Guía completa de BurpSuite Intruder | Probador de penetración TryHackMe Junior

Intruder es la herramienta de fuzzing integrada de Burp Suite que permite la modificación automatizada de solicitudes y pruebas repetitivas con variaciones en los valores de entrada. Al utilizar una solicitud capturada (a menudo desde el módulo Proxy), Intruder puede enviar múltiples solicitudes con valores ligeramente modificados según configuraciones definidas por el usuario. Sirve para varios propósitos, como forzar formularios de inicio de sesión mediante la sustitución de campos de nombre de usuario y contraseña con valores de una lista de palabras o realizar ataques de confusión utilizando listas de palabras para probar subdirectorios, puntos finales o hosts virtuales. La funcionalidad de Intruder es comparable a herramientas de línea de comandos como Wfuzz o ufff.

Sin embargo, es importante tener en cuenta que, si bien Intruder se puede utilizar con Burp Community Edition, tiene una velocidad limitada, lo que reduce significativamente su velocidad en comparación con Burp Professional. Esta limitación a menudo lleva a los profesionales de la seguridad a confiar en otras herramientas para la confusión y la fuerza bruta. No obstante, Intruder sigue siendo una herramienta valiosa y vale la pena aprender a utilizarla de forma eficaz.

Hay cuatro subpestañas dentro de Intruder:

• Posiciones: Esta pestaña nos permite seleccionar un tipo de ataque (que cubriremos en una tarea futura) y configurar dónde queremos insertar nuestras cargas útiles en la plantilla de solicitud.
• Cargas útiles: Aquí podemos seleccionar valores para insertar en las posiciones definidas en el Posiciones pestaña. Tenemos varias opciones de carga útil, como cargar elementos de una lista de palabras. La forma en que se insertan estas cargas útiles en la plantilla depende del tipo de ataque elegido en el Posiciones pestaña. El Cargas útiles La pestaña también nos permite modificar el comportamiento de Intruder con respecto a las cargas útiles, como definir reglas de preprocesamiento para cada carga útil (por ejemplo, agregar un prefijo o sufijo, realizar coincidencias y reemplazos, u omitir cargas útiles según una expresión regular definida).
• Fondo de recursos: Esta pestaña no es particularmente útil en Burp Community Edition. Permite la asignación de recursos entre varias tareas automatizadas en Burp Professional. Sin acceso a estas tareas automatizadas, esta pestaña tiene una importancia limitada.
• Ajustes: Esta pestaña nos permite configurar el comportamiento de ataque. Se trata principalmente de cómo Burp maneja los resultados y el ataque en sí. Por ejemplo, podemos marcar solicitudes que contengan texto específico o definir la respuesta de Burp para redirigir las respuestas (3xx).