Burp Suite desde cero: interceptar, modificar y repetir peticiones web
· 11 min de lectura
Aprende qué es Burp Suite, cómo funciona un proxy de interceptación, cómo configurarlo con tu navegador y su certificado, y cómo usar sus herramientas principales (Proxy, Repeater, Intruder, Decoder y Comparer) para analizar aplicaciones web en un laboratorio.
Cuando usas una aplicación web, tu navegador envía decenas de peticiones que no ves: formularios, llamadas a APIs, cookies, cabeceras, parámetros ocultos. Para auditar la seguridad de una web necesitas ver esas peticiones, entenderlas y modificarlas, algo que el navegador por sí solo no permite cómodamente. Para eso existe Burp Suite, la herramienta de referencia en pruebas de seguridad de aplicaciones web.
Burp Suite se coloca entre tu navegador y la web como un proxy de interceptación: todo el tráfico pasa por él, y tú puedes pararlo, leerlo, cambiarlo y volver a enviarlo. Casi todas las lecciones de vulnerabilidades web de /aprende (inyección SQL, IDOR, subida de archivos, JWT) usan Burp en algún paso, así que dominarlo te ahorrará mucho tiempo.
En esta lección vas a ver qué es un proxy de interceptación, cómo configurar Burp con tu navegador, para qué sirve cada herramienta principal, un flujo de trabajo completo en un laboratorio y los errores más comunes al empezar.
Usa Burp Suite solo contra aplicaciones propias o en entornos autorizados, como los laboratorios de whoami-labs. Interceptar o modificar el tráfico de aplicaciones ajenas sin permiso es un delito.
Qué es un proxy de interceptación#
Normalmente, tu navegador habla directamente con el servidor web. Con Burp, el navegador habla con Burp, y Burp habla con el servidor. Como todo pasa por en medio, Burp puede registrar cada petición y cada respuesta, y detenerlas para que las modifiques antes de que sigan su camino.
Esto permite hacer cosas que desde el navegador no se pueden:
- Cambiar el valor de un campo que la interfaz no deja editar (un precio, un identificador, un rol).
- Saltarse validaciones que solo se hacen con JavaScript en el navegador.
- Ver parámetros y cabeceras ocultos.
- Repetir una petición cientos de veces con pequeños cambios.
Ediciones de Burp#
| Edición | Precio | Qué incluye |
|---|---|---|
| Community | Gratuita | Proxy, Repeater, Intruder (limitado en velocidad), Decoder, Comparer y más |
| Professional | De pago | Escáner automático, Intruder sin límites, Collaborator y extensiones avanzadas |
La edición Community es suficiente para aprender y para resolver los laboratorios de whoami-labs. Viene instalada en Kali Linux y también se descarga gratis desde la web de PortSwigger.
Cómo configurarlo#
Paso 1: el navegador integrado#
La forma más sencilla de empezar es el navegador integrado de Burp (pestaña Proxy, botón Open browser). Ya viene configurado para usar el proxy y confiar en el certificado de Burp, así que no tienes que tocar nada.
Paso 2: si prefieres tu propio navegador#
Burp escucha por defecto en 127.0.0.1:8080. Para usar Firefox, por ejemplo:
- Configura el proxy HTTP y HTTPS en
127.0.0.1, puerto8080(o usa una extensión como FoxyProxy para activarlo y desactivarlo con un clic). - Con el proxy activo, visita
http://burpsuitey descarga el certificado de CA de Burp. - Importa ese certificado en el navegador como autoridad de confianza para identificar sitios web.
El certificado es necesario para HTTPS: Burp descifra el tráfico cifrado para mostrártelo y lo vuelve a cifrar hacia el servidor. Sin el certificado, el navegador mostrará errores de seguridad en todas las páginas HTTPS.
Usa un perfil de navegador solo para pruebas. El certificado de Burp permite descifrar tu tráfico HTTPS, así que no debe estar instalado en el navegador que usas para tu banco o tu correo.
Paso 3: definir el alcance#
En la pestaña Target → Scope, añade la dirección del laboratorio. Así Burp solo registrará y te mostrará el tráfico que te interesa, y no el de actualizaciones, anuncios o telemetría del navegador. Trabajar con un alcance bien definido también evita, por error, enviar pruebas a sitios que no estás autorizado a probar.
Cómo leer una petición HTTP#
Lo primero que verás en Burp son peticiones HTTP en texto. Saber leerlas es imprescindible:
POST /login HTTP/1.1
Host: IP_DEL_LAB
User-Agent: Mozilla/5.0
Content-Type: application/x-www-form-urlencoded
Cookie: idioma=es
Content-Length: 31
usuario=estudiante&clave=Lab2026| Parte | En el ejemplo | Qué indica |
|---|---|---|
| Línea de petición | POST /login HTTP/1.1 | El método (GET, POST, PUT, DELETE…), la ruta y la versión de HTTP |
| Cabeceras | Host, Cookie, Content-Type… | Información adicional: a qué sitio va, quién eres, en qué formato van los datos |
| Línea en blanco | (vacía) | Separa las cabeceras del cuerpo |
| Cuerpo | usuario=…&clave=… | Los datos que se envían, normalmente en POST y PUT |
La respuesta tiene la misma forma: una línea de estado (HTTP/1.1 200 OK, 302 Found, 403 Forbidden), sus cabeceras (como Set-Cookie) y el cuerpo con el HTML o el JSON. Cualquier parte de la petición se puede modificar en Burp, y precisamente ahí está su valor: muchas vulnerabilidades aparecen al cambiar una cabecera, un parámetro oculto o el método, cosas que desde la interfaz de la web no se pueden tocar. Fíjate también en el código de estado de cada respuesta, porque un cambio de 403 a 200 suele ser la primera pista de un fallo de autorización.
Las herramientas principales#
| Herramienta | Para qué sirve |
|---|---|
| Proxy | Interceptar y registrar todo el tráfico; el historial (HTTP history) guarda cada petición |
| Repeater | Modificar una petición y reenviarla a mano tantas veces como quieras |
| Intruder | Automatizar el envío de muchas variantes de una petición (diccionarios, rangos de números) |
| Decoder | Codificar y decodificar Base64, URL, HTML, hexadecimal y hashes |
| Comparer | Comparar dos peticiones o respuestas y ver exactamente qué cambia |
| Target | Mapa del sitio con todas las rutas descubiertas mientras navegas |
| Extensiones (BApp Store) | Añadir funciones, como JWT Editor o Autorize |
Proxy#
Con Intercept is on, cada petición se detiene en Burp hasta que pulsas Forward (enviarla) o Drop (descartarla). Puedes modificarla antes de enviarla. Con Intercept is off, el tráfico pasa sin pararse, pero queda guardado en HTTP history, que es donde se trabaja la mayor parte del tiempo.
Repeater#
Es la herramienta que más vas a usar. Envías una petición desde el historial al Repeater (clic derecho, Send to Repeater o Ctrl+R), cambias lo que quieras y pulsas Send: ves la respuesta al instante. Es ideal para probar a mano una inyección, cambiar un identificador para buscar un IDOR o modificar un token.
Intruder#
Automatiza variaciones. Marcas una o varias posiciones de la petición con § y eliges una lista de valores. Sus modos de ataque principales:
| Modo | Qué hace | Uso típico |
|---|---|---|
| Sniper | Prueba la lista en una posición cada vez | Probar valores en un solo parámetro |
| Battering ram | Pone el mismo valor en todas las posiciones a la vez | Un valor que se repite en varios sitios |
| Pitchfork | Recorre varias listas en paralelo (primero con primero) | Pares usuario y contraseña conocidos |
| Cluster bomb | Prueba todas las combinaciones de varias listas | Todas las combinaciones de usuarios y contraseñas |
En la edición Community el Intruder va limitado en velocidad; para listas grandes en laboratorios, herramientas como ffuf son más rápidas.
Decoder y Comparer#
El Decoder convierte datos entre formatos: muy útil para leer cookies en Base64, decodificar parámetros URL o el contenido de un JWT. El Comparer muestra las diferencias entre dos respuestas, por ejemplo entre un inicio de sesión con un usuario que existe y otro que no, para detectar enumeración de usuarios.
Flujo de trabajo en un laboratorio#
Vamos a recorrer un análisis típico en un laboratorio autorizado con una aplicación de perfiles.
Paso 1: navegar con el proxy activo#
Con Intercept desactivado, usa la aplicación con normalidad: inicia sesión, abre tu perfil, cambia algún dato. Todo queda en HTTP history.
Paso 2: revisar el historial#
Filtra por el alcance y busca las peticiones interesantes: las que llevan identificadores, tokens o parámetros. Por ejemplo:
GET /api/perfil/1031 HTTP/1.1
Host: IP_DEL_LAB
Cookie: session=eyJ1c2VyIjoiZXN0dWRpYW50ZSJ9Paso 3: entender los datos#
Envía la cookie al Decoder y decodifícala en Base64: {"user":"estudiante"}. Ya sabes que la sesión guarda el usuario en un formato legible, algo que conviene investigar.
Paso 4: probar en el Repeater#
Envía la petición al Repeater, cambia 1031 por 1030 y pulsa Send. Si la respuesta trae el perfil de otro usuario, has encontrado un IDOR (explicado en su propia lección de /aprende).
Paso 5: automatizar si hace falta#
Si quieres comprobar un rango de identificadores, envía la petición al Intruder, marca el número como posición, elige el tipo de carga Numbers (por ejemplo del 1000 al 1050) y revisa las respuestas por longitud o código de estado: las que difieren suelen ser las interesantes.
Atajos y trucos útiles#
| Atajo o truco | Para qué sirve |
|---|---|
Ctrl+R | Enviar la petición seleccionada al Repeater |
Ctrl+I | Enviar al Intruder |
Ctrl+U / Ctrl+Shift+U | Codificar / decodificar en URL el texto seleccionado |
| Clic derecho → Change request method | Pasar de GET a POST y viceversa automáticamente |
| Filtro del historial por alcance | Ver solo el tráfico del laboratorio |
| Columna de longitud de la respuesta | Detectar diferencias rápidamente en el Intruder |
Extensiones recomendadas#
Desde la pestaña Extensions → BApp Store puedes instalar complementos gratuitos que amplían Burp:
- JWT Editor: decodificar, modificar y volver a firmar JSON Web Tokens.
- Autorize: repetir automáticamente cada petición con la sesión de otro usuario para detectar problemas de autorización.
- Logger++: un historial más completo y con filtros avanzados.
- Hackvertor: transformaciones y codificaciones encadenadas.
Errores comunes al empezar#
- Dejar Intercept activado sin darse cuenta. Las páginas «no cargan» porque Burp está esperando a que pulses Forward.
- No instalar el certificado. Todas las webs HTTPS dan error.
- No definir el alcance. El historial se llena de ruido y es fácil enviar pruebas a sitios no autorizados.
- Usar el navegador personal. El certificado de Burp no debe estar en el navegador de uso diario.
- Fiarse solo del escáner. El valor de Burp está en entender y manipular las peticiones a mano.
Preguntas frecuentes#
¿Burp Suite Community es suficiente para aprender?#
Sí. El Proxy, el Repeater y el Decoder, que son lo más usado, están completos en la edición gratuita. Las limitaciones del Intruder se suplen con herramientas libres como ffuf.
¿Por qué necesito el certificado de Burp?#
Porque el tráfico HTTPS va cifrado. Burp lo descifra para mostrártelo y lo vuelve a cifrar, y para que el navegador lo acepte tiene que confiar en el certificado de Burp como autoridad.
¿Qué diferencia hay entre Repeater e Intruder?#
El Repeater sirve para modificar y reenviar una petición a mano, una y otra vez. El Intruder automatiza el envío de muchas variantes a partir de listas de valores.
¿Burp sirve también para aplicaciones móviles?#
Sí: configurando el dispositivo o el emulador para usar Burp como proxy e instalando su certificado, puedes ver el tráfico de muchas aplicaciones móviles, aunque algunas usan técnicas para impedirlo.
¿Dónde practico?#
En los laboratorios web de whoami-labs enlazados al final de esta lección; en todos ellos Burp es la herramienta principal para entender y manipular las peticiones.
Resumen#
- Burp Suite es un proxy de interceptación: se coloca entre el navegador y la web para ver y modificar cada petición.
- Se configura con el navegador integrado o con tu navegador, el certificado de CA para HTTPS y un alcance bien definido.
- Sus herramientas clave son Proxy, Repeater, Intruder, Decoder y Comparer.
- El flujo típico es: navegar, revisar el historial, entender los datos y probar cambios en el Repeater.
- Úsalo en un perfil de navegador solo para pruebas y siempre dentro de un alcance autorizado.