Guia de referência Burp Suite
Referência completa para testes de segurança de aplicações web
Proxy • Repeater • Intruder • Scanner • Extensions
📑 Navegação rápida
O que é Burp Suite?
Burp Suite é uma plataforma integrada para testes de segurança de aplicações web, desenvolvida pela PortSwigger. É o padrão da indústria para testes manuais e varredura automatizada de aplicações web. A edição Community é gratuita, enquanto as edições Professional e Enterprise oferecem recursos avançados de varredura e colaboração.
Download em portswigger.net/burp. Burp Suite vem pré-instalado no Kali Linux.
⚙️ Configuração inicial
1. Configurar proxy do navegador
Configure seu navegador para usar o proxy do Burp:
| Endereço do proxy | 127.0.0.1 |
| Porta do proxy | 8080 |
2. Instalar certificado CA (para HTTPS)
- Com o proxy do Burp em execução, visite
http://burpno seu navegador - Clique em "CA Certificate" para baixar
- Importe no armazenamento de certificados do navegador como CA confiável
💡 Dica pro
Use o navegador integrado do Burp (Proxy → Open Browser) para configuração automática de proxy e certificado. Disponível nas edições Community e Pro.
⌨️ Atalhos de teclado essenciais
| Atalho | Ação |
|---|---|
| Ctrl+R | Enviar para Repeater |
| Ctrl+I | Enviar para Intruder |
| Ctrl+Shift+R | Enviar requisição (no Repeater) |
| Ctrl+Space | Enviar requisição (no Repeater - alternativo) |
| Ctrl+U | Codificar URL na seleção |
| Ctrl+Shift+U | Decodificar URL na seleção |
| Ctrl+B | Codificar Base64 na seleção |
| Ctrl+Shift+B | Decodificar Base64 na seleção |
| Ctrl+F | Pesquisar |
| Ctrl+/ | Alternar interceptação (Proxy) |
🔄 Proxy
A ferramenta Proxy intercepta tráfego HTTP/HTTPS entre seu navegador e aplicações web.
Aba Intercept
| Intercept is on | Todas as requisições correspondentes são retidas para análise |
| Intercept is off | Tráfego flui automaticamente |
| Forward | Enviar requisição atual para o servidor |
| Drop | Descartar requisição atual |
| Action | Menu de clique direito para enviar para Repeater, Intruder, etc. |
HTTP History
Todas as requisições/respostas HTTP são registradas aqui mesmo quando a interceptação está desativada. Filtrar por:
Regras Match and Replace
Modificar automaticamente requisições/respostas (Proxy → Options → Match and Replace):
- Adicionar cabeçalhos personalizados a todas as requisições
- Substituir User-Agent
- Modificar cookies automaticamente
- Remover cabeçalhos de segurança das respostas
🎯 Target
Site Map
Representação visual do conteúdo descoberto. Opções do clique direito:
| Add to scope | Incluir no escopo do alvo |
| Spider this host | Rastrear para mais conteúdo |
| Actively scan this host | Executar scanner de vulnerabilidades (somente Pro) |
| Engagement tools | Descobrir conteúdo, encontrar comentários, analisar alvo |
Configuração de escopo
Definir quais hosts/URLs estão no escopo dos testes. Isso afeta:
- O que é interceptado pelo Proxy
- O que é rastreado pelo Spider
- O que é analisado pelo Scanner
- O que aparece nas visualizações filtradas
📋 Exemplos de patterns de escopo
# Incluir domínio inteiro
.*\.example\.com$
# Incluir caminho específico
^https://example\.com/app/.*
# Excluir caminhos específicos
^https://example\.com/logout.*🔁 Repeater
Modificar manualmente e reenviar requisições HTTP individuais. Essencial para testar vulnerabilidades.
Fluxo de trabalho
1
Enviar requisição para Repeater (Ctrl+R)
2
Modificar a requisição
3
Clicar em Send
4
Analisar a resposta
Técnicas de teste
- Injeção SQL: Adicionar
' OR '1'='1aos parâmetros - XSS: Injetar
<script>alert(1)</script> - Path Traversal: Tentar
../../../etc/passwd - IDOR: Alterar valores de ID (1 → 2, admin → user)
- Method Override: Mudar GET para POST, PUT, DELETE
- Header Injection: Adicionar cabeçalhos maliciosos
💥 Intruder
Ataques personalizados automatizados. Enviar requisição para Intruder (Ctrl+I), definir posições e executar ataques com payloads.
Tipos de ataques
| Tipo | Descrição | Caso de uso |
|---|---|---|
| Sniper | Conjunto único de payloads, uma posição por vez | Fuzzing de parâmetros individuais |
| Battering Ram | Mesmo payload em todas as posições simultaneamente | Mesmo valor em múltiplos campos |
| Pitchfork | Diferentes conjuntos de payloads em paralelo | Testar pares usuário:senha |
| Cluster Bomb | Todas as combinações de conjuntos de payloads | Força bruta em múltiplos parâmetros |
Tipos de payloads
Lista de palavras personalizada
Números sequenciais/aleatórios
Combinações de conjunto de caracteres
Ler de arquivo durante o ataque
Intervalo de datas com formato
Repetir requisição n vezes
Processamento de payloads
Aplicar regras aos payloads antes do envio:
- Adicionar prefixo/sufixo
- Codificação URL
- Codificação/decodificação Base64
- Hash (MD5, SHA1, etc.)
- Match/replace
- Ignorar se corresponder à condição
⚠️ Limitação da edição Community
Intruder na edição gratuita tem velocidade limitada. A edição Professional remove os limites de velocidade.
🔤 Decoder
Codificar e decodificar dados em vários formatos.
Formatos suportados
Funções de hash
MD2, MD5, SHA, SHA-256, SHA-384, SHA-512
⚖️ Comparer
Comparar duas requisições ou respostas para identificar diferenças. Útil para:
- Identificar bypasses de autenticação
- Encontrar efeitos de poluição de parâmetros
- Comparar requisições bem-sucedidas vs falhas
- Detectar diferenças de timing
🎲 Sequencer
Analisar aleatoriedade de tokens (IDs de sessão, tokens CSRF, etc.). Útil para:
- Testar aleatoriedade de tokens de sessão
- Avaliar força de tokens CSRF
- Analisar tokens de redefinição de senha
- Verificar geração de chaves API
Coletar pelo menos 100+ amostras para análise precisa.
🔍 Scanner (somente Pro)
Varredura automatizada de vulnerabilidades.
Tipos de varredura
| Passive | Analisa tráfego existente, sem requisições adicionais |
| Active | Envia sondas para testar vulnerabilidades |
| Crawl | Descobre conteúdo seguindo links |
| Audit | Testa conteúdo descoberto para vulnerabilidades |
Achados comuns
🧩 Extensões essenciais
Instalar em Extender → BApp Store:
| Extensão | Finalidade |
|---|---|
| Autorize | Testes de autorização automáticos |
| Logger++ | Logging aprimorado com filtros |
| Param Miner | Descobrir parâmetros ocultos |
| JSON Web Tokens | Testes e manipulação de JWT |
| Turbo Intruder | Ataques de alta velocidade com Python |
| Hackvertor | Codificação/decodificação avançada |
| Active Scan++ | Verificações adicionais de varredura ativa |
| Collaborator Everywhere | Injetar payloads Collaborator em todo lugar |
📚 Recursos adicionais
- Documentação oficial Burp Suite
- PortSwigger Web Security Academy — Treinamento gratuito
- BApp Store — Extensões
🕷️ Guia de referência Burp Suite completo!
Você agora tem uma referência abrangente para o kit de ferramentas de teste de aplicações web padrão da indústria. Da interceptação de tráfego à varredura automatizada, esses recursos são o que os profissionais de segurança usam diariamente.
Pronto para testar sua próxima aplicação web!