vulnerabilidades comunes y complejas en aplicaciones web. Ejecuta comprobaciones activas y pasivas para detectar problemas como Cross-Site Scripting (XSS), Inyección SQL, y lógica de negocios defectuosa. Genera reportes detallados con evidencia y niveles de severidad.
• Repetidor (Repeater). Herramienta para enviar manualmente solicitudes HTTP modificadas de manera repetitiva. Facilita la prueba de diferentes entradas y parámetros sin necesidad de interactuar con el navegador. Se utiliza para verificar la explotación de vulnerabilidades y el comportamiento de los endpoints.
• Intruso (Intruder). Automatiza ataques personalizados mediante la inyección de múltiples valores en posiciones definidas dentro de una solicitud. Soporta distintos modos de ataque (sniper, battering ram, pitchfork, cluster bomb) para tareas como fuerza bruta, fuzzing y enumeración de datos.
• Secuenciador (Sequencer). Analiza la calidad de la aleatoriedad en tokens de sesión, identificadores y otros valores generados por la aplicación. Evalúa la entropía mediante pruebas estadísticas para determinar si los valores son predecibles y pueden comprometer la seguridad de la sesión.
• Comparador (Comparer). Realiza una comparación visual o a nivel de bytes entre dos conjuntos de datos, como respuestas de servidor. Es útil para detectar diferencias en salidas de aplicaciones, variaciones en tiempos de respuesta o cambios sutiles durante pruebas de vulnerabilidades.
• Decodificador (Decoder). Transforma datos codificados o cifrados entre formatos comunes como Base64, URL, HTML, hexadecimal y ASCII. Permite la manipulación y decodificación manual de información capturada para su análisis durante la investigación de una aplicación.
• Extensor (Extender). API que habilita la integración de complementos (extensiones) desarrollados en Java, Python o Ruby. Amplía las capacidades principales con funcionalidades personalizadas, integraciones con otras herramientas y automatización de flujos de trabajo específicos.
• Colaborador Cliente (Collaborator). Detecta interacciones de red salientes e interacciones temporales (out-of-band) que surgen durante el escaneo o pruebas manuales. Identifica vulnerabilidades como SSRF, blind XSS o inyecciones que provocan interacciones con sistemas externos controlados.
• Mapa del Sitio (Target). Construye automáticamente un árbol de contenido que refleja la estructura de la aplicación probada. Recopila URLs, parámetros y relaciones entre elementos a partir del tráfico interceptado y el análisis pasivo, ofreciendo una visión general del alcance de la prueba.
• Registro de Peticiones (Logger). Captura y almacena todo el tráfico HTTP/S que pasa a través de las herramientas, incluyendo solicitudes desde el Proxy, Intruder y Scanner. Permite búsquedas y filtrado avanzado para revisar la actividad histórica durante una sesión de pruebas.
• Automatización de Tareas. Permite configurar y ejecutar flujos de trabajo automatizados que combinan múltiples herramientas, como escaneos programados, fuzzing y notificaciones. Se gestiona a través de la interfaz gráfica o la API de línea de comandos para integración en pipelines CI/CD.

Burp Suite fue creada por PortSwigger Security. La primera versión pública se lanzó en 2003. La aplicación está desarrollada principalmente en el lenguaje de programación Java, lo que proporciona compatibilidad multiplataforma. La empresa PortSwigger, fundada por Dafydd Stuttard, mantiene el desarrollo activo del software, incorporando regularmente nuevas capacidades para abordar vulnerabilidades emergentes en aplicaciones web modernas.

Alternativas a Burp Suite:

Nmap

Nmap es una herramienta de código abierto diseñada para el descubrimiento de hosts y el análisis de redes.

Precio: Gratis   Tamaño: 32.4 MB   Versión: 7.95   Idiomas: English   SO: Windows, Linux, Mac, BSD