Cómo utilizar la herramienta Intruder de Burp Suite para realizar pruebas de penetración en las aplicaciones web

Burp Suite es un potente escáner de vulnerabilidades desarrollado por Portswigger que se utiliza para probar la seguridad de las aplicaciones web. Burp Suite, que viene con distribuciones como Kali y Parrot, tiene una herramienta llamada Intruder, que le permite realizar ataques especiales automatizados contra aplicaciones en línea para piratería ética. Intruder es una herramienta flexible y configurable, lo que significa que puede usarla para automatizar cualquier tarea que surja en las aplicaciones de prueba.

Entonces, ¿cómo funciona realmente?

Usando el objetivo en Intruso

Target, que puede ver cuando accede a la pestaña Intruso en Burp Suite, contiene información sobre el sitio web o la aplicación de destino que desea probar. Puede ingresar la información del host y el número de puerto como destino en la sección «Posiciones de carga útil».

Uso de la pestaña Posiciones en Intruder

En la pestaña Posiciones, puede ver los tipos de ataque, la plantilla de solicitud y la información de los parámetros a los que apuntar. Estos son los tipos de ataques que puede probar con Burp Suite.

Francotirador: esta opción utiliza solo un parámetro. Los parámetros no objetivo no se ven afectados en este caso.

Ariete: esta opción utiliza un solo vector de ataque para todos los parámetros objetivo. Es decir, si hay tres parámetros objetivo en la plantilla de solicitud, ataca a los tres utilizando los mismos vectores de ataque.

Pitchfork: en esta opción, es posible usar más de un vector de ataque para todos los parámetros objetivo. Si cree que hay tres parámetros objetivo en la plantilla de solicitud, la primera solicitud sería seleccionar y colocar el primer elemento de la primera lista para el primer parámetro; el primer elemento de la segunda lista para el segundo parámetro; y el primer elemento de la tercera lista para el tercer parámetro. En la segunda solicitud, los elementos a seleccionar serán el segundo elemento de cada lista. Puede usar este tipo de ataque al colocar diferentes vectores en múltiples parámetros de destino.

Bomba de racimo: puede emplear más de un vector de ataque para todos los parámetros específicos usando esta opción. La diferencia entre esta y la opción Pitchfork es que una bomba de racimo te permite ajustar todas las distribuciones de combinación. No toma decisiones secuenciales como lo hace Pitchfork. Probar todas las combinaciones posibles de parámetros de destino puede resultar en una carga de solicitud masiva. Como resultado, debe tener cuidado al usar esta opción.

Hay algunos otros botones útiles en la pantalla Posiciones. Puede eliminar cualquier parámetro seleccionado con el botón Borrar a la derecha. Si desea apuntar a uno nuevo, también puede usar el botón Agregar a la derecha. Utilice el botón Automático para seleccionar automáticamente todos los campos o volver a su estado original.

¿Qué son las pestañas de cargas útiles en Burp Suite?

Piense en las listas de carga útil como listas de palabras. Puede usar la pestaña Cargas útiles para configurar una o más listas de cargas útiles. El número de conjuntos de carga útil varía según el tipo de ataque.

Puede definir un conjunto de carga útil de una o más formas. Si tiene una lista de palabras sólida, puede importar su lista de palabras seleccionando el botón Cargar en la sección «Opciones de carga útil».

También puede preparar conjuntos de carga útil independientes para los parámetros de destino. Por ejemplo, puede usar solo expresiones numéricas para el primer parámetro de destino, mientras que puede usar expresiones complejas para el segundo parámetro de destino.

Procesamiento de carga útil

Puede expandir aún más los conjuntos de carga útil configurados a través del procesamiento de carga útil con reglas y codificaciones. Por ejemplo, podría agregar un prefijo a todas las cargas útiles, hacer que codifiquen y decodifiquen, u omita expresiones que pasen ciertas expresiones regulares.

Codificación de carga útil

Con la codificación de carga útil , puede especificar qué caracteres deben codificarse como URL en los parámetros durante la transmisión de solicitudes HTTP al destino sin ningún problema. La codificación de URL es una versión convertida de información que probablemente se confunda con la dirección. Burp Suite envía la URL para codificar los equivalentes de caracteres como los signos de y comercial (&), asteriscos (*) y punto y coma y dos puntos (respectivamente, ; y:) en la configuración predeterminada.

¿Qué es la pestaña Opciones en Intruder?

La pestaña Opciones tiene opciones para encabezados de solicitud, resultados de ataques, coincidencias de grep y redireccionamientos. Puede cambiarlos en la interfaz de Intrusos antes de iniciar un escaneo.

Encabezados de solicitud

Puede configurar los encabezados de solicitud utilizando la configuración en el campo «Encabezados de solicitud». Lo importante a tener en cuenta aquí es el encabezado Content-Length: la dirección de destino puede devolver un error si el contenido no se actualiza correctamente.

Si no se utiliza la información de Establecer-Conexión, la conexión puede permanecer abierta, por lo que, después de activar la opción Establecer-Conexión, la conexión se termina. Sin embargo, puede realizar transacciones algo más rápido.

Manejo de errores

La configuración de la sección «Gestión de errores» controla el motor utilizado para generar solicitudes HTTP en los análisis de Intruder. Aquí puede establecer parámetros como la velocidad, la gravedad y la duración del ataque.

Resultados del ataque

La sección «Resultados del ataque» le permite establecer qué información estará en los resultados del escaneo. Estos ajustes de configuración tienen las siguientes opciones:

• Almacenar solicitudes/respuestas: Estas dos opciones son para especificar si se debe o no guardar el contenido de las solicitudes y respuestas de los escaneos.
• Hacer una solicitud de referencia sin modificar: contiene los valores base de los parámetros de destino, así como las solicitudes de exploración configuradas, para que pueda comparar las respuestas de exploración.
• Usar modo de denegación de servicio: con esta opción, puede realizar una solicitud de escaneo normal. Sin embargo, puede apagarse repentinamente antes de que haya una respuesta del servidor porque esta función causa fatiga en el servidor de destino. Por eso hay que usarlo con cuidado.
• Almacenar cargas útiles completas: esto permite que Burp Suite guarde los valores de carga útil exactos para cada resultado. Si elige esto, Intruder ocupará espacio adicional.

Grep: emparejar, extraer, cargas útiles

Puede usar la configuración en las secciones «Grep—Coincidencia», «Grep—Extraer» y «Grep—Cargas útiles» para marcar los resultados que contienen frases especificadas en las respuestas de exploración. Burp Suite agregará una columna de confirmación para cada elemento que configure, indicando si el elemento se encuentra en la respuesta. Por ejemplo, en los ataques de contraseña, puede ver frases como «contraseña incorrecta» e «inicio de sesión exitoso». Las características en la sección Grep-Match incluyen:

• Tipo de coincidencia: Esto indica si las expresiones definidas son una expresión regular (regex) o una expresión de texto.
• Coincidencia que distingue entre mayúsculas y minúsculas: Esto especifica si se debe distinguir entre mayúsculas y minúsculas o no.
• Excluir encabezado HTTP: especifique si las líneas de encabezado están exentas de esta operación.

¿Por qué es tan importante Burp Suite?

Los piratas informáticos éticos a menudo usan Burp Suite para operaciones de recompensas por errores. Del mismo modo, los investigadores de seguridad que trabajan en empresas corporativas y los evaluadores de penetración que desean realizar pruebas de seguridad en aplicaciones de Internet también pueden confiar en Burp Suite. Por supuesto, hay muchas otras excelentes herramientas que puede usar para las pruebas de penetración; dominar otras herramientas de pentesting además de Burp Suite lo hará destacar.