¡¡Hola a todos!! Hoy os traemos una entrada del blog bastante interesante y es que, a día de hoy, uno puede perderse en el mundo de las extensiones de Burp Suite, especialmente en su capa profesional, ya que muchas de estas extensiones se integran con ella. En esta entrada vamos a comentaros cuáles usamos nosotros, qué utilidad tienen y por qué consideramos importante que las incluyáis o no en vuestro arsenal.

Antes de comenzar, verás que hay un montón de extensiones que o bien no analizamos o no usamos. Esto no quiere decir, ni mucho menos, que sean peores que las que presentamos o que no tengan utilidad. Simplemente, nosotros utilizamos las que más nos convienen y seguramente nos estemos perdiendo funcionalidad en otras. Además, vamos probando las extensiones poco a poco y actualizando esta lista en base a ello.

¿Quieres que evaluemos alguna extensión en concreto? Ponte en contacto con nosotros y le echaremos un ojo encantados.

TL;DR

Las extensiones que nosotros tenemos en Burp Suite Professional son las siguientes:

Instaladas y cargadas siempre

Active Scan++
Additional Scanner Checks
Agartha – LFI, RCE, SQLi, Auth, HTTP to JS
Autorize
Backslash Powered Scanner
Broken Link Hijacking
CSP Auditor
Collabfiltrator
Content Type Converter
Custom Send To
Encode IP
Error Messages Check
GAP (Get All Parameters, Links And Words)
HTTP Request Smuggler
HTTPoxy Scanner
Hackbar, Payload Bucket
Hackvertor
InQL – GraphQL Scanner
JQ
JS Miner
JSON Escaper
JWT Editor
OpenAPI Parser
PDF Viewer
Param Miner
Potential Vulnerability Indicator
Sensitive Discoverer
Wayback Machine

Instaladas y pero cargadas solo en momentos concretos

.NET Beautifier
403 Bypasser
429 Bypasser
AWS Cognito
AWS Security Checks
AWS Sigv4
Add Custom Header
Add To Sitemap+
Backup Finder
Bad Character Wordlist Generator
Bypass Bot Detection
Bypass WAF
CAPTCHA Converter
Collaborator Everywhere
Command Injection Attacker
Copy As Go Request
Copy As Python-Requests
Copy As FFUF Command
Copy As Node Request
Copy As PowerShell Requests
Copy As Python Aiohttp
Copy As Python Httpx
Cryptojacking Mine Sweeper
CustomDeserializer
Cypher Injector Scanner
EsPReSSO
ExifTool Scanner
Freddy, Deserialization Bug Finder
Highlighter And Extractor
IP Rotate
Java Deserialization Scanner
NoSQLi Scanner
OAUTH Scan
PHP Object Injection Check
PHP Object Injection Slinger
SAML Raider
Software Vulnerability Scanner
Upload Scanner
ViewState Editor
Wsdler

Análisis exhaustivo

Intentaremos poner una calificación para cada extensión, de modo que podáis saber si son más o menos prescindibles. Esta calificación será uno de los siguientes valores:

Imprescindible => Usamos la extensión prácticamente en todos los análisis y no tenerla hace que queden incompletos
- Siempre están activas
- Uso cotidiano
Necesaria => Usamos la extensión de manera habitual y además la vemos necesaria para poder hacer análisis web completos
- Instaladas pero deshabilitadas por defecto
- Uso en situaciones concretas
Neutra => Usamos la extensión muy pocas veces o en casos muy concretos y/o también existen herramientas o procedimientos que pueden resultar mejores o más cómodos
- No instaladas por defecto, pero pueden instalarse en casos concretos
- Uso menos habitual
Prescindible => No usamos la extensión o podría haber extensiones mejores o más cómodas
- No instaladas
- Sin uso

Todas las extensiones se ordenan, según su nivel, por orden alfabético (ten en cuenta que se ordenan en mismo orden que en Burp Suite Professional, con las mayúsculas preferentes a las minúsculas).

Nivel: Imprescindible

Active Scan++

Extensión que aumenta las capacidades de escaneo activo de Burp Suite Professional para vulnerabilidades concretas. Asimismo, está escrita por los propios desarrolladores de PortSwigger, siendo su uso recomendable para ampliar las detecciones de vulnerabilidades avanzadas.

Additional Scanner Checks

Esta extensión hace checks adicionales a los estándar del escáner de Burp Suite Professional. A pesar de que tiene varios, recomendamos usar solo los escaneos para DOM-based vulnerabilities, que son bastante precisos.

Agartha – LFI, RCE, SQLi, Auth, HTTP to JS

La extensión es un todo en uno para hacer varias pruebas, pero tiene dos cosas que la hace imprescindible: un generador de payloads para vulnerabilidades comunes, incluyendo bypasses de WAF y una matriz de autorización por usuarios, que puede ser útil para detectar errores en este aspecto.

Autorize

Es una extensión básica y un «must-have» ya que automatiza por completo el testing de autorización en la web. Para ello, basta con indicarle cookies de un usuario sin privilegios y navegar con un usuario con privilegios. La extensión chequeará si el usuario sin privilegios puede hacer lo mismo que el que tiene privilegios y nos dará una matriz de resultados.

Backslash Powered Scanner

En ocasiones, los escáneres tradicionales fallan al detectar vulnerabilidades sobre todo en server-side injection. Con esta extensión, podemos lanzar escaneos activos específicos más avanzados si sospechamos que la vulnerabilidad puede ser de ese tipo, por lo que se recomienda usarla siempre que sea necesario.

Broken Link Hijacking

Extensión muy útil que busca enlaces rotos en la web analizada. Hay que tener en cuenta que estos enlaces rotos, a veces, cargan contenido y podemos secuestrarlos como atacantes, por lo que nos viene muy bien esta información recopilada pasivamente.

CSP Auditor

La cabecera Content Security Policy es un verdadero quebradero de cabeza. Muchas veces se implementa, pero se implementa mal. Esta extensión encontrará fallos en la configuración de esta cabecera y los reportará como issues. Además, genera un menú contextual en las respuestas que permite ver la configuración de la cabecera de manera gráfica. De nuevo, un «must-have» de manual.

Collabfiltrator

Esta extensión es muy útil en caso de que tengamos inyecciones SQL o de código ciegas, dado que nos generará payloads automáticamente para explotarla, poniendo a la escucha Burp Collaborator. Nos podemos ahorrar con ella mucho tiempo a la hora de generar los payloads manualmente, por lo que se considera una imprescindible.

Content Type Converter

Extensión para convertir tipos de datos en las peticiones de manera rápida (ej: de XML a JSON o viceversa). Es muy útil sobre todo debido a que en ocasiones las aplicaciones aceptan ambos tipos de datos y las vulnerabilidades que afectan a uno pueden no afectar a otro tipo y viceversa.

Custom Send To

La extensión nos permite obtener directamente comandos a herramientas como wpscan, droopescan, sqlmap… a través del menú contextual de cada petición. Dado que automatiza la generación de comandos de manera muy rápida (sobre todo, de sqlmap y herramientas de uso cotidiano) la consideramos un must-have para no perder tiempo.

Encode IP

Extensión que nos permite codificar una IP de maneras diferentes para pruebas de SSRF y otras basadas en el uso de IPs (ej: 127.0.0.1 == 127.1). Dado que es una aplicación pasiva que se incluye para ser lanzada a petición del analista, la consideramos imprescindible para codificar este tipo de payloads en pruebas que son muy comunes y buscar bypasses a detecciones básicas.

Error Messages Check

Nos sirve para visualizar fácilmente trazas de error generadas durante el análisis, ya que las obtiene en base a expresiones regulares de la respuesta. Aunque normalmente estas trazas las veremos en la propia web, a veces pasan desapercibidas para el usuario final en el UI y puede ser útil por tanto contar con esta extensión.

GAP (Get All Parameters, Links And Words)

Esta extensión es de las mejores de Burp Suite Professional. Es intensiva en consumo de recursos, pero muy buena ya que nos permite extraer todos los parámetros usados en la web, enlaces y palabras. Esto nos es de mucha ayuda a la hora de evaluar puntos de entrada (parámetros como «id», «role»…), recursos obvios («admin», «administrator», «control-panel»…) o para generar diccionarios. Debemos usarla siempre en nuestros análisis.

HTTP Request Smuggler

Se trata de una extensión fundamental para mapear y explotar ataques de tipo HTTP Request Smuggling. Aunque este ataque no es tan común y sencillo como otros, tiene prevalencia en arquitecturas modernas y se debe testear apoyándose en esta herramienta. Por tanto, se considera un must-have.

HTTPoxy Scanner

Es una extensión con muy poca sobrecarga que nos ayuda a detectar la vulnerabilidad HTTPoxy, en la cual el proxy lee la cabecera «Proxy» y genera una variable de entorno configurada para utilizarlo. Por tanto, podríamos interceptar tráfico si la encontramos y la extensión se considera imprescindible para automatizar estas pruebas.

Hackbar, Payload Bucket

La extensión añade un menú contextual en las peticiones con numerosos payloads para vulnerabilidades comunes. Por ello, puede agilizar mucho la tarea de explotación y se considera imprescindible.

Hackvertor

Es una extensión para realizar conversiones de caracteres y codificaciones. En el mundo web, esto es algo muy muy habitual y por tanto tener esta «navaja suiza» de las conversiones es plenamente necesario. Se trata de una extensión que se usa prácticamente en cualquier análisis web y que por tanto debe estar instalada y operativa siempre en nuestro Burp Suite.

InQL – GraphQL Scanner

Escáner avanzado para endpoints GraphQL. Se trata de la extensión de facto a utilizar si se hacen auditorías de este tipo de aplicaciones, cada vez más habituales. El rango de vulnerabilidades que detecta y las opciones que propone la hacen totalmente imprescindible.

JQ

Visualización de datos JSON de manera más «bonita» en respuestas consistentes en esta tecnología. Esta extensión se hace imprescindible para poder visualizar mejor los datos.

JS Miner

Se trata de una extensión para enumerar información sensible en archivos JavaScript y JSON. Esto se hace mediante escaneos de dos maneras: pasivos y activos. En el caso de los escaneos pasivos, simplemente revisa las respuestas que tienen extensiones basadas en JS y JSON que pasan por Burp Suite, mientras que en el caso de escaneos activos va un paso más allá. Sin duda, un «must-have» de manual.

JSON Escaper

Extensión utilizada para escapar strings JSON, lo cual en ocasiones resulta difícil debido al uso de las comillas. Teniendo esta extensión, simplificamos al máximo el proceso.

JWT Editor

Se trata de la extensión de facto a la hora de analizar tokens JWT. Contar con ella va a permitir al analista identificarlos de manera rápida, así como hacer escaneos activos específicos para este tipo de tecnología. Por ello, es un must-have de manual también.

OpenAPI Parser

En caso de tratar con una API que tenga especificaciones OpenAPI disponibles, esta extensión las parseará y las presentará de manera eficiente y visual. Por ello, si estás auditando APIs, se recomienda encarecidamente su uso.

PDF Viewer

Extensión utilizada para renderizar documentos PDF directamente en Burp Suite Professional. Puede resultar útil para no tener que abrirlos cada vez que se descarguen.

Param Miner

Es el estándar de facto para investigar vulnerabilidades de Cache Poisoning. Por ello, su uso se recomienda para estos casos, siendo muy potente a la hora de descubrir parámetros vulnerables (caché busters).

Potential Vulnerability Indicator

Aunque Burp Suite Professional es bastante bueno a la hora de detectar vulnerabilidades, esta extensión nos permite aumentar un poco más las capacidades de detección y el reconocimiento al buscar sobre todo en las respuestas trazas que nos permitan inferir una vulnerabilidad. Podemos dejarla en modo pasivo y revisar sus resultados que, en algunos casos, nos ayudarán a descubrir cosas interesantes.

Sensitive Discoverer

La extensión revisa las respuestas de Burp Suite Professional en busca de patrones conocidos por divulgar información sensible (ej: API Keys, contraseñas…). Dado que puede detectar fugas de información muy sensible, su uso se recomienda encarecidamente siempre.

Wayback Machine

Genera un sitemap en base a las capturas realizadas por la Wayback Machine. Esta extensión es un «must-have» porque, aunque no lo parezca, las URLs antiguas divulgan muchas rutas, parámetros etc. Por ello, se considera necesario tenerla y utilizarla en los objetivos.

Nivel: Necesaria

.NET Beautifier

Como su propio nombre indica, esta extensión nos permite imprimir los valores devueltos en aplicaciones .NET (ej: parámetro __VIEWSTATE) de manera más amigable. En caso de hacer auditorías a este tipo de aplicaciones, su uso se recomienda.

403 Bypasser

Extensión de uso específico para intentar varios bypasses a error 403 (Forbidden) en auditorías web. En caso de que encuentres este tipo de error y sospeches que puede haber errores de seguridad, te será de gran ayuda.

429 Bypasser

Extensión recomendable para hacer bypass de los rate limits impuestos por algunos servicios CDN o algunas webs concretas. Si te encuentras este error, puede que la extensión te ayude en tu camino.

AWS Cognito

Extensión muy útil en caso de que te estés pegando con una implementación de AWS Cognito (ej: para autenticación de web o móviles). Aunque su uso es muy concreto, puede ser de gran ayuda.

AWS Security Checks

Realiza chequeos de seguridad básicos de manera automática en entornos AWS, por lo cual puede ser útil si estás ante una auditoría de este tipo de activos.

AWS Sigv4

Extensión muy útil cuando tienes que firmar peticiones con Signature v4 para AWS, dado que se utiliza un timestamp y la extensión automatiza todo el proceso.

Add Custom Header

Si tienes que añadir una cabecera de manera automática a tus peticiones, esta extensión será de gran ayuda para ello, por lo que se recomienda siempre tenerla a mano.

Add To Sitemap+

Con esta extensión puedes añadir rutas y parámetros sacados de otras herramientas al sitemap de Burp Suite Professional. Muy útil si te dan toda la superficie de exposición de una web previamente.

Backup Finder

Una extensión muy útil si buscas backups de un fichero concreto que hayas localizado en la web. Dado que no automatiza la búsqueda sobre todo el dominio, la dejamos como necesaria para ese caso puntual.

Bad Character Wordlist Generator

Esta extensión es bastante ligera y útil en casos en los que queramos eliminar caracteres metidos en listas negras en nuestras aplicaciones web. Aunque no se use de continuo, conviene tenerla a mano en caso de que queramos probar bypasses.

Bypass Bot Detection

La extensión se basa en hacer cambios aleatorios de cifrados TLS para bypassear la detección de bots. En caso de que la web te esté bloqueando por esto, puedes utilizarla para intentar llevar a cabo el análisis con mayor comodidad.

Bypass WAF

En caso de que estés lidiando con un WAF, esta extensión que añade ciertas cabeceras y configuraciones puede ser útil para bypassearlo, especialmente si está en modo testing o confía en hosts internos (127.0.0.1). Considera tenerla a mano para estos casos.

CAPTCHA Converter

Si el CAPTCHA viene como un string en Base64 en la respuesta, esta extensión añade un menú contextual que renderiza la imagen directamente en Burp Suite Professional. Por ello, si te estás pegando con un CAPTCHA de este estilo, tenla en cuenta.

Collaborator Everywhere

Extensión para probar vulnerabilidades OAST, es decir, fuera de banda. A pesar de que su uso intensivo puede generar consumo de recursos, se recomienda activarla al principio o final del análisis, pues incluirá un payload de Burp Collaborator de manera automática en todos los parámetros, revisando interacciones con el mismo posteriormente. Por ello, está bien conocerla y tenerla a mano.

Command Injection Attacker

Extensión completísima para probar vulnerabilidades de OS Command Injection, haciendo uso de payloads más avanzados que los de los escáneres generales. Sin embargo, su uso es muy intensivo en consumo de recursos, por lo que se recomienda lanzarla solamente si estás seguro de que vas a explotar esta vulnerabilidad por separado.

Copy As Go Request

La extensión sirve para obtener un comando en «go» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas este lenguaje para generar scripts o pruebas de seguridad automatizadas basadas en él. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Copy As Python-Requests

La extensión sirve para obtener un comando en «python-requests» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas este lenguaje para generar scripts o pruebas de seguridad automatizadas basadas en él. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Copy As FFUF Command

La extensión sirve para obtener un comando de «fuff» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas esta herramienta para generar scripts o pruebas de seguridad automatizadas basadas en ella. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Copy As Node Request

La extensión sirve para obtener un comando en «node» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas este lenguaje para generar scripts o pruebas de seguridad automatizadas basadas en él. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Copy As PowerShell Requests

La extensión sirve para obtener un comando en «powershell» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas este lenguaje para generar scripts o pruebas de seguridad automatizadas basadas en él. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Copy As Python Aiohttp

La extensión sirve para obtener un comando en «python-aiohttp» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas este lenguaje para generar scripts o pruebas de seguridad automatizadas basadas en él. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Copy As Python Httpx

La extensión sirve para obtener un comando en «python-httpx» para lanzar la misma petición que hemos seleccionado. Es, por tanto, muy útil si utilizas este lenguaje para generar scripts o pruebas de seguridad automatizadas basadas en él. Se recomienda, por tanto, su instalación y habilitarla si se necesita para pruebas específicas programáticas.

Cryptojacking Mine Sweeper

Se trata de una detección automatizada de criptomineros basada en análisis de dominios conocidos por esta actividad. No se trata de algo que en una auditoría de seguridad sea habitual buscar, pero sí que deberíamos reportarlo si lo encontramos. Por ello, esta extensión puede usarse de manera específica al principio o fin de los análisis.

CustomDeserializer

Esta extensión se utiliza para manejar de manera automática payloads en peticiones HTTP relativos a deserialización. Nos facilita mucho el trabajo puesto que podemos configurarla para que automáticamente codifique los objetos, de modo que nosotros trabajemos en texto plano. Si estás trabajando con webs que tienen serialización de datos, te facilitará mucho el trabajo.

Cypher Injector Scanner

Utilizada para escaneos específicos de queries cypher. Si estás tratando con una aplicación que consulta bases de datos Neo4J, deberías habilitarla para expandir tu análisis, mientras que en otros casos puedes dejarla deshabilitada.

EsPReSSO

La extensión se enfoca en analizar flujos SSO. Por tanto, si la aplicación que analizas tiene integración con algún Identity Provider (IdP), esta extensión te será de mucha utilidad, pues te marcará en el proxy todos los flujos y en una nueva pestaña podrás evaluarlos con más precisión.

ExifTool Scanner

Realiza una auditoría de metadatos de diferentes tipos de archivo (PDF, DOC, DOCX…). Siempre es recomendable recopilar esta información, por lo que recomendamos tener esta extensión siempre habilitada. Úsala al principio o final de tus análisis.

Freddy, Deserialization Bug Finder

Extensión de facto para encontrar vulnerabilidades relativas a deserialización en nuestros análisis web. Si estás trabajando con webs que tienen serialización de datos, te facilitará mucho el trabajo.

Highlighter And Extractor

La extensión se puede utilizar para remarcar y extraer información de peticiones y respuestas de manera automática. Aunque no le damos mucho uso, puede ser útil en casos concretos en los que estés enfrentándote a situaciones en las que necesitas identificar este tipo de comportamiento.

IP Rotate

Extensión muy útil para usar API Gateways de AWS para rotar la IP de manera automática en cada petición. Si te encuentras en situación de bloqueo por IP (sea por lo que sea) debes tener esta extensión a mano.

Java Deserialization Scanner

Extensión de facto para encontrar vulnerabilidades relativas a deserialización en nuestros análisis web relativas a entornos Java. Si estás trabajando con webs que tienen serialización de datos, te facilitará mucho el trabajo.

NoSQLi Scanner

Se trata de la extensión de facto para pruebas de inyección NoSQL. En caso de que la base de datos subyacente sea de este tipo, su uso es muy necesario, por lo que conviene tenerla siempre instalada y preparada.

OAUTH Scan

Extensión que combinada con EsPReSSO sirve para hacer auditorías de flujos OAUTH. Su uso se recomienda, pues viene con escaneos pasivos y activos para este tipo de flujos. Si te estás pegando con una aplicación que usa OAUTH, sin duda debes activarla.

PHP Object Injection Check

Extensión de facto para encontrar vulnerabilidades relativas a deserialización en nuestros análisis web relativas a entornos PHP. Si estás trabajando con webs que tienen serialización de datos, te facilitará mucho el trabajo.

PHP Object Injection Slinger

SAML Raider

Se trata de la mejor extensión en nuestra opinión para el testing de aplicaciones que hacen uso de tecnología de mensajes SAML. Si te enfrentas a aplicaciones de este estilo, debes activar esta extensión y utilizarla para maximizar tus probabilidades de éxito.

Software Vulnerability Scanner

Extensión para hacer búsquedas directas en la base de datos de «vulners.com» en relación a las tecnologías identificadas por el sitio web. Lo interesante es que muestra la salida en forma de tabla y te puede decir qué CVEs asociados a las tecnologías usadas en un sitio web existen. Se requiere API de Vulners, pero a priori es una extensión a manejar que, sin ser imprescindible, aporta su granito de arena.

Upload Scanner

Extensión para probar la subida de ficheros de una manera más automatizada. Dado que es una tarea que normalmente consume bastante tiempo, podemos apoyarnos en esta extensión para hacer un análisis híbrido (automático y manual).

ViewState Editor

La extensión permite editar de manera sencilla el parámetro __VIEWSTATE utilizado en aplicaciones ASP.NET. Su tratamiento, sin extensiones, puede ser tedioso por lo que se recomienda tenerla siempre a mano para esos casos.

Wsdler

En caso de estar lidiando con una aplicación basada en SOAP y WSDL, esta extensión será muy útil para parsear ficheros de este tipo (WSDL). Por ello, se considera necesario tenerla a mano para este caso de uso en concreto.

XChromeLogger Decoder

Extensión para decodificar esta cabecera de manera automática, no le vemos un uso intensivo como para justificar su instalación en Burp Suite Professional.

XSS Cheatsheet

Simplemente integra la cheatsheet de PortSwigger para explotación de vulnerabilidades XSS. Dado que se puede consultar vía web, no vemos necesaria su instalación.

Nivel: Neutra

BugPoC

En algunos casos, el cliente no es capaz de reproducir las vulnerabilidades y esta extensión puede ayudarte, dado que exporta las peticiones para que sean enviadas por el propio cliente a través de un navegador convencional. Es decir, se lo damos todo hecho. No obstante, la dejamos como neutra ya que en realidad, cualquier bug que reportemos debería ser reproducible por el cliente.

Burp Share Requests

Extensión que permite compartir peticiones entre diferentes instancias de Burp Suite Professional. Puede tener sentido su uso si necesitas pasarle una petición específica a algún compañero que esté usando su propia instancia de Burp Suite Professional.

CSTC, Modular HTTP Manipulation

Si conoces CyberChef, esta extensión es similar pero para integrarse con Burp Suite Professional. El hecho de que modifique directamente las respuestas, sin embargo, nos echa para atrás para su uso habitual (puede dar lugar a errores). Por ello, úsala si vas a hacer muchas transformaciones de datos únicamente.

Client-Site Path Traversal Exploitation

La vulnerabilidad Client-Side Path Traversal (CSPT) es muy específica y permite enviar al usuario a endpoints arbitrarios explotando path traversal del lado del cliente. Dada su especificidad, esta extensión puede ayudarnos, pero solo en caso de que estemos interesados en explotarla específicamente.

Comentator

La extensión genera comentarios automáticamente para las respuestas en base a expresiones regulares. En casos concretos, puede ser útil si buscas algo en dichas respuestas y controlas las regex (no son tan sencillas en muchas ocasiones).

Copy Request Response

La extensión permite copiar peticiones y respuestas para agilizar el reporting. No obstante, suele ser preferible el uso de pantallazos y copias específicas, por lo que dejamos esta extensión a criterio de los analistas habitualmente para su uso.

Deep Data Injector

Cuando los puntos de inyección están «ocultos», un escáner tradicional no llegará a ellos fácilmente. Por ejemplo, un punto de inyección puede ser un parámetro en una cookie codificada en Base64. Dado que en ese caso el escáner solo verá el Base64 y probablemente no lo decodifica, es difícil que pruebe dentro. Esta extensión nos ayuda a probar dichos casos, aunque son muy específicos y requiere saber Python para programarla.

Firewall Ferret

La extensión añade mucho contenido a los parámetros y las peticiones tratando de saber si el WAF lo analiza todo o simplemente una parte. Por tanto, es una extensión útil solo en el contexto de buscar bypasses de WAF y debe usarse solo en esos casos.

Logger++

Esta extensión permite logging avanzado de peticiones y respuestas en Burp Suite Professional, extendiendo el Logger que viene por defecto. Aunque no de continuo, su uso puede resultar interesante en casos concretos.

NGINX Alias Traversal

La extensión está enfocada en una vulnerabilidad que afecta específicamente a servidores nginx. Si estás lidiando con este tipo de servidores, la extensión puede ser útil, si bien debería ser detectada por escáneres automáticos igualmente.

SQLMap DNS Collaborator

La extensión permite automatizar la explotación de vulnerabilidades SQLi con técnicas OAST, lo cual resulta muy interesante. No obstante, al ser casos muy concretos, se deja la extensión marcada como neutra.

Server-Side Prototype Pollution Scanner

Como su propio nombre indica, la extensión está enfocada a detectar vulnerabilidades de Server-Side Prototype Pollution. Por tanto, su uso tiene sentido únicamente si estás centrado en detectar este tipo de vulnerabilidades, siendo eso sí bastante potente para ello.

SignSaboteur, Web Token Signer

Extensión que permite manipular y firmar diversos tipos de token, algunos comunes (JWT, OAuth) y otros más desconocidos. La incluimos aquí porque consideramos que para casos específicos (Django, por ejemplo) puede ser interesante contar con ella en el arsenal.

Turbo Intruder

Esta extensión sirve como complemento a Burp Suite Intruder, realizando peticiones de manera más ágil y rápida. Es cierto que es más completa y versátil, pero su manejo requiere conocimientos de Python. Personalmente, prefiero llevar a cabo este tipo de tareas mediante scripts en Python directamente y múltiples hilos si es posible, pero de vez en cuando resulta útil tenerla y poder activarla.

Type Confusion Scanner

Extensión válida para probar vulnerabilidades de tipo Type Confusion en JSON. Dado que es un caso de uso específico se considera neutra, aunque puede ayudarnos en este aspecto.

WebSocket Turbo Intruder

Esta extensión sirve como complemento a Burp Suite Intruder, realizando peticiones de manera más ágil y rápida pero únicamente para WebSockets. Es cierto que es más completa y versátil, pero su manejo requiere conocimientos de Python. Personalmente, prefiero llevar a cabo este tipo de tareas mediante scripts en Python directamente y múltiples hilos si es posible, pero de vez en cuando resulta útil tenerla y poder activarla.

Nivel: Prescindible

5CG API Parser

Existen extensiones mejores para su funcionalidad, por lo que se descarta su uso.

API Exporter

Tiene sentido para desarrolladores que quieran exportar especificaciones de API, no tanto para testing de seguridad.

Add & Track Custom Issues

Si usas Burp Suite Professional e incluyes muchas vulnerabilidades a mano puede tener sentido su uso, pero consideramos que esto es algo no muy normal en el día a día (y poco eficiente).

Additional CSRF Checks

Normalmente, el CSRF es bien manejado por Burp Suite Professional y otras extensiones. Asimismo, esta extensión explota casos muy concretos y avanzados.

Anonymous Cloud, Configuration and Subdomain Takeover Scanner

Esta extensión es una funcionalidad que incluyen otras de las imprescindibles, por lo que su uso no es necesario.

Anti-CSRF Token From Referer

Esta extensión crea simplemente una session handling rule para obtener tokens CSRF de manera automática. No es nada que no se pueda hacer manualmente llegado el caso, aunque podría ayudarnos la consideramos como prescindible.

Asset Discovery

La funcionalidad de esta extensión es limitada y puede encontrarse en otras extensiones fácilmente.

Asset Saver

Más útil desde el punto de vista de desarrollo que desde seguridad, ya que sirve para guardar respuestas en activos descubiertos en Burp Suite Professional sin problemas de codificaciones.

Attack Surface Detector

Añade capacidades SAST a Burp Suite Professional, analizando código de manera estática. No obstante, preferimos otras soluciones para este tipo de tareas.

Auth Analyzer

Permite automatizar la búsqueda de vulnerabilidades relativas a la autorización. Sin embargo, es preferible el uso de la extensión «Autorize» para este tipo de tareas.

AuthMatrix

Permite automatizar la búsqueda de vulnerabilidades relativas a la autorización. Sin embargo, es preferible el uso de la extensión «Autorize» para este tipo de tareas.

Authz

Permite automatizar la búsqueda de vulnerabilidades relativas a la autorización. Sin embargo, es preferible el uso de la extensión «Autorize» para este tipo de tareas.

Auto-Drop Requests

Extensión que droppea peticiones de manera automática basándose en regex. Su uso lo vemos muy limitado, ya que esto puede hacerse de otras maneras.

AutoRepeater

Permite automatizar la búsqueda de vulnerabilidades relativas a la autorización. Sin embargo, es preferible el uso de la extensión «Autorize» para este tipo de tareas.

Autowasp

Interesante para evaluar todos los tests de OWASP integrado con Burp Suite Professional, pero poco útil si ya se tiene experiencia con ello.

Batch Scan Report Generator

Nos serviría para exportar reportes de nuestros escaneos. Preferiblemente, esto lo haremos con herramientas de terceros y con informes personalizados, ya que sacar el output de una herramienta nunca es lo conveniente, por lo que es prescindible.

BeanStack – Stack-trace Fingerprinter

La extensión está muy bien porque hace fingerprint de trazas de error en Java. No obstante, la metemos como prescindible porque envía datos a terceros, y eso personalmente nunca nos gusta. Nosotros preferimos tener siempre el control de lo que estamos auditando, sin divulgar nada a terceras partes.

Bookmarks

Para poder marcar peticiones a ser revisadas posteriormente, tenemos esta extensión. Sin embargo, no la vemos muy necesaria ni la usamos en auditorías reales.

Browser Repeater

Extensión usada para mostrar en navegador (Firefox) las respuestas. Realmente, es muy prescindible ya que esto lo hace el propio Burp con Chromium.

Buby

A menos que quieras añadir capacidades de scripting a tu Burp Suite Professional, esta extensión no será muy útil. Particularmente, nosotros apañamos todo con el propio Burp y otros lenguajes de programación.

Bulk Send To Repeater

Tras probar la extensión, no vemos que aporte una funcionalidad diferencial, ya que el envío de peticiones en modo bulk a repeater no es algo común, por lo que es prescindible.

Burp Bounty, Scan Check Builder

En este caso, la extensión sirve para hacer puntos de escaneo concretos y customizar las partes de escaneo activo de Burp Suite Professional. Sin embargo, la marcamos como prescindible porque en caso de que te interese, es mejor contar con Burp Bounty Pro.

Burp Chat

La idea es sencilla: habilitar chats directos entre diferentes instancias de Burp Suite Professional. A nivel corporativo, tenemos siempre mejores alternativas y deberíamos seguir las políticas de la organización, no usar canales alternativos.

Burp-hash

Tras haber probado la extensión, que analiza respuestas en busca de hashes e incluso cruza información con las peticiones, determinamos que es muy intensiva en el consumo de recursos para la información que aporta.

Burp2Slack

Envío automático de peticiones a Slack si se dan determinadas condiciones. A priori, puede tener usos en Bug Bounty, pero en auditorías de seguridad de aplicaciones web no parece tener mucha utilidad.

Burp2Telegram

Envío automático de peticiones a Telegram si se dan determinadas condiciones. A priori, puede tener usos en Bug Bounty, pero en auditorías de seguridad de aplicaciones web no parece tener mucha utilidad.

BurpSmartBuster

Extensión para descubrimiento de directorios. Preferiblemente, es mejor usar herramientas concretas para este tipo de tareas como DirBuster, GoBuster o similares.

CMS Scanner

Extensión muy específica para 4 CVEs relativos a CMS conocidos. Cualquier otra herramienta debería también identificarlos sin falta de utilizar esta extensión.

CORS*, Additional CORS Checks

La extensión hace checks de CORS de manera automática y manual. No obstante, nosotros preferimos chequear esta parte de manera manual siempre y no para todas las peticiones.

CSP-Bypass

Es una extensión buena, pero preferimos el uso de CSP Auditor, que es similar y con el menú contextual en las respuestas.

CSRF Scanner

Normalmente, el CSRF es bien manejado y detectado por Burp Suite Professional, por lo que la sobrecarga que incluye esta extensión no merece la pena para sus resultados.

CSRF Token Tracker

Su uso puede resultar interesante para pruebas de CSRF automatizadas, pero se recomienda probar los CSRF de manera manual con testing realizado por un analista.

CSurfer

Su uso puede resultar interesante para pruebas de CSRF automatizadas, pero se recomienda probar los CSRF de manera manual con testing realizado por un analista.

CVSS Calculator

La extensión calcula automáticamente el CVSS de las vulnerabilidades descubiertas. Muy útil, pero siempre preferible hacer estos cálculos en herramientas de reporting específicas.

CVSS v3.1 Calculator

La extensión calcula automáticamente el CVSS de las vulnerabilidades descubiertas. Muy útil, pero siempre preferible hacer estos cálculos en herramientas de reporting específicas.

Carbonator

Si lo que deseas es añadir y hacer automatizaciones de objetivos, esta es tu extensión. Sin embargo, siempre es preferible tener un control más grande sobre lo que añadimos al alcance y lo que ejecutamos.

Clipboard Repeater

Extensión para compartir peticiones entre diferentes analistas. No obstante, existen extensiones mejores para este caso de uso.

Cloud Storage Tester

A pesar de que es útil para detectar almacenamiento en la nube (AWS S3 Buckets, Google Storage…) existen otras extensiones que contienen esta funcionalidad integrada entre más detecciones.

Conditional Match And Replace

Extensión que sirve para hacer match and replace en peticiones y respuestas de Burp bajo determinadas condiciones. No obstante, la vemos prescindible dado que esto puede hacerse perfectamente con reglas estándar de Burp Suite Professional.

Cookie Decrypter

La extensión hace su trabajo adecuadamente descifrando y decodificando las cookies de persistencia y sesión de determinadas tecnologías (Netscaler, F5…). Sin embargo, esto lo hacen también muchos escáneres y las issues encontradas son informativas, por lo que la sobrecarga de la extensión no merece la pena.

Cookie Monster

Extensión para hacer drop de cookies de analítica, marketing y demás. Desde el punto de vista del usuario final es útil, pero para hacer testing de seguridad no le encontramos utilidad práctica real en la mayoría de los casos.

Custom Logger

La extensión loggea la actividad llevada a cabo en Burp Suite Professional. Puede ser útil, pero el propio logger de Burp o la extensión Logger++ son más versátiles.

Custom Parameter Handler

Sirve para hacer reglas de manejo de parámetros en macros. Nunca hemos visto casos de uso de la extensión y, por tanto, la consideramos prescindible a juzgar por el poco uso que se le puede dar.

Customizer

Nos permite personalizar el UI de Burp Suite Professional con temas. Si te gusta tener cosas «custom», puedes usarla, pero personalmente preferimos la estabilidad y la apariencia por defecto de la herramienta.

DNS Exfilnspector

Herramienta que automatiza la exfiltración de datos cuando se usa Burp Suite Collaborator. En este caso, la descartamos porque generalmente nunca necesitaremos exfiltrar datos de manera masiva, nos basta con generar pruebas de concepto básicas.

Decoder Improved

Aunque es cierto que aporta más funcionalidad que el Burp Suite Decoder normal, nos quedamos con este último dado que cubre la gran mayoría de los casos de uso.

Detect Dynamic JS

Se considera la extensión útil, pero como analistas debemos probar toda la aplicación (autenticada y no autenticada) y deberíamos poder identificar diferencias en los Javascript cargados en función de la autenticación de manera sencilla.

Diff Last Response

La extensión sirve para comparar respuestas, pero para ello podemos emplear Burp Suite Comparer que viene por defecto.

Directory Importer

Sirve para importar datos de herramientas DirBuster y GoBuster, pero tenemos extensiones que tienen un uso más amplio que incluyen esto mismo, por lo que la consideramos prescindible.

Discover Reverse Tabnabbing

Este ataque de ingeniería social se basa en abrir páginas nuevas que influyen en la de origen. De este modo, podemos cambiar la web original por una fraudulenta mientras el usuario está en la pestaña nueva. No obstante, es un ataque que requiere interacción del usuario y además escáneres automáticos básicos suelen detectar bien este tipo de vulnerabilidad, por lo que podemos prescindir de esta extensión.

Display Switcher

Extensión que añade una pestaña para cambiar de perfiles de Burp Suite Professional. En este caso, no le encontramos mucho uso ya que no solemos usar la herramienta con múltiples perfiles.

Distribute Damage

La extensión está pensada para hacer balanceo de carga en escaneos, de modo que sea más difícil la detección. En este caso, como usaremos Burp Suite Professional y sus escaneos mayoritariamente para auditorías, no la vemos necesaria. Si haces red team, además, no vemos claro que el uso de escáneres automáticos sea algo que te ayude (más bien, te perjudicará).

Extended Macro

Aunque la extensión sirve para ampliar las macros de Burp Suite Professional, consideramos que estas cubren fácilmente la mayor parte de casos de uso, por lo que descartamos esta extensión.

File Upload Traverser

Nos permite encontrar vulnerabilidades de path traversal combinadas con subida de ficheros. Sin embargo, descartamos usar esta extensión dado que es demasiado «agresiva» y si tiene éxito crea muchos ficheros en la web objetivo. Aunque debería ser fácil limpiarlos, preferimos un enfoque manual.

Filter Options Method

Sirve para eliminar peticiones OPTIONS de la pestaña proxy. No le vemos utilidad a hacer esto, aunque es cierto que a veces esas peticiones son muy numerosas.

Flow

Visor de peticiones cuyo uso no consideramos necesario para el correcto desempeño del analista con Burp Suite Professional.

GadgetProbe

Extensión que nos ayuda en tareas de identificación de vulnerabilidades de deserialización. Su uso es prescindible ya que existen otras extensiones más completas.

Google Hack

Extensión para realizar búsquedas de dorking en Google. Es preferible siempre hacer esto manualmente, ya que si no podremos sufrir bloqueos, CAPTCHAS etc. Se descarta su uso.

GraphQL Raider

Es una extensión potente para pruebas de GraphQL, pero nosotros preferimos el uso de InQL, que es similar y a la que estamos más acostumbrados. La ponemos en prescindibles, pero si estás incómodo con InQL puedes probarla y utilizarla.

HAR Importer

Extensión para importar archivos HAR en el sitemap de Burp Suite Professional. La descartamos porque existen alternativas mejores para esta tarea.

HTML Content Extractor

La extensión permite extraer contenido de las repuestas HTML en base a selectores CSS. Puede ser útil, pero es tediosa de utilizar, por lo que la consideramos prescindible.

HTTP Digest Auth

Esta extensión se puede emplear para añadir cabeceras Digest Auth de manera automática en las peticiones. No obstante, son casos poco comunes (por ejemplo, cámaras), por lo que pueden hacerse normalmente a mano o con reglas de manejo de sesión.

HTML5 Auditor

Se puede utilizar para analizar características de HTML5. Sin embargo, el propio escáner automático de Burp Suite Professional y otros escáneres realizan esta tarea con eficiencia, por lo que no resulta necesaria a priori.

HTTP Methods Discloser

La extensión realiza peticiones OPTIONS para descubrir métodos en los recursos analizados. En cualquier caso, esto es algo que los propios escáneres automáticos suelen llevar a cabo. Igualmente, se considera que este testeo puede hacerse manualmente llegado el caso.

HTTP Mock

Se utiliza para generar respuestas mock en base a las respuestas originales. Sirve sobre todo para hacer testing de frontales, por lo que es más para desarrolladores que para testing de seguridad.

Handy Collaborator

Extensión utilizada para agilizar el uso de Burp Suite Collaborator. Sin embargo, toda esta tarea puede realizarse de manera manual de manera sencilla y rápida, además de con otras extensiones.

Hashcat Maskprocessor Intruder Payloads

La extensión integra Hashcat Maskprocessor para generar payloads en Intruder. No obstante, la generación de payloads puede hacerse con otras herramientas igualmente, además de manualmente.

Header Guardian

Detecta de manera automática ausencia o malas configuraciones en cabeceras de seguridad, aunque es algo que muchas otras extensiones y escáneres hacen de manera sencilla y efectiva, por lo que es totalmente prescindible.

Header Issue Reporter

Header Sniper

Extensión válida para hacer «snipping» u omisión de cabeceras. Como en otros casos, preferimos reportar de manera independiente a Burp Suite Professional, por lo que la edición de evidencias la haremos en dichas herramientas.

Headers Analyzer

Headless Burp

Usada para lanzar Burp en modo línea de comandos, no le encontramos demasiada utilidad práctica, por lo que la consideramos prescindible.

Heartbleed

Extensión dedicada únicamente a la vulnerabilidad Heartbleed, por lo que es muy específica. En cualquier caso, cualquier escáner automático debería de identificarla sin mayores problemas, por lo que la extensión no es realmente necesaria.

History Explorer

La extensión permite la visualización de datos de manera más sencilla, si bien existen otras extensiones que permiten esto de manera más eficiente o amigable.

Host Header Inchecktion

Se trata de una extensión para detectar vulnerabilidades de Host Header Attack. Es efectiva, pero cualquier escáner automático debería de poder detectar este tipo de vulnerabilidades de manera más rápida y eficiente.

Hunt Scanner

Extensión usada para obtener de manera rápida peticiones con parámetros a explorar. No obstante, existen otras extensiones alternativas que permiten esto y más cosas a su vez, por lo que se puede prescindir de ella.

IIS Tilde Enumeration Scanner

La extensión ayuda a la hora de detectar y explotar la vulnerabilidad IIS Tilde Enumeration. Sin embargo, hay otras herramientas específicas para ello y escáneres automáticos la detectan de manera rápida y eficiente, por lo que es prescindible.

Identity Crisis

Extensión que prueba diferentes User-Agent para evaluar el comportamiento en las respuestas. Se trata de un caso muy específico cubierto por la mayoría de los escáneres automáticos igualmente.

Image Location And Privacy Scanner

La extensión extrae metadatos de las imágenes obtenidas del objetivo en busca de coordenadas GPS entre otras cosas. Sin embargo, otras extensiones incluyen el análisis de imágenes entre otras funcionalidades ampliadas, por lo que se deberían usar en lugar de esta.

Image Metadata

Image Size Issues

Se puede utilizar para explorar condiciones DoS debido a tamaños de imágenes. Como en casos anteriores, se trata de una vulnerabilidad única y rara, cuyo valor además no justifica el uso continuado de la extensión.

Import To Sitemap

Extensión para importar archivos en el sitemap de Burp Suite Professional. La descartamos porque existen alternativas mejores para esta tarea.

Intruder File Payload Generator

Al igual que ocurre con otras extensiones, la generación automática de payloads de Burp Intruder debería evitarse, teniendo siempre control y realizando esta operación manualmente o basado en otras herramientas.

Intruder Time Payloads

JS Link Finder

Extensión para búsqueda de endpoints en ficheros Javascript que puede ser útil, aunque se prefiere el uso de JS Miner en su lugar.

JSON Decoder

La extensión decodifica de manera rápida respuestas JSON, aunque es preferible el uso de JQ para ello.

JSON Query

La extensión decodifica de manera rápida respuestas JSON, aunque es preferible el uso de JQ para ello.

JSON Unicode-Escaper

La extensión se usa para escapar strings en JSON de manera sencilla, aunque se prefiere el uso de JSON Escaper en su lugar.

JSON Web Token Attacker

Extensión muy útil para analizar y manipular tokens JWT, aunque se prefiere el uso de JWT Editor en su lugar, la cual se considera más completa e intuitiva.

JSON Web Tokens

Extensión muy útil para analizar y manipular tokens JWT, aunque se prefiere el uso de JWT Editor en su lugar, la cual se considera más completa e intuitiva.

JScriptor

La extensión se usa para cargar librerías Javascript en Burp, por lo cual su uso se considera más aconsejable para desarrolladores y no para testing de seguridad.

JVM Property Editor

No le encontramos un uso práctico a la extensión a nivel de seguridad, aunque a nivel de rendimiento podría resultar interesante.

JWT Scanner

Extensión muy útil para analizar y manipular tokens JWT, aunque se prefiere el uso de JWT Editor en su lugar, la cual se considera más completa e intuitiva.

Java Object Deserializer

Extensión que nos ayuda en tareas de identificación de vulnerabilidades de deserialización. Su uso es prescindible ya que existen otras extensiones más completas.

Java Serial Killer

Extensión que nos ayuda en tareas de identificación de vulnerabilidades de deserialización. Su uso es prescindible ya que existen otras extensiones más completas.

Java Serialized Payloads

Extensión que nos ayuda en tareas de identificación de vulnerabilidades de deserialización. Su uso es prescindible ya que existen otras extensiones más completas.

JavaScript Encode As

La extensión permite codificar caracteres para explotación de XSS y vulnerabilidades similares con bypass de WAF. En este caso, Hackvertor nos cubre perfectamente la funcionalidad, por lo que prescindimos de ella.

JavaScript Security

La extensión nos permite realizar chequeos adicionales basados en vulnerabilidades que afectan a JavaScript. No obstante, estas vulnerabilidades se dan por cubiertas con los escáneres automáticos y otras extensiones recomendadas.

Kollaborator Module Builder

Esta extensión nos ayuda a generar nuestros propios scripts en Python para interactuar con Burp Suite Collaborator. Sin embargo, existen seguramente extensiones que puedan hacer la mayor parte del trabajo que podamos necesitar, así que la marcamos como prescindible.

Length Extension Attacks

Se puede usar para automatizar la creación de payloads en Burp Intruder para testear Length Extension Attacks. En este caso, como en otros, preferimos la implementación de payloads de Intruder de manera manual, además de que el caso de uso es muy específico.

License Title Cleaner

Modifica el UI para eliminar el mensaje de licenciamiento. En teoría, usaremos siempre Burp Suite Professional de manera legal y… ¿Para qué la íbamos a necesitar, no?

Log Requests To SQLite

La extensión loggea todas las peticiones y las envía a una base de datos SQLite. En este caso, no nos resulta interesante este tipo de logging de peticiones, prefiriendo hacerlo directamente en Burp Suite Professional o con extensiones específicas que permitan exportar estos datos.

Log Viewer

La extensión permite la visualización de ficheros de logs y el reenvío de peticiones. Se trata, por tanto, de una utilidad más de tipo forense o DFIR que de análisis de seguridad, lo cual la hace prescindible a priori.

Log4Shell Everywhere

Utilidad para escanear en busca de la vulnerabilidad Log4Shell que afecta a la librería Log4J. Se hizo muy popular en su momento, pero hoy en día muchos escáneres automáticos ya tienen módulos fiables para detectar esta vulnerabilidad y, por tanto, esta extensión es prescindible.

Log4Shell Scanner

Look Over There

Extensión para testing de aplicaciones de tipo SPA. Puede resultar interesante, si bien con el resto de extensiones y escaneos automáticos, así como el testing manual del analista las necesidades se dan por cubiertas en este aspecto.

Magic Byte Selector

Extensión utilizada para incluir magic bytes en testing de subidas de ficheros. Puede ser útil, pero realmente se puede hacer de manera sencilla manualmente.

Manual Scan Issues

Cuando queremos incluir una issue de forma manual en Burp Suite Professional, podemos usar esta extensión. No obstante, de manera normal utilizaremos los escáneres automáticos y el reporting de issues no detectadas por Burp Suite Professional lo haremos en otras herramientas.

Match/Replace Session Action

Uso de reglas match/replace usadas sobre todo para checking de CSRF. Se puede realizar esta operativa de manera sencilla de forma nativa en Burp Suite Professional, por lo que se considera prescindible.

Meth0dMan

La extensión se utiliza para hacer testing de métodos HTTP. No obstante, esto puede realizarse con escáneres automáticos de manera más rápida e incluso de manera manual si llega el caso.

MindMap Exporter

Extensión para realizar reporting de dos tests de mapeo de entradas de OWASP WSTG. Puede ser útil pero como se ha comentado el reporting se hace con herramientas específicas, por lo que es prescindible.

Multi Session Replay

Utilizada para probar escaladas de privilegios, la extensión permite enviar múltiples peticiones, si bien es algo que otras extensiones ya manejan de manera eficiente, por lo que se puede prescindir de ella.

Multi Browser Highlighting

La extensión sirve para marcar peticiones y respuestas en función del navegador utilizado. Sin embargo, no le vemos una utilidad práctica a su implantación.

NMAP Parser

El nombre es bastante autoexplicativo, aunque su uso no tiene mucho aporte real, ya que simplemente parsea resultados. Nosotros preferimos una separación entre ambas herramientas, por lo que descartamos su uso.

Nessus Loader

NMAP Scanner

El nombre es bastante autoexplicativo, aunque su uso no tiene mucho aporte real, ya que simplemente parsea resultados y realiza escaneos. Nosotros preferimos una separación entre ambas herramientas, por lo que descartamos su uso.

Notes

La extensión se usa lógicamente para la toma de notas. No obstante, nosotros preferimos el uso de herramientas corporativas (OneNote, Obsidian…) para ello.

OAuth2 Token Grabber

Utilizada para recoger tokens OAUTH y añadirlos directamente a las peticiones, se toma como prescindible ya que puede hacerse con las propias herramientas por defecto de Burp Suite Professional.

OAuthv1 Authentication

Utilizada para recoger tokens OAUTH y añadirlos directamente a las peticiones, se toma como prescindible ya que puede hacerse con las propias herramientas por defecto de Burp Suite Professional.

Office Open XML Editor

Extensión para editar archivos Open XML directamente en Burp Suite Professional. Se considera prescindible dado que esto puede hacerse con herramientas de la suite M365 mejor.

PDF Metadata

La extensión extrae metadatos de los PDF descargados al interactuar con la web. Sin embargo, hay extensiones que realizan esto además de otras tareas, por lo que son más completas.

PDF Render

La extensión renderiza PDF en pestañas adicionales en Burp Suite Professional. Se prefiere el uso de PDF Viewer en su lugar.

ParaForge

Extensión usada para extraer parámetros de las peticiones. Existen otras extensiones más completas que se pueden usar en su lugar.

Paramalyzer

Extensión que analiza de forma inteligente los parámetros, algoritmos y datos de las comunicaciones con el servidor en base a las respuestas. No obstante, sus aportaciones no se consideran suficientemente útiles como para mantenerla activa.

ParrotNG

Esta extensión se utiliza para detectar una vulnerabilidad muy específica en aplicaciones Flex, por lo que su uso se considera muy puntual. Asimismo, escáneres automáticos deben detectar esta vulnerabilidad sin mayor problema.

Paste cURL To Repeater

Sirve para importar peticiones cURL al Repeater, aunque no le vemos una utilidad clara de cara a testing de seguridad, que debería estar más basado en Burp Suite Professional.

Payload Parser

Utilizada para eliminar badchars en payloads generados, aunque se prefiere el uso de otras extensiones para realizar esta función, por lo que se considera prescindible.

Pcap Importer

La extensión es válida para importar archivos PCAP en Burp Suite Professional. Sin embargo, esto se considera algo muy puntual y la utilidad de la extensión es por tanto limitada.

Pentest Mapper

Extensión utilizada para mapeo de flujo de información, así como para ayudar a entender la estructura de la aplicación. Se considera prescindible, dado que existen otras extensiones que nos permiten llevar a cabo esta tarea.

Piper

La extensión facilita la integración de Burp Suite Professional con herramientas de terceros. No obstante, normalmente si las aplicaciones de terceros son potentes, tendrán su propia integración para poder conectarlas.

Progress Tracker

No encontramos utilidad real para auditorías de seguridad a la extensión, que sirve para llevar trazabilidad sobre lo que se va realizando a priori.

Protobuf Decoder

Su uso se descarta fundamentalmente porque la prevalencia de protobuf es muy baja. Por tanto, se puede prescindir de ella de manera normal, ya que no debería ser necesaria.

Prototype Pollution Gadgets Finder

Extensión enfocada en detectar vulnerabilidades de Prototype Pollution, fundamentalmente en Node.js. Se estima que estas vulnerabilidades pueden ser detectadas por escáneres automáticos o manuales de manera sencilla y para más tecnologías, por lo que se considera prescindible.

Proxy Action Rules

Se puede utilizar para incluir acciones automáticas en el proxy de Burp Suite Professional. No obstante, estos filtros pueden ser aplicados con las herramientas por defecto.

Proxy Auto Config

Usada para configurar el proxy de sistema, esto se puede hacer de manera manual si fuera necesario, para que Burp Suite Professional pase por él.

PsychoPATH

Extensión usada para generar payloads de manera automática. Tal como ocurre con otras extensiones, se prefiere siempre la generación de payloads de manera manual a la hora de descubrir vulnerabilidades antes de ser incluidos en Burp Suite Intruder.

Python Scripter

La extensión permite el uso de scripts en Python a la hora de analizar peticiones en Burp Suite Professional. Se considera prescindible dado que este tipo de testing es más avanzado y además requiere conocer el lenguaje de programación para escribir los scripts.

Quicker Context

No le vemos utilidad real a nivel de auditorías de seguridad a la extensión, que sirve únicamente para crear menús contextuales.

Quoted-Printable Parser

Extensión usada para convertir datos recibidos por SMTP en Burp Collaborator. Esto puede hacerse, por ejemplo, con Burp Decoder o Hackvertor igualmente.

Random IP Address Header

Adición de cabecera con IPs aleatorias con la esperanza de evadir WAFs. A día de hoy, es difícil que esto fructifique. Además, otras extensiones también son capaces de hacerlo por lo que se considera no necesaria.

Raw Hex’ler

Se trata de una potencial mejora del Hex Editor integrado por defecto en Burp Suite Professional. Sin embargo, el editor por defecto cubre perfectamente las necesidades básicas, por lo que la consideramos prescindible.

Reflected File Download Checker

Extensión que busca ficheros reflejados en las descargas. No logramos entender bien el caso de uso de la herramienta, por lo que no la consideramos como parte de nuestro arsenal.

Reflected Parameters

La búsqueda de parámetros reflejados en las respuestas que aporta esta extensión está más que cubierta por la parte de escaneo de Burp Suite Professional.

Reissue Request Scripter

Sirve para automatizar la creación de scripts externos a Burp Suite Professional. Como se ha visto en apartados anteriores, existen otras herramientas que permiten automatizar este punto y son más versátiles.

Replicator

Es una extensión estándar de Burp Suite Professional para poder enviar réplicas a los desarrolladores de nuestras issues y que puedan reproducirlas. Tal como se comentó en otras extensiones, nosotros preferimos el reporting personalizado en base a nuestros informes.

Report Generator

Es una extensión que ayuda en la creación de reportes de manera automática. Tal como se comentó en otras extensiones, nosotros preferimos el reporting personalizado en base a nuestros informes.

Request Highlighter

Extensión que nos ayuda en el marcado de peticiones. Como comentamos en otras extensiones, esto es algo a lo que no le vemos mucha utilidad práctica y en caso de hacerlo usaríamos otras extensiones válidas para ello, por lo que podemos prescindir de ella.

Request Minimizer

La extensión elimina parámetros, cookies y otros elementos innecesarios de las peticiones. En realidad, esto es algo que no afecta a nuestras auditorías, por lo que no la incluimos en nuestro arsenal y en caso de decidir quitar algo, lo haremos manualmente o con reglas básicas.

Request Randomizer

La extensión incluye partes aleatorias en las peticiones enviadas por Burp Suite Professional. No le vemos gran utilidad práctica desde el punto de vista de los análisis de seguridad.

Request Timer

Captura de tiempos de las peticiones y respuestas en Burp Suite Professional. La consideramos prescindible puesto que esto es algo que por defecto Burp Suite ya tiene implementado por defecto, si bien la extensión podría ayudar a visualizar los datos.

Reshaper

Creador de reglas para adaptar las peticiones enviadas. En este caso, de nuevo, podríamos hacerlo con reglas específicas por defecto de Burp Suite Professional si se necesitase.

Response Grepper

Aunque es una extensión válida para automatizar la extracción de datos de las respuestas obtenidas por Burp Suite Professional, consideramos que existen alternativas más completas mencionadas en esta entrada del blog.

Response Overview

Agrupador de respuestas similares en base a determinadas reglas. Personalmente, nos gusta realizar este trabajo de forma manual en las auditorías, por lo que prescindimos de esta extensión.

Response Pattern Matcher

Retire.js

La extensión enumera en base a las respuestas que pasan por el proxy versiones de librerías JavaScript vulnerables. Es cierto que no está mal y los resultados son precisos, pero consideramos Retire.js como prescindible ya que el propio motor de escaneo de Burp Suite Professional cubre este punto sin mayores problemas. Asimismo, podríamos complementarlo con otras herramientas como Acunetix o incluso herramientas propias de SCA.

Reverse Proxy Detector

Su nombre es bastante autoexplicativo. Prescindimos de esta extensión dado que los escáneres automáticos en su mayoría son también capaces de identificar reverse proxies.

SAML Editor

Permite el manejo de mensajes SAML, aunque su uso se descarta dado que existen otras extensiones más versátiles y completas para esta tarea.

SAMLReQuest

Permite el manejo de mensajes SAML, aunque su uso se descarta dado que existen otras extensiones más versátiles y completas para esta tarea.

SQLi Query Tampering

Esta extensión combinas las capacidades de Burp Suite Professional con SQLMap. Nosotros, en cambio, preferimos el uso de ambas herramientas por separado cuando las tenemos que emplear, por lo que prescindimos de integraciones normalmente.

SQLiPy Sqlmap Integration

SRI Checker

La extensión identifica recursos cargados sin checks de integridad (SRI). Aunque resulta interesante, los escáneres automáticos suelen detectar este tipo de vulnerabilidades de manera más rápida y eficiente.

SSL Scanner

Esta extensión combinas las capacidades de Burp Suite Professional con testssl.sh. Nosotros, en cambio, preferimos el uso de ambas herramientas por separado cuando las tenemos que emplear, por lo que prescindimos de integraciones normalmente.

Same Origin Method Execution

La extensión realiza testing de la vulnerabilidad Same Origin Method Execution de manera automática, aunque prescindimos de ella al ser algo que escáneres automáticos pueden hacer también de manera sencilla si se configuran para ello.

SameSite Reporter

La extensión realiza testing de configuración del atributo «SameSite» de las cookies de manera automática, aunque prescindimos de ella al ser algo que escáneres automáticos pueden hacer también de manera sencilla si se configuran para ello.

San Scanner

Esta extensión hace enumeración de subdominios basada en Subject Alternative Names de los certificados. Es muy útil desde el punto de vista del reconocimiento externo, pero normalmente nuestros alcances estarán predeterminados y por tanto, no nos resulta interesante su uso.

Scan Manual Insertion Point

La extensión nos sirve para escanear únicamente ciertos parámetros de manera activa. No obstante, esto se puede hacer también con Burp Suite Professional en su pestaña Burp Intruder de manera nativa, por lo que descartamos su uso para no sobrecargar la herramienta innecesariamente.

Scope Monitor

Esta extensión realiza una supervisión de los objetivos que estamos analizando en cada momento. Dado que los alcances suelen ser fijos en auditorías, no le vemos gran potencial de uso.

Sentinel

La extensión aporta una automatización para el testing de vulnerabilidades SQLi y XSS, pero esto se presupone cubierto por el propio motor de escaneo de Burp Suite Professional.

Sequence Comparer

Agrupador de secuencias similares para observar diferencias en base a determinadas reglas. Personalmente, nos gusta realizar este trabajo de forma manual en las auditorías, por lo que prescindimos de esta extensión.

Session Auth

Aunque es una extensión para enumerar vectores de escalada de privilegios, tras probarla no encontramos que aporte valor adicional a otras extensiones ya implantadas.

Session Handler+

De nuevo, una extensión para el manejo de sesiones y reglas que descartamos dado que el motor por defecto de Burp Suite Professional siempre nos ha resultado útil y suficiente en ese aspecto.

Session Timeout Test

La extensión trata de obtener el tiempo en el que la sesión hace timeout en el objetivo. La descartamos porque este test solemos hacerlo a mano ya que es muy sencillo (simplemente es esperar…).

Session Tracking Checks

La extensión trata de identificar el uso de trackeadores, por lo que está más enfocada a la privacidad que al testing de seguridad en general.

Sharpener

Extensión enfocada a hacer cambios en el UI y que por tanto descartamos al no estar centrada en la auditoría de seguridad como tal (nos gusta Burp Suite Professional por defecto…).

Sheet Intruder

Extensión enfocada en analizar subidas de ficheros Excel en concreto. Dada su especificidad, decidimos tomarla como prescindible al haber herramientas y extensiones más completas.

Similar Request Excluder

Extensión para el análisis y eliminación de respuestas redundantes. Se prescinde de su uso debido al elevado consumo de recursos que ocasiona, entre otras cosas.

Site Map Extractor

Su nombre es bastante autoexplicativo de lo que hace. Prescindimos de ella porque consideramos que tenemos otras alternativas mejores ya comentadas.

Site Map Fetcher

Esta extensión automatiza la realización de peticiones a endpoints no consultados en la auditoría, pero sí descubiertos. La descartamos ya que los escáneres automáticos harán peticiones a todos los endpoints a priori.

Software Version Reporter

Esta extensión nos reporta automáticamente versiones de tecnologías en las webs que analizamos. Está bien, porque tiene en cuenta también mensajes de error y demás, pero no es nada que no aporten otros escáneres automáticos o herramientas sencillas como Wappalyzer, que se pueden instalar directamente en el navegador. Es una extensión totalmente prescindible.

Source Mapper

La extensión nos sirve para desenmascarar los Source Maps en aplicaciones desarrolladas client-side (por ejemplo, aplicaciones SPA). En este caso, la descartamos porque disponemos de otras herramientas que realizan esta tarea, aunque los navegadores traten de dificultarla.

SpoofProof – Domain Spoofing Validation

La extensión sirve para chequear las políticas SPF, DKIM y DMARC de correo y, por tanto, no tienen mucha relación con auditorías web, aunque es muy intersante igualmente para otros ámbitos.

SpyDir

Extensión usada para descubrimiento de endpoints en base a repositorio de código local. Normalmente, no dispondremos de este repositorio y, en caso de tenerlo, será sencillo extraer endpoints, por lo que podemos prescindir de ella.

Stepper

Se trata de un potencial reemplazo de Burp Suite Professional Repeater. No obstante, desde nuestro punto de vista al Repeater le queda mucho recorrido y es mucho más útil.

Sticky Burp, Reusable and Repleceable Environment Variables

La extensión permite la definición de variables en modo global al proyecto para su uso posterior. Como nunca le hemos dado uso ni lo hemos necesitado, prescindimos de ella en el arsenal.

Subdomain Extractor

Esta extensión permite obtener subdominios en base a varias técnicas. Como se ha comentado para otras extensiones, nuestro alcance suele ser bien limitado y no necesitamos esa fase de descubrimiento normalmente.

Swagger Parser

Su nombre nos define bien lo que hace, si bien existen otras alternativas que son más completas a la hora de hacer parseos de definiciones de API.

Taborator

La extensión es un integrador de Burp Collaborator, pero no aporta gran funcionalidad añadida que la herramienta no traiga por defecto.

Target Redirector

Válida para redirigir peticiones de un objetivo no intencional a uno intencional. De manera lógica, si cumplimos con los alcances no necesitaremos esta extensión.

Timeinator, Time Based Attacker

Extensión para realizar ataques basados en tiempos en redes de Internet no completamente estables. Puede ayudarnos, pero a priori con Burp Suite Professional por defecto podemos realizar también esta tarea en redes normales.

Timestamp Editor

Proporciona una interfaz para manipular timestamps en los mensajes intercambiados por Burp Suite Professional. No la vemos realmente necesaria.

Timestamp Injector

Aporta la capacidad de incluir automáticamente timestamps en los mensajes intercambiados por Burp Suite Professional. No la vemos realmente necesaria.

Token Extractor

La extensión es usada mayoritariamente para extraer tokens CSRF o similares de manera automática. Como se ha explicado, nosotros preferimos hacer esto de manera manual o con reglas de Burp Suite Professional en su funcionalidad por defecto.

Token Incrementor

Extensión para probar adiciones de una unidad en un parámetro en cada petición. Esto se puede hacer fácilmente con Burp Intruder, por lo que prescindimos de ella.

Token Tailor

Extensión para la petición y renovación de JWT de manera automática. Se considera prescindible en favor de otras extensiones para el tratamiento de JWT.

TokenJar

Trusted Domain CORS Scanner

Usada para testing de issues relacionadas con CORS, aunque la mayoría de los escáneres son capaces de aplicar reglas específicas para detectar esta vulnerabilidad junto a bypasses comunes.

Trusted Types Checker

Se utiliza para probar vulnerabilidades asociadas a los Trusted Types de los navegadores. Dado que son configuraciones específicas de cada navegador y no de la aplicación auditada, se prescinde de su uso.

Turbo Data Miner

Nos aporta la capacidad de ejecutar scripts en cada petición o respuesta interceptada por Burp Suite Professional. Dado que nunca se nos ha dado dicho caso de uso, prescindimos de ella.

URL Fuzzer – 401/403 Bypass

La extensión es potente para implementar ataques de bypass a este tipo de respuestas obtenidas del servidor. Sin embargo, se considera que existen otras alternativas más versátiles que esta.

UUID Detector

Esta extensión es capaz de detectar valores de tipo UUID/GUID que se suponen únicos en las respuestas. Sin embargo, no vemos utilidad real a nivel de seguridad.

UnUnicode

Proporciona un escapado de caracteres Unicode de manera sencilla e intuitiva. Sin embargo, existen otras alternativas con mayor capacidad para realizar estas funciones.

WAF Bypadd

La extensión automatiza pruebas de bypass de WAF como el relleno de peticiones. En este caso, existen otras alternativas que ya realizan esta función, por lo que se descarta su uso.

WAF Cookie Fetcher

Nos sirve para automatizar la actualización de cookies que los WAF inicializan a nivel client-side, por lo que Burp Suite Professional en ocasiones no puede tratar. No obstante, es algo que con reglas de ejecución en tiempo real se puede conseguir igualmente, por lo que se considera prescindible.

WAFDetect

La extensión analiza pasivamente el tráfico para detectar WAFs. La mayoría de escáneres automáticos son capaces de realizar esta tarea sin mayor problema, por lo que la extensión es prescindible.

WCF Deserializer

Extensión que nos ayuda en tareas de identificación de vulnerabilidades de deserialización. Su uso es prescindible ya que existen otras extensiones más completas.

WSDL Wizard

Extensión utilizada para el descubrimiento automático de ficheros de tipo WSDL. Los escáneres automáticos realizan habitualmente esta tarea, por lo que el uso de la extensión es muy reducido.

Web Cache Deception Scanner

Automatiza el descubrimiento de vulnerabilidades Web Cache Deception. No obstante, se prefiere llevar a cabo este estudio con otras extensiones y de manera manual normalmente para aumentar las probabilidades de éxito.

WordPress Scanner

Integración de Burp Suite Professional con WPScan. Aunque puede resultar interesante, nosotros preferimos el uso de ambas herramientas por separado.

Wordlist Extractor

Utilizada para extraer listados de palabras de una web, no vemos su uso muy interesante porque preferimos el uso de herramientas específicas como cewl.

XChromeLogger Decoder

Extensión para decodificar esta cabecera de manera automática, no le vemos un uso intensivo como para justificar su instalación en Burp Suite Professional.

XSS Cheatsheet

Simplemente integra la cheatsheet de PortSwigger para explotación de vulnerabilidades XSS. Dado que se puede consultar vía web, no vemos necesaria su instalación.

Yara

Permite lanzar escaneos con reglas Yara hacia el sitio web para detectar patrones maliciosos. Se ve esta herramienta desde un punto de vista más de Blue Team, por lo que se prescinde de ella.

iRule Detector

Se trata de la detección y explotación de una vulnerabilidad RCE en sistemas F5 Big-IP. Dado que es muy específico y que a priori los escáneres automáticos deberían detectarla, se decide no utilizar esta extensión.

pip3line

Utilizada para hacer manejo de bytes a bajo nivel, es algo que puede hacerse con Burp Suite Professional por defecto cubriendo la mayor parte de casos de uso, por lo que la extensión se considera prescindible.

Under review

Existen varias extensiones de IA que pueden resultar interesantes, si bien para su uso se requiere el consumo de créditos, por lo que no se ha podido valorar su coste hasta el momento.

AI HTTP Analyzer
AI Prompt Fuzzer
AI Recon Assistant
AI Substitutor
Document My Pentest
Levo.ai Burp Integration
MCP Server
Repeater Strike
ReportLM
Shadow Repeater

Incluimos en esta sección los nombres de extensiones que o bien no hemos podido probar o su funcionalidad es tan concreta que no tenemos datos sobre su efectividad.

AES Killer, decrypt AES traffic on the fly
AES Payloads
Add To TLS Pass Through
AdHoc Payload Processors
Authentication Token Obtain and Replace
Blazer
Blazor Traffic Processor
Bradamsa
Brida, Burp To Frida Bridge => Interesante para apps móviles
Burp CSJ
Burp Variables
BurpCrypto, Encryption Payload Processor
BurpelFish
BurpTrast, Contrast Security Integration
CO2
Change Menu Level
Code Dx
Copy to BCheck
Crypto Messages Handler
DNS Analyzer => Interesante para ataques DNS
DPoP Authenticator
Decompressor
Dradis Framework => Solo tiene sentido si se usa Dradis para reporting
ElasticBurp => Solo tiene sentido si quieres integrar Burp Suite Professional con un motor ElasticSearch
Extensibility Helper
Faction Integration => Solo tiene sentido si se usa Faction
Faraday => Solo tiene sentido si se usa Faraday
Fast Infoset Tester
GAT Security Platform Integration => Solo tiene sentido si se usa GAT
GWT Insertion Points
Git Bridge => Solo tiene sentido si se usa Git como mecanismo para guardar datos de Burp Suite Professional
Google Authenticator => Interesante para automatizar pruebas donde el MFA es de Google Authenticator
HTTP Hacker
Issue Poster => Solo tiene sentido si se usan sistemas de terceros para tracking de issues
J2EEScan
JCryption Handler
JSWS Parser
Kerberos Authentication
Kerberos Upstream Proxy
Lair => Solo tiene sentido si se usa Lair
LightBulb WAF Auditing Framework
MessagePack
NTLM Challenge Decoder
Non HTTP Proxy (NoPE)
Nuclei Burp Integration => Solo tiene sentido si se usa Nuclei
Nuclei Template Generator Plugin => Solo tiene sentido si se usa Nuclei
Nucleus Burp Extension => Solo tiene sentido si se usa Nucleus
Okta TOTP Authenticator
Padding Oracle Hunter => Interesante para detectar vulnerabilidad Padding Oracle
Passkey Raider
Passkey Scanner
Peach API Integration => Solo tiene sentido si se usa Peach API Security
Pentagrid Scan Controller
PeopleSoft Token Extractor
Postman Integration => Solo tiene sentido si se usa Postman
Proxy Enriched Sequence Diagrams Exporter
PwnFox For Chromium
PyBurp
PyCript
Qualys WAS => Solo tiene sentido si se usa Qualys
Report To Elastic Search => Solo tiene sentido si quieres integrar Burp Suite Professional con un motor ElasticSearch
RouteVulScan
Semgrepper
Socket Sleuth
ThreadFix => Solo tiene sentido si se usa ThreadFix
TruffleHog Integration
Twilio OTP Authenticator
UPnP Hunter
WS Security
WebAuthn CBOR Decoder
WebInspect Connector => Solo tiene sentido si se usa WebInspect
WebSphere Portlet State Decoder
XSS Validator => Interesante para pruebas XSS
YesWeBurp => Solo tiene sentido si se usa Yes We Hack

~km0xu95