Cheat sheet — Burp Suite (pentest web)

Burp Suite est une plateforme de pentest web agissant comme proxy MITM entre le navigateur et le serveur.

Navigateur → Proxy Burp → Serveur cible

Setup (obligatoire)

• Proxy navigateur : 127.0.0.1:8080.
• Installer le certificat CA de Burp (via http://burp) dans le navigateur et l’OS — sinon HTTPS cassé et trafic illisible.

Modules

Module	Rôle
Proxy	intercepter/modifier les requêtes (headers, params, auth)
Repeater	rejouer et modifier une requête à l’infini — clé pour l’exploitation
Intruder	fuzzing/bruteforce : Sniper (1 param), Battering ram, Pitchfork, Cluster bomb
Scanner (Pro)	détection auto SQLi/XSS/SSRF/RCE
Decoder	Base64, URL, Hex
Comparer	diff de réponses (timing, taille)

Workflow

1. Mapping — naviguer Proxy ON, repérer /login, /api, /admin…
2. Analyse — paramètres utilisateur, cookies, headers, tokens.
3. Exploitation (Repeater) :
   • SQLi : ' OR 1=1 --
   • XSS : <script>alert(1)</script>
   • IDOR : GET /api/user?id=2
4. Fuzzing (Intruder) — listes de mots de passe / payloads.
5. Analyse des réponses — taille, code HTTP, délais.

Vulnérabilités typiques

• SQLi — erreurs SQL, bypass de login.
• XSS — script exécuté côté client.
• IDOR — accès aux données d’autrui.
• SSRF — le serveur émet des requêtes internes.
• LFI/RFI — inclusion de fichiers.

Astuces

• Comparer les différences de réponse (même contenu ≠ même taille).
• Headers à tester : X-Forwarded-For, Authorization, Cookie.
• Bypass WAF : URL encode, double encode, casse mélangée.
• Tester les méthodes PUT, DELETE, PATCH.
• Jouer avec les cookies (fixation / hijacking).

Outils complémentaires : Dirb / ffuf (découverte de contenu), Nmap (réseau), Metasploit (post-exploitation). La version free limite Scanner et ralentit Intruder — l’analyse humaine reste indispensable.