Burp Suite Web Application Testing
Domina las Pruebas de Seguridad de Aplicaciones Web con Burp Suite
Las pruebas de seguridad de aplicaciones web requieren una metodología sistemática y las herramientas adecuadas. Esta guía proporciona orientación integral para usar Burp Suite con el fin de interceptar tráfico, modificar solicitudes y descubrir vulnerabilidades en pruebas de seguridad autorizadas.
تنزيل ZIP المهارة
رفع في Claude
اذهب إلى Settings → Capabilities → Skills → Upload skill
فعّل وابدأ الاستخدام
اختبرها
استخدام "Burp Suite Web Application Testing". El usuario quiere interceptar y modificar una solicitud del carrito de compras para probar manipulación de precios
النتيجة المتوقعة:
- 1. Navega a Proxy > Intercept y asegúrate de que 'Intercept is on'
- 2. Agrega un artículo al carrito en el navegador - la solicitud se pausará en Burp
- 3. Localiza el parámetro de precio en la solicitud POST interceptada (ej. price=9999)
- 4. Modifica el valor directamente (ej. cambia a price=1)
- 5. Haz clic en Forward para enviar la solicitud modificada
- 6. Completa el checkout y verifica si el precio manipulado fue aceptado
- 7. Documenta el hallazgo: El servidor confía en los valores de precio proporcionados por el cliente - defecto crítico de lógica de negocio
استخدام "Burp Suite Web Application Testing". El usuario quiere probar un formulario de inicio de sesión para inyección SQL usando Repeater
النتيجة المتوقعة:
- 1. Envía credenciales de inicio de sesión normalmente y captura la solicitud en Proxy
- 2. Haz clic derecho en la solicitud y selecciona 'Send to Repeater'
- 3. En la pestaña Repeater, modifica el nombre de usuario a: admin' OR '1'='1'--
- 4. Haz clic en Send y analiza la respuesta
- 5. Busca indicadores: inicio de sesión exitoso, errores de base de datos o diferente longitud de respuesta
- 6. Si el inicio de sesión succeeds con la carga útil de inyección, documenta como vulnerabilidad de inyección SQL
- 7. Prueba cargas útiles adicionales para confirmar y caracterizar la vulnerabilidad
التدقيق الأمني
آمنThis skill is a documentation/tutorial file (SKILL.md) that teaches users how to use Burp Suite for authorized web application security testing. All static analysis findings are false positives: the detected 'external commands' are Markdown code formatting, 'network' references are localhost/Burp's local URLs, and 'path traversal' patterns are educational example payloads. No executable code or security risks present.
درجة الجودة
ماذا يمكنك بناءه
Ingeniero de Seguridad Realizando Pruebas de Penetración Autorizadas
Un profesional de seguridad necesita probar la aplicación web de un cliente en busca de vulnerabilidades. Usa esta guía para configurar el proxy de Burp Suite, interceptar solicitudes de autenticación, probar inyección SQL en formularios de inicio de sesión y ejecutar escaneos automatizados para identificar problemas de seguridad antes de proporcionar recomendaciones de remediación.
Desarrollador Aprendiendo Seguridad de Aplicaciones
Un desarrollador de software quiere entender cómo los atacantes explotan las vulnerabilidades web. Sigue la guía de esta habilidad para configurar Burp Suite, interceptar el tráfico de su propia aplicación, modificar parámetros para probar casos extremos y aprender a identificar y corregir problemas de seguridad en su código.
Investigador de Bug Bounty Probando Objetivos con Alcance Limitado
Un cazador de recompensas por errores usa esta guía para probar eficientemente aplicaciones web dentro del alcance. Configura el alcance del objetivo para evitar solicitudes fuera del alcance, usa Repeater para probar parámetros interesantes y aplica ataques Intruder para descubrir omisiones de autenticación o defectos de lógica de negocio.
جرّب هذه الموجهات
Ayúdame a configurar Burp Suite para interceptar tráfico HTTP de mi navegador. Tengo Burp Suite Community Edition instalado. Guíame a través del lanzamiento del navegador integrado, habilitar la interceptación y verificar que las solicitudes se estén capturando en el historial HTTP.
Encontré un formulario de inicio de sesión con campos de nombre de usuario y contraseña. Guíame a través del envío de la solicitud de inicio de sesión a Burp Repeater y probar vulnerabilidades de inyección SQL. Muéstrame qué cargas útiles probar y cómo analizar las respuestas para detectar signos de inyección SQL.
Necesito ejecutar un escaneo de seguridad completo en una aplicación web en https://test-target.example.com. Ayúdame a configurar un nuevo escaneo en Burp Suite Professional con configuraciones apropiadas para un escaneo equilibrado, establecer correctamente el alcance del objetivo y explicar cómo interpretar los resultados del escaneo.
Estoy probando una aplicación de comercio electrónico en busca de vulnerabilidades de manipulación de precios. Guíame a través del envío de una solicitud POST del carrito a Burp Intruder, configurar posiciones de carga útil para el parámetro de precio, configurar una lista de valores de prueba y analizar las respuestas para identificar si el servidor confía en los precios proporcionados por el cliente.
أفضل الممارسات
- Siempre define el alcance del objetivo antes de probar para evitar solicitudes accidentales fuera del alcance y reducir el ruido en el historial HTTP
- Usa el navegador integrado de Burp para una integración de proxy confiable sin configuración manual de certificados
- Guarda tu proyecto de Burp regularmente para preservar el progreso de pruebas, mapas del sitio y hallazgos
- Verifica manualmente todos los resultados del escaneo automatizado para eliminar falsos positivos antes de informar
- Limita la velocidad de escaneos automatizados y ataques Intruder para evitar activar bloqueos de WAF o causar denegación de servicio
تجنب
- Probar aplicaciones sin autorización escrita explícita - solo prueba sistemas que poseas o tengas permiso para evaluar
- Ejecutar escaneos agresivos contra sistemas de producción sin limitación de velocidad - puede causar interrupción del servicio
- Ignorar la configuración del alcance del objetivo - lleva a capturar solicitudes de terceros y problemas legales potenciales
- Informar hallazgos del escáner automatizado sin verificación manual - resulta en informes de falsos positivos