Cuando prueba un sitio web con Burp Suite, hay muchos cambios que puede realizar en sus necesidades y en las páginas web que se muestran. Puede configurar una serie de cambios automáticos en las respuestas que recibe. Puede encontrar las opciones en la sección Modificación de respuesta en la subpestaña Opciones de la pestaña Proxy. Todos los cambios de respuesta automática están diseñados para ser útiles para los usuarios del sitio web.
Nota: Burp Suite se puede utilizar legítimamente como herramienta de seguridad. Debe asegurarse de tener el permiso del propietario del sitio web para probar el sitio web antes de hacer cualquier cosa, ya que puede estar infringiendo la ley si no lo hace, incluso si solo está utilizando su propia cuenta en un sitio web.
La primera opción es «Mostrar campos de formulario ocultos» y tiene una subopción «Resaltar claramente los campos de formulario no ocultos». Los campos de formulario ocultos generalmente contienen un valor de datos preconfigurado, p. Ej. B. una identificación de usuario. Estos datos deben enviarse con la solicitud, pero el usuario no necesita verlos ni editarlos. Al expandir los campos, es más fácil ver lo que sucede cuando edita sus valores. Estas opciones automatizan el proceso para que pueda encontrar fácilmente los campos de formulario ocultos.
«Habilitar campos de formulario deshabilitados» habilita automáticamente todos los campos de formulario deshabilitados para evitar que el usuario edite sus valores. «Eliminar restricciones de longitud para campos de entrada» elimina todas las restricciones sobre cuántos caracteres se pueden enviar a través de un campo de formulario. Esto puede provocar un comportamiento inesperado en sitios web que solo esperan una cierta longitud de entrada.
Eliminar validación de formulario JavaScript elimina cualquier archivo JavaScript que valide los datos del formulario a medida que se envían, lo que permite envíos de datos no válidos. «Eliminar todo JavaScript» elimina todo JavaScript del sitio web. Esta opción está destinada a deshabilitar la lógica del lado del cliente. «
«Convertir enlaces HTTPS a HTTP» degrada automáticamente los enlaces cifrados a enlaces de texto sin formato. Esto puede ser útil para probar ataques SSLStrip y verificar que el sitio web esté actualizando solicitudes de texto sin cifrar. «Eliminar la bandera de seguridad de las cookies» elimina automáticamente la bandera de seguridad de las cookies que impiden que se transmitan a través de conexiones de texto sin cifrar. Esto puede ayudar a evitar que los tokens de autenticación y otras cookies confidenciales se pierdan en los ataques SSLStrip.
En la sección «Emparejar y reemplazar», justo debajo de la sección «Modificación de respuesta», puede usar Regex para configurar reglas personalizadas para solicitudes y respuestas. Puede sustituir los encabezados o el cuerpo de la solicitud y la respuesta, los nombres y valores de los parámetros y la primera línea de la solicitud.
