Qué es

Burp Suite Community Edition es la edición gratuita del conjunto de herramientas de PortSwigger Ltd., empresa que desarrolla Burp Suite desde 2005, pensada para aprender a probar la seguridad de aplicaciones web de forma manual. Incluye el Proxy HTTP(S) y WebSockets con historial, además de Repeater, Decoder, Sequencer y Comparer. Intruder viene solo en versión demo, con funciones limitadas. No incluye el escáner automático (Burp Scanner), las funciones de IA, Burp AI ni el agente Burp AT, que son exclusivos de la edición Professional.

Para qué sirve

Interceptar y ver el tráfico HTTP(S) y WebSockets entre el navegador y una aplicación web de tu laboratorio.
Modificar peticiones al vuelo y reenviarlas con Repeater para entender cómo responde el servidor.
Codificar y decodificar datos (URL, Base64, etc.) con Decoder, y comparar respuestas con Comparer.
Analizar la aleatoriedad de tokens de sesión con Sequencer.
Resolver los laboratorios gratuitos de la Web Security Academy de PortSwigger y retos de CTF.
Depurar tus propias aplicaciones web durante el desarrollo o el QA.

Instalación

Requisitos: hardware de 64 bits. Como mínimo, 2 núcleos y 4 GB de RAM; lo recomendado es 2 núcleos y 16 GB. Necesitás 1 GB de disco. El navegador integrado no funciona en Windows 7, 8/8.1 ni Server 2012/2012 R2. Tampoco funciona si ejecutás el JAR en Apple Silicon o ARM64; en esos equipos usá el instalador nativo.

Instalador oficial (Windows, macOS y Linux): descargalo desde https://portswigger.net/burp/downloads o desde https://portswigger.net/burp/releases/community/latest. Desde la versión 2026.4 hay un único instalador para Community y Professional, y la edición se elige durante la instalación. Si tenés scripts que apuntaban a los instaladores anteriores, actualizalos. En la pantalla de proyecto y configuración podés hacer clic en Next y después en Start Burp.

Linux: dale permisos de ejecución al instalador que descargaste y ejecutalo. Reemplazá el nombre por el del archivo real:

Código: text

chmod +x ./<instalador-descargado>
./<instalador-descargado>

Windows con winget (no oficial): el ID sale de un índice de terceros y puede ir atrasado respecto de la versión vigente. Para tener la última versión, usá la descarga oficial.

Código: text

winget install -e --id PortSwigger.BurpSuite.Community

JAR (Java propio): PortSwigger también ofrece un JAR. Ojo: con el JAR no funciona el navegador integrado en Apple Silicon ni en ARM64.

Código: text

java -jar burpsuite_community.jar

(El nombre del archivo puede variar según la versión que descargues.)

Comandos frecuentes

Burp es una aplicación gráfica. Estos ejemplos muestran cómo armar el laboratorio y probarlo solo contra objetivos propios. Las opciones de línea de comandos de Burp no se verificaron, así que para consultar las vigentes usá la documentación oficial.

1. Levantar una app de prueba propia en tu equipo (servidor web simple en el puerto 8000):

Código: text

python3 -m http.server 8000 --bind 127.0.0.1

2. Mandar tráfico a través del proxy de Burp. El puerto habitual del listener es 127.0.0.1:8080; confirmalo en la configuración del Proxy.

Código: text

curl -x http://127.0.0.1:8080 http://127.0.0.1:8000/

3. Probar contra un servicio HTTPS de tu laboratorio a través del proxy. Usá -k solo en el laboratorio, porque el certificado lo genera la CA de Burp:

Código: text

curl -k -x http://127.0.0.1:8080 https://192.168.56.10/

4. Petición de ejemplo para pegar en Repeater y modificar parámetros a mano contra tu app:

Código: text

GET /?q=prueba HTTP/1.1
Host: 127.0.0.1:8000
Connection: close

5. Texto de ejemplo para practicar con Decoder (codificalo como URL o Base64 y volvé a decodificarlo):

Código: text

usuario=lab&rol=<test>

6. Verificar que el listener del proxy escuche solo en localhost y no esté expuesto a la red (Linux):

Código: text

ss -tlnp | grep 8080

7. Lado defensor: buscar consultas DNS hacia el dominio OAST de Burp Collaborator (*.oastify.com) en tu red de laboratorio:

Código: text

sudo tcpdump -n -l -i any port 53 | grep -i oastify

Buenas prácticas y uso legal

Usá Burp solo en tu propio laboratorio, en CTF o con autorización por escrito. Interceptar o manipular tráfico de sistemas ajenos sin permiso puede ser delito. La Web Security Academy de PortSwigger es gratuita y tiene más de 270 laboratorios legales para practicar.
Dejá el listener del proxy solo en
Código: text
```
127.0.0.1
```
. Si lo exponés a toda la red, otras personas pueden usarlo como proxy.
Preferí el navegador integrado de Burp (Chromium). Si instalás la CA de Burp en el almacén del sistema, ese equipo va a confiar en certificados generados por Burp, así que sacala cuando termines.
Tené en cuenta que las notas de versión son comunes a Professional y Community. Que una novedad aparezca ahí no significa que esté disponible en la Community.
Detección (equipo defensor): las ráfagas de peticiones desde una misma IP, típicas de Intruder o de una enumeración, se ven en los logs del WAF o del servidor. Se mitigan con rate limiting, bloqueo de cuentas y CAPTCHA.
Detección: en los logs suelen aparecer payloads conocidos, como cadenas de la XSS cheat sheet, y los WAF y SIEM tienen firmas para ellos. También conviene vigilar las consultas DNS o HTTP salientes hacia
Código: text
```
*.oastify.com
```
, el dominio de Burp Collaborator.
Defensa de fondo: validá las entradas en el servidor, codificá las salidas y usá cabeceras de seguridad (CSP, HSTS). En las apps móviles críticas, aplicá certificate pinning para que un proxy intermedio deje de ser transparente.

Alternativas

OWASP ZAP: proxy de interceptación y escáner web de código abierto.
mitmproxy: proxy HTTP(S) interactivo de código abierto, manejable desde la consola y con scripts en Python.
Caido: kit moderno y liviano para pruebas de seguridad web con proxy de interceptación.

Redactado con el asistente Underc0de IA a partir de fuentes públicas. Actualizado el 09/11/2026. ¿Ves un error? Contanos en el foro.