Burp Suite — Proxy, Scanner & Intruder

Référence complète Burp Suite pour le pentest web : proxy, scanner actif, intruder, repeater, extensions clés

snippetintermediate 2026-05-30 3 min read

burp-suitewebproxyscannerowasppentest

00 Pre-engagement 01 Recon 02 Scanning 03 Enumeration 04 Exploitation 05 Post-expl.06 Reporting

Configuration initiale

Proxy Firefox

bash

# Extension FoxyProxy — profil Burp
Host 127001  Port 8080
# Import certificat CA Burp (évite les erreurs TLS)
# Dans Burp : Proxy > Options > Import / export CA certificate
# Firefox : about:preferences > Certificats > Importer

Proxy CLI (curl / httpie)

bash

curl -x http//127.0.0.18080 https//target.com/api/endpoint
http --proxy=http://127.0.0.1:8080 GET https//target.com/

Proxy — Intercept

| Action | Raccourci | |--------|-----------| | Forward | F | | Drop | D | | Action | A | | Toggle intercept | Ctrl+T |

Règles de scope

# Ajoute au scope uniquement target.com
Target > Scope > Include in scope
Regex  https//targetcom

Repeater

Rejouer et modifier manuellement chaque requête HTTP.

http

POST /api/login HTTP/1.1
Host: target.com
Content-Type: application/json
{"username":"admin","password":"' OR 1=1--"}

Workflow : Proxy Intercept → clic droit → Send to Repeater → modifier → Send

Intruder — Fuzzing & Brute Force

Types d'attaque

| Type | Usage | |------|-------| | Sniper | 1 position, 1 wordlist | | Battering ram | N positions, même valeur | | Pitchfork | N positions, N wordlists (synchronisé) | | Cluster bomb | N positions, produit cartésien |

Brute force login

# Position marquée avec §
POST /login
usernameadmin&passwordFUZZ
# Wordlist : /usr/share/wordlists/rockyou.txt
# Grep match : "Welcome" ou "Dashboard"
# Grep extract : Set-Cookie (récupérer session)

Fuzzing paramètres

bash

# Payloads utiles
/usr/share/seclists/Fuzzing/special-chars.txt
/usr/share/seclists/Fuzzing/LFI/LFI-Jhaddix.txt
/usr/share/seclists/Discovery/Web-Content/common.txt

Scanner (Pro)

# Scan actif sur une URL
Target > Site map > clic droit URL > Scan
# Scan passif automatique (tout le trafic proxy)
Scanner > Live scanning > Scan everything in scope
# Résultats
Dashboard > Issue activity

Filtrer par sévérité

High  Medium  Low  Information
Confidence  Certain  Firm  Tentative

Decoder

# Encode/decode chaînes
URL encode  736372697074
Base64      YWRtaW46YWRtaW4
HTML entity &lt;script&gt;
Hex          
# Détection automatique : Smart decode

Extensions essentielles (BApp Store)

| Extension | Usage | |-----------|-------| | JWT Editor | Modifier/forger tokens JWT | | CSRF Scanner | Détection CSRF automatique | | Active Scan++ | Améliore scanner actif | | Autorize | Test contrôle d'accès (IDOR) | | Param Miner | Découverte paramètres cachés | | Turbo Intruder | Intruder haute performance (race conditions) | | Logger++ | Logging avancé de toutes requêtes |

Workflows courants

Test SQLi

1 Intercept POST /login
2 Send to Repeater
3 Modifier  usernameadmin--
4 Observer  rponse diffrente  vulnrable
5 Send to Intruder avec payloads SQLi

Test IDOR

1 Intercepter GET /api/user/1234
2 Modifier ID  /api/user/1235
3 Comparer rponses Autorize automatise a

Test JWT

1 Intercepter requte avec Authorization Bearer <token>
2 JWT Editor > Decode
3 Modifier payload "role""admin"
4 Re-signer avec cl vide ou algonone

Découverte de endpoints cachés

bash

# Param Miner : clic droit > Guess params
# Intruder sur le path :
GET /api/FUZZ HTTP/1.1
# Wordlist : api-endpoints.txt

Comparaison avec alternatives

| Outil | Force | Usage | |-------|-------|-------| | Burp Suite Pro | Complet, scanner actif | Pentest professionnel | | Burp Suite Community | Proxy + Repeater + Intruder limité | CTF, démo | | OWASP ZAP | Open source, automatisation | CI/CD, automatisé | | mitmproxy | CLI, scriptable Python | Automatisation avancée |

OPS·BRAIN v1.092 notes · Securitylocal