En esencia, Burp Suite es un framework basado en Java diseñado para funcionar como una solución comprensiva para realizar pentesting de aplicaciones web y móviles. Se ha convertido en un estándar en la industria.
Burp Suite captura y habilita la manipulación de todo el tráfico HTTP/HTTPS entre el navegador y el servidor. Interceptando peticiones, el usuario tiene flexibilidad para enrutarlas a varios componentes. La capacidad de interceptar, ver, manipular y redirigir las peticiones web hace de Burp Suite una herramienta de valor incalculable.
Burp Suite está disponible en varias versiones pero nos centraremos en el uso de Burp Suite Community Edition. Aunque también ofrece Burpsuite Professional y Enterprise que requieren licencia pero vienen con herramientas más avanzadas.
-
Burp Suite Professional es una versión de Burp Suite sin restricciones. Trae funcionalidades como:
- Un escáner de vulnerabilidades automático.
- Un fuzzer/brute-forcer que no está limitado por la frecuencia.
- Guardar proyectos para futuro uso y generación de reportes.
- Una API que permite la integración con otras herramientas.
- Acceso no restringido a añadir nuevas extensiones para mejores funcionalidades.
- Acceso a Burp Suite Collaborator.
Es una herramienta altamente potente, haciéndola la elección favorita de los profesionales.
-
Burp Suite Enterprise, en contraste, es primordialmente usada para escaneo continuo. Dispone de un escáner automatizado que periódicamente escanea aplicaciones web en busca de vulnerabilidades. Al contrario que las otras dos versiones, esta corre en un servidor y constantemente escanea las aplicaciones.