---
title: "Burp Suite — Proxy, Scanner & Intruder"
domain: security
subdomain: pentest
phase: 04-exploitation
type: snippet
tags: [burp-suite, web, proxy, scanner, owasp, pentest]
difficulty: intermediate
status: stable
updated: "Sat May 30 2026 00:00:00 GMT+0000 (Coordinated Universal Time)"
---
## Configuration initiale

### Proxy Firefox
```bash
# Extension FoxyProxy — profil Burp
Host: 127.0.0.1  Port: 8080

# Import certificat CA Burp (évite les erreurs TLS)
# Dans Burp : Proxy > Options > Import / export CA certificate
# Firefox : about:preferences > Certificats > Importer
```

### Proxy CLI (curl / httpie)
```bash
curl -x http://127.0.0.1:8080 https://target.com/api/endpoint
http --proxy=http://127.0.0.1:8080 GET https://target.com/
```

---

## Proxy — Intercept

| Action | Raccourci |
|--------|-----------|
| Forward | `F` |
| Drop | `D` |
| Action | `A` |
| Toggle intercept | `Ctrl+T` |

### Règles de scope
```
# Ajoute au scope uniquement target.com
Target > Scope > Include in scope
Regex : ^https?://target\.com
```

---

## Repeater

Rejouer et modifier manuellement chaque requête HTTP.

```http
POST /api/login HTTP/1.1
Host: target.com
Content-Type: application/json

{"username":"admin","password":"' OR 1=1--"}
```

**Workflow :** Proxy Intercept → clic droit → *Send to Repeater* → modifier → Send

---

## Intruder — Fuzzing & Brute Force

### Types d'attaque

| Type | Usage |
|------|-------|
| Sniper | 1 position, 1 wordlist |
| Battering ram | N positions, même valeur |
| Pitchfork | N positions, N wordlists (synchronisé) |
| Cluster bomb | N positions, produit cartésien |

### Brute force login
```
# Position marquée avec §
POST /login
username=§admin§&password=§FUZZ§

# Wordlist : /usr/share/wordlists/rockyou.txt
# Grep match : "Welcome" ou "Dashboard"
# Grep extract : Set-Cookie (récupérer session)
```

### Fuzzing paramètres
```bash
# Payloads utiles
/usr/share/seclists/Fuzzing/special-chars.txt
/usr/share/seclists/Fuzzing/LFI/LFI-Jhaddix.txt
/usr/share/seclists/Discovery/Web-Content/common.txt
```

---

## Scanner (Pro)

```
# Scan actif sur une URL
Target > Site map > clic droit URL > Scan

# Scan passif automatique (tout le trafic proxy)
Scanner > Live scanning > Scan everything in scope

# Résultats
Dashboard > Issue activity
```

### Filtrer par sévérité
```
High / Medium / Low / Information
Confidence : Certain / Firm / Tentative
```

---

## Decoder

```
# Encode/decode chaînes
URL encode : %3C%73%63%72%69%70%74%3E
Base64     : YWRtaW46YWRtaW4=
HTML entity: <script>
Hex        : 3c736372697074 3e

# Détection automatique : Smart decode
```

---

## Extensions essentielles (BApp Store)

| Extension | Usage |
|-----------|-------|
| **JWT Editor** | Modifier/forger tokens JWT |
| **CSRF Scanner** | Détection CSRF automatique |
| **Active Scan++** | Améliore scanner actif |
| **Autorize** | Test contrôle d'accès (IDOR) |
| **Param Miner** | Découverte paramètres cachés |
| **Turbo Intruder** | Intruder haute performance (race conditions) |
| **Logger++** | Logging avancé de toutes requêtes |

---

## Workflows courants

### Test SQLi
```
1. Intercept POST /login
2. Send to Repeater
3. Modifier : username=admin'--
4. Observer : réponse différente → vulnérable
5. Send to Intruder avec payloads SQLi
```

### Test IDOR
```
1. Intercepter GET /api/user/1234
2. Modifier ID → /api/user/1235
3. Comparer réponses (Autorize automatise ça)
```

### Test JWT
```
1. Intercepter requête avec Authorization: Bearer <token>
2. JWT Editor > Decode
3. Modifier payload ({"role":"admin"})
4. Re-signer avec clé vide ou algo=none
```

### Découverte de endpoints cachés
```bash
# Param Miner : clic droit > Guess params
# Intruder sur le path :
GET /api/§FUZZ§ HTTP/1.1
# Wordlist : api-endpoints.txt
```

---

## Comparaison avec alternatives

| Outil | Force | Usage |
|-------|-------|-------|
| Burp Suite Pro | Complet, scanner actif | Pentest professionnel |
| Burp Suite Community | Proxy + Repeater + Intruder limité | CTF, démo |
| OWASP ZAP | Open source, automatisation | CI/CD, automatisé |
| mitmproxy | CLI, scriptable Python | Automatisation avancée |