Cómo agregar sitios web al alcance de destino de Burp Suite

Como herramienta de proxy, Burp Suite le permite hacer proxy de todo el tráfico de su red. De forma predeterminada, Burp envía todo el tráfico a cualquier sitio web; sin embargo, esto puede provocar que la función "Interceptar" capture demasiado tráfico, que se mostrará en el historial HTTP o en el mapa del sitio.

Para controlar qué tráfico es visible dentro de Burp, puede agregar los sitios que desea ver al alcance. Si bien el alcance no hace nada de forma predeterminada, puede configurar las otras herramientas para omitir cualquier resultado que no esté dentro del alcance.

Consejo: El alcance no impide que el tráfico se transfiera a través de Burp, solo le permite filtrar los datos que ve o evitar que se registren. Puede configurar Burp para eliminar todo el tráfico que no está dentro del alcance en la subpestaña "Conexiones" de la pestaña "Opciones del proyecto" en las solicitudes "Fuera del alcance". Si lo hace, evitará todo el tráfico web en su computadora que no sean mensajes hacia y desde los sitios especificados en el alcance de la suite.

Para agregar un sitio web al alcance, puede navegar a la subpestaña "Alcance" en la pestaña "Destino". Si tiene una URL en su portapapeles, puede hacer clic en "Pegar URL", o puede agregar una URL manualmente haciendo clic en "Agregar".

Sugerencia: en realidad, no tiene que ingresar una URL completa para un sitio web específico, en realidad está configurando un prefijo para el cual se registrará cualquier tráfico coincidente. Esto significa que puede especificar "https: // cloudO3" que coincidiría con cualquier dominio de CloudO3 o sitio web que utilice "cloudO3" como subdominio, por ejemplo, cloudO3.example.com. Este campo no distingue entre mayúsculas y minúsculas, pero deberá especificar tanto "HTTP" como HTTPS ".

Puede agregar sitios web manualmente al alcance.

Agregar sitios web manualmente puede ser un poco complicado, especialmente si tiene varios sitios para agregar. Puede ser más fácil navegar a los sitios web que desea agregar al alcance primero, sin un alcance establecido, para que aparezcan en los registros, ya que luego puede hacer clic con el botón derecho en ellos y agregarlos al alcance de la suite. Puede hacerlo haciendo clic con el botón derecho en el sitio web en la subpestaña "Mapa del sitio" de la pestaña "Destino" o en las subpestañas "Intercepción" e "Historial HTTP" de la pestaña "Proxy".

Puede agregar un sitio web al alcance haciendo clic derecho sobre él en el mapa del sitio, interceptar o en las subpestañas del historial HTTP y hacer clic en "Agregar al alcance".

Cuando agregue por primera vez un sitio al alcance, se le preguntará si desea omitir datos de las URL fuera del alcance de las otras herramientas de Burp, como el historial HTTP y el mapa del sitio. Esto no ocultará los datos que ya están allí, solo evitará que se transfieran nuevos datos a esas herramientas. Si hace clic en "Sí", habilitará la configuración inferior en la subpestaña "Opciones" de la pestaña "Proxy", etiquetada "No enviar elementos al historial de Proxy o tareas en vivo, si están fuera del alcance".

Puede evitar que se registren elementos fuera del alcance habilitando "No enviar elementos al historial de proxy o tareas en vivo, si están fuera del alcance".

Si desea mantener la sesión fuera de los elementos del alcance pero no desea verlos, puede filtrarlos haciendo clic en el filtro en la parte superior de las subpestañas del mapa del sitio y del historial HTTP. La opción para filtrarlos se encuentra en la parte superior izquierda, etiquetada como "Mostrar solo elementos dentro del alcance".

Puede evitar que los elementos aparezcan en el historial HTTP y en el mapa del sitio filtrándolos.

Incluso si el "Registro de tráfico fuera de alcance" está habilitado, ese tráfico fuera de alcance aparecerá en la subpestaña Interceptar de la ventana "Proxy". Para evitar esto, puede marcar "Y la URL está en el alcance de destino" en la sección "Interceptar solicitudes de clientes" de la subpestaña "Opciones" de la pestaña "Proxy". Si está interceptando respuestas, también querrá habilitar la misma configuración en la sección "Interceptar respuestas de clientes".

Puede evitar que el tráfico aparezca en la pestaña "Interceptar" habilitando "Y la URL está en el alcance de destino" en las opciones de intercepción.