O Burp Suite é uma plataforma de testes de segurança desenvolvida pela PortSwigger que funciona como intermediária entre seu navegador e a aplicação web para identificar vulnerabilidades. Ele captura, analisa e modifica requisições HTTP, permitindo simular ataques e encontrar falhas antes que criminosos as explorem.
A ferramenta é padrão no mercado para profissionais de segurança ofensiva e desenvolvedores que precisam validar aplicações antes do lançamento. Existem versão gratuita (Community) e paga (Professional), cada uma com seu escopo próprio de recursos.
O que faz o Burp Suite
O Burp Suite funciona como um proxy interceptador. Quando você navega por um site, a ferramenta fica “no meio do caminho” entre seu navegador e o servidor. Dessa forma, ela consegue ver, analisar e até modificar cada requisição antes dela chegar ao destino.
A plataforma oferece módulos específicos para diferentes tipos de teste. O scanner automatizado identifica vulnerabilidades comuns como injeção de código, autenticação fraca e vazamento de dados. Já o módulo de repetidor permite testar o mesmo ataque várias vezes com variações diferentes. O intruder automatiza testes de força bruta e fuzzing contra parâmetros específicos.
Além disso, o Burp Suite gera relatórios detalhados com cada vulnerabilidade encontrada, sua severidade e sugestões de correção. Por isso mesmo, é frequentemente usado tanto por pesquisadores de segurança quanto por equipes de desenvolvimento.
Versões: Community vs Professional
| Recurso | Community | Professional | |———|———–|————–| | Proxy e captura de requisições | ✓ | ✓ | | Scanner automatizado | Limitado | ✓ | | Intruder | ✓ | ✓ (sem limite) | | Colaborador Burp (testes fora de rede) | ✗ | ✓ | | Relatórios customizados | ✗ | ✓ | | Suporte oficial | ✗ | ✓ | | Preço | Gratuito | Pago |
A versão Community é suficiente para aprender, fazer testes básicos e prototipagem. No entanto, o scanner (que automatiza a busca por vulnerabilidades) é bastante limitado — ele não executa varreduras profundas. A Professional resolve isso com scanner completo, relatórios profissionais e ferramentas avançadas que poupam horas de trabalho manual.
Se você está começando em segurança de aplicações, comece pela versão gratuita. Se trabalha em uma empresa ou precisa de testes regulares e em escala, a Professional compensa rápido pelo tempo economizado.
Como começar: instalação e primeira requisição
Baixe o Burp Suite no site oficial da PortSwigger. A instalação é simples em Windows, Linux e macOS. Após instalar, abra a aplicação e configure seu navegador para usar o proxy do Burp (normalmente na porta 8080).
Aqui está um exemplo básico de como interceptar uma requisição:
1. Configure seu navegador para usar proxy localhost:8080
Firefox > Preferências > Rede > Configurações > Manual > HTTP Proxy: 127.0.0.1 Porta: 8080
2. No Burp, vá até a aba “Proxy” > “Intercept”
3. Ative “Intercept is on”
4. Navegue normalmente no seu navegador
5. A requisição aparecerá no Burp, onde você pode:
– Visualizar headers e body
– Modificar valores
– Enviar para o Repeater ou Intruder
– Bloquear ou deixar passar
A partir daí, você consegue testar comportamentos da aplicação, forçar parâmetros, injetar código e observar como a aplicação responde. Esse ciclo manual é ótimo para entender como funcionam os ataques web.
Casos de uso reais
O Burp Suite é especialmente útil em cenários como validação pré-lançamento de um produto, testes de conformidade (já que gera relatórios que satisfazem auditoria), pesquisa de vulnerabilidades em programas de bug bounty e treinamento de times de desenvolvimento em segurança ofensiva.
Como o PratiqueTech já mostrou em análises anteriores, ferramentas de segurança fazem parte de uma estratégia mais ampla. O Burp Suite funciona melhor quando integrado com outras práticas — code review, testes automatizados em CI/CD e validação manual de código.
Na prática, o Burp Suite não substitui um pentest profissional, mas reduz drasticamente o trabalho manual e detecta a maioria das vulnerabilidades comuns antes de chegarem à produção. Isso vale bastante a pena.
Perguntas frequentes
Posso usar o Burp Suite em sites de terceiros?
Não — usar qualquer ferramenta de teste contra um servidor que você não controla é ilegal. O Burp Suite deve ser usado apenas em aplicações suas ou em testes autorizados (como bug bounty programas que o permitem explicitamente).
O Burp Suite funciona em aplicações mobile?
Sim, mas com limitações. Você consegue interceptar requisições HTTP(S) de apps, mas apps mobile frequentemente usam pinning de certificado ou outras proteções que complicam o teste. Para móvel, existem ferramentas especializadas que funcionam melhor.
Qual é a curva de aprendizado?
A interface é intuitiva para testes básicos (capturar e modificar requisições). Dominar os módulos avançados (scanner, intruder, collaborator) leva semanas de prática. Não é trivial, mas não é impossível se você tem conhecimento básico de HTTP, HTML e JavaScript.
Vale a pena a versão Professional para iniciantes?
Não. Comece com Community, aprenda a ferramenta e os conceitos de segurança web. Só migre para Professional quando sentir que está gastando horas repetindo tarefas que a automação resolveria.
Posso usar o Burp Suite em Linux?
Sim — funciona em qualquer sistema com Java instalado. A experiência é praticamente idêntica ao Windows.
Para quem precisa validar requisições HTTP de forma detalhada durante testes de segurança, o calculadora de sub-rede do PratiqueTech ajuda a mapear o ambiente de rede, informação útil ao planejar testes e escopo de varredura.
