⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

USO AUTORIZADO APENAS: Use esta habilidade apenas para avaliações de segurança autorizadas, validação defensiva ou ambientes educacionais controlados.

Teste de Aplicações Web com Burp Suite

Propósito

Execute testes abrangentes de segurança em aplicações web usando o conjunto de ferramentas integradas do Burp Suite, incluindo interceptação e modificação de tráfego HTTP, análise e reenvio de requisições, varredura automatizada de vulnerabilidades e fluxos de trabalho de teste manual. Esta habilidade permite a descoberta e exploração sistemática de vulnerabilidades em aplicações web através da metodologia de teste baseada em proxy.

Entradas / Pré-requisitos

Ferramentas Necessárias

• Burp Suite Community ou Professional Edition instalada
• Navegador embutido do Burp ou navegador externo configurado
• URL da aplicação web alvo
• Credenciais válidas para testes autenticados (se aplicável)

Configuração do Ambiente

• Burp Suite iniciado com projeto temporário ou nomeado
• Listener de proxy ativo em 127.0.0.1:8080 (padrão)
• Navegador configurado para usar o proxy do Burp (ou use o navegador do Burp)
• Certificado CA instalado para interceptação HTTPS

Comparativo de Edições

Saídas / Entregáveis

Saídas Principais

• Requisições/respostas HTTP interceptadas e modificadas
• Relatórios de varredura de vulnerabilidades com conselhos de remediação
• Documentação do histórico HTTP e mapa do site
• Provas de conceito de exploits para vulnerabilidades identificadas

Fluxo de Trabalho Principal

Fase 1: Interceptando Tráfego HTTP

Iniciando o Navegador do Burp

Navegue até o navegador integrado para integração perfeita do proxy:

1. Abra o Burp Suite e crie/abra um projeto
2. Vá para a aba Proxy > Intercept
3. Clique em Open Browser para iniciar o navegador pré-configurado
4. Posicione as janelas para visualizar o Burp e o navegador simultaneamente

Configurando a Interceptação

Controle quais requisições são capturadas:

Proxy > Intercept > Intercept is on/off toggle

When ON: Requests pause for review/modification
When OFF: Requests pass through, logged to history

Interceptando e Encaminhando Requisições

Processe o tráfego interceptado:

1. Defina o toggle de interceptação para Intercept on
2. Navegue até o URL alvo no navegador
3. Observe a requisição retida na aba Proxy > Intercept
4. Revise o conteúdo da requisição (cabeçalhos, parâmetros, corpo)
5. Clique em Forward para enviar a requisição ao servidor
6. Continue encaminhando requisições subsequentes até a página carregar

Visualizando o Histórico HTTP

Acesse o log completo de tráfego:

1. Vá para a aba Proxy > HTTP history
2. Clique em qualquer entrada para visualizar a requisição/resposta completa
3. Ordene clicando nos cabeçalhos das colunas (# para ordem cronológica)
4. Use filtros para focar no tráfego relevante

Fase 2: Modificando Requisições

Interceptando e Modificando

Altere os parâmetros da requisição antes de encaminhar:

1. Habilite a interceptação: Intercept on
2. Dispare a requisição alvo no navegador
3. Localize o parâmetro a ser modificado na requisição interceptada
4. Edite o valor diretamente no editor de requisição
5. Clique em Forward para enviar a requisição modificada

Alvos Comuns de Modificação

Exemplo: Manipulação de Preço

POST /cart HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

productId=1&quantity=1&price=100

# Modify to:
productId=1&quantity=1&price=1

Resultado: Item adicionado ao carrinho com o preço modificado.

…