Burp Suite es la plataforma de testing de seguridad de aplicaciones web más adoptada, usada en más de 47,000 organizaciones en todo el mundo según los propios datos de PortSwigger. Para equipos de QA, cierra la brecha entre el testing funcional y la validación de seguridad — proporcionando herramientas para interceptar tráfico, escanear vulnerabilidades OWASP Top 10, probar flujos de autenticación y automatizar verificaciones de seguridad en CI/CD. La lista OWASP Top 10, actualizada periódicamente por OWASP, sirve como línea base de la industria para qué vulnerabilidades deben probarse — y el escáner de Burp Suite está específicamente construido para encontrarlas.

“Las pruebas de seguridad solían ser algo que entregábamos a un equipo separado al final del sprint. Una vez que introduje Burp Suite en nuestro workflow de QA, empezamos a encontrar problemas de autenticación y vulnerabilidades IDOR durante las pruebas de regresión regulares. Cambió completamente cómo nuestro equipo piensa sobre la calidad.” — Yuri Kan, Senior QA Lead

Burp Suite es la plataforma líder de la industria para testing de seguridad de aplicaciones web. Para ingenieros QA, Burp proporciona un toolkit integral para pruebas de seguridad manuales y automatizadas, incluyendo proxies de intercepción, scanners y herramientas especializadas para descubrimiento de vulnerabilidades.

Si buscas profundizar en testing de seguridad, te recomendamos explorar nuestra guía completa de testing de seguridad de APIs que cubre metodologías complementarias a Burp Suite. También encontrarás útil nuestra guía sobre documentación de pruebas de seguridad para estructurar tus hallazgos de forma profesional. Para testing de aplicaciones móviles con Burp, consulta testing de seguridad móvil.

¿Qué es Burp Suite?

Ediciones Burp Suite

  • Community Edition - Gratis, escaneo automatizado limitado
  • Professional - Scanner completo, herramientas avanzadas ($449/año)
  • Enterprise - Integración CI/CD, colaboración equipo ($3,999/año)

Componentes Principales

1. Proxy - Interceptar y Modificar Tráfico 

# Configurar navegador para usar proxy Burp
# Configuración proxy: localhost:8080

# Instalar certificado CA de Burp
# Navegar a: http://burp
# Descargar cacert.der e instalar en navegador

Interceptar Solicitudes:

1. Activar "Intercept is on" en pestaña Proxy
2. Navegar a target en navegador
3. Ver/modificar solicitud en Burp
4. Click "Forward" para enviar o "Drop" para bloquear

2. Scanner - Detección Automatizada Vulnerabilidades

Configuración Scanner:

1. Click derecho en target en Proxy/Target
2. Seleccionar "Scan" o "Actively scan this host"
3. Configurar ajustes escaneo:

   - Límites crawl
   - Velocidad escaneo
   - Tipos de issues a detectar

3. Intruder - Ataques Automatizados

Ejemplo Fuzzing:

1. Enviar solicitud a Intruder (Click derecho → "Send to Intruder")
2. Establecer posiciones payload:
   POST /api/users HTTP/1.1
   {"user_id": §1§, "role": "§admin§"}

3. Configurar tipos payload:

   - Posición 1: Números (1-1000)
   - Posición 2: Lista simple (admin, user, guest)

4. Iniciar ataque y analizar respuestas

Tipos Ataque:

  • Sniper - Posición payload única
  • Battering Ram - Mismo payload en todas posiciones
  • Pitchfork - Iterar múltiples sets payload en paralelo
  • Cluster Bomb - Todas permutaciones de sets payload

4. Repeater - Testing Manual Solicitudes 

1. Enviar solicitud interesante a Repeater
2. Modificar parámetros solicitud
3. Click "Send" para ver respuesta
4. Comparar múltiples respuestas lado a lado

Casos Prueba Comunes:

  • Bypass Autenticación: Eliminar tokens, modificar IDs usuario
  • Testing Autorización: Acceder recursos con diferentes roles usuario
  • Validación Entrada: Probar límites, caracteres especiales, codificación

5. Decoder - Codificar/Decodificar Datos

Codificaciones soportadas:

  • Codificación URL
  • Codificación HTML
  • Base64
  • Hex
  • ASCII hex
  • Gzip

Técnicas Avanzadas

Manejo Sesiones 

1. Project Options → Sessions
2. Añadir "Cookie jar"
3. Configurar reglas manejo sesión:

   - Extraer cookies de respuestas
   - Añadir cookies a solicitudes
   - Manejar tokens CSRF

Testing APIs

Testing GraphQL:

# Query introspección
{
  __schema {
    types {
      name
      fields {
        name
        type {
          name
        }
      }
    }
  }
}

Testing JWT:

// Extensión Burp para decodificar/modificar JWTs
function decodeJWT(token) {
    const parts = token.split('.');
    const header = JSON.parse(atob(parts[0]));
    const payload = JSON.parse(atob(parts[1]));
    return { header, payload, signature: parts[2] };
}

Extensiones Burp

Extensiones Imprescindibles

1. Autorize - Testing autorización 2. Logger++ - Logging avanzado 3. Turbo Intruder - Ataques alta velocidad 4. JWT Editor - Manipulación JWT 5. Retire.js - Detectar librerías JavaScript vulnerables

Mejores Prácticas

Workflow Eficiente

  1. Fase Reconocimiento:

    • Mapear aplicación con Spider
    • Revisar historial Proxy para endpoints interesantes
    • Identificar mecanismos autenticación/autorización

  2. Testing Manual:

    • Usar Repeater para testing dirigido
    • Probar autenticación/autorización con diferentes roles
    • Verificar validación entrada en todos parámetros

  3. Escaneo Automatizado:

    • Ejecutar escaneos pasivos continuamente
    • Escaneo activo áreas específicas de interés
    • Usar Intruder para fuzzing y fuerza bruta

TL;DR

  • Burp Suite es la plataforma estándar de seguridad web, usada en 47,000+ organizaciones
  • Community Edition es gratuita; Professional ($449/año) agrega escaneo automatizado
  • Herramientas principales: Proxy, Scanner, Intruder, Repeater
  • Cubre vulnerabilidades OWASP Top 10 incluyendo inyección, XSS, autenticación rota
  • Enterprise Edition permite integración CI/CD con REST API

Preguntas Frecuentes

¿Para qué se usa Burp Suite en QA? Burp Suite es utilizado por ingenieros QA para interceptar y modificar tráfico HTTP/HTTPS, escanear vulnerabilidades como SQL injection y XSS, probar autenticación y autorización, y validar requisitos de seguridad antes del lanzamiento.

¿Es suficiente la Community Edition para testing QA? La Community Edition es gratuita y suficiente para tareas manuales como interceptar tráfico, usar Repeater y funcionalidad básica de Intruder. El escaneo automatizado requiere Burp Suite Professional ($449/año).

¿Qué vulnerabilidades OWASP Top 10 puede detectar Burp Suite? Burp Suite puede identificar todas las vulnerabilidades OWASP Top 10 incluyendo inyecciones, autenticación rota, XSS, deserialización insegura y configuraciones de seguridad incorrectas.

¿Cómo integro Burp Suite en un pipeline de CI/CD? La edición Enterprise provee acceso REST API para integración CI/CD. Puedes disparar scans vía API, verificar resultados y fallar builds cuando se encuentran problemas de alta severidad.

Conclusión

Burp Suite es la navaja suiza del testing de seguridad web. Desde interceptar tráfico hasta escaneo automatizado y explotación avanzada, Burp empodera a ingenieros QA para identificar y validar vulnerabilidades de seguridad integralmente.

Conclusiones Clave:

  • Dominar el Proxy para análisis tráfico
  • Usar Scanner para detección automatizada vulnerabilidades
  • Aprovechar Intruder para fuzzing y fuerza bruta
  • Emplear Repeater para explotación manual
  • Extender funcionalidad con extensiones personalizadas
  • Integrar en CI/CD para testing seguridad continuo

Fuentes: Documentación PortSwigger Burp Suite · OWASP Top 10

Ver También

Recursos Oficiales