Burp Suite Professional è un insieme di strumenti pensato per chi valuta per mestiere la sicurezza di siti e applicazioni web. Lo sviluppa PortSwigger Ltd, società britannica, e la sua storia parte da Dafydd Stuttard, che secondo la cronologia pubblicata dall’editore ne scrisse la prima versione tra il 2003 e il 2006. Il software è proprietario e venduto in abbonamento, ma accanto esiste una Community Edition gratuita che offre soltanto gli strumenti manuali.
PortSwigger dichiara oltre 70.000 clienti, di cui 16.000 aziende. L’offerta comprende anche Burp Suite DAST, uno scanner automatico pensato per le grandi organizzazioni.
A cosa serve Burp Suite Professional
Il cuore del programma è un proxy di intercettazione. Il browser del tester, oppure il browser Chromium già configurato che Burp include, instrada il traffico attraverso lo strumento, e ogni richiesta HTTP o HTTPS e ogni messaggio WebSocket scambiato con l’applicazione finisce in una cronologia consultabile nel dettaglio. Da questa posizione intermedia emerge ciò che l’interfaccia del sito non mostra, come parametri nascosti, intestazioni, token di sessione e chiamate alle API eseguite in background dal codice JavaScript.
Intorno al proxy ruotano moduli specializzati. Repeater reinvia a mano una richiesta, Decoder converte i dati da una codifica all’altra, Comparer affianca due risposte e Sequencer misura quanto siano davvero casuali i token generati dall’applicazione. L’edizione Professional aggiunge ciò che fa risparmiare ore in un incarico reale: Burp Scanner, che esplora il sito in autonomia e segnala le vulnerabilità web, la versione completa di Intruder per inviare in automatico molte varianti di una richiesta, Burp Collaborator per le falle che si manifestano fuori dalla risposta visibile, i file di progetto, la ricerca e un assistente chiamato Burp AI.
Anche la personalizzazione ha il suo spazio. Il BApp Store integrato raccoglie, secondo PortSwigger, più di 300 estensioni firmate da oltre 250 autori, mentre le funzioni Bambdas e BChecks consentono di scrivere piccoli filtri e controlli su misura. Burp Suite DAST usa lo stesso motore per scansioni pianificate o inserite in una pipeline di integrazione continua, nel cloud di PortSwigger o su server propri.
Rispetto agli altri programmi della nostra raccolta di software, Burp presidia un campo preciso, quello del traffico HTTP. MobSF esamina il codice delle app mobili e Frida strumenta un programma durante l’esecuzione, mentre Burp osserva il dialogo tra l’app e il suo server. Il progetto libero ZAP resta l’alternativa gratuita più nota.
Per chi è?
L’edizione Professional si rivolge ai penetration tester che lavorano su incarico, ai team di sicurezza applicativa che controllano i propri servizi prima del rilascio e ai ricercatori iscritti ai programmi di bug bounty. La Community Edition va bene per imparare e per lo sviluppatore che vuole capire cosa trasmette davvero la propria applicazione.
I limiti vanno detti con chiarezza. Burp si occupa soltanto di web e API, quindi non sostituisce uno scanner di porte come Masscan né uno strumento di verifica delle password come Hashcat. Per sfruttarlo serve una buona conoscenza del protocollo HTTP e delle principali classi di vulnerabilità, altrimenti i risultati dello scanner restano difficili da leggere. Quanto all’hardware, la documentazione indica almeno 4 GB di memoria e ne consiglia 16, e un singolo file di progetto può superare le decine di gigabyte.
Scaricare Burp Suite Professional in sicurezza
Gli installer si trovano nella pagina delle versioni di PortSwigger, che separa le versioni stabili da quelle Early Adopter, più recenti. Ci sono installer per Windows, macOS e Linux, sia x64 sia ARM, oltre a un file JAR multipiattaforma, tutti con impronte MD5 e SHA-256. La Community Edition si scarica liberamente. L’edizione Professional richiede una licenza, che PortSwigger indica a 499 dollari per utente per un anno, con impegni possibili fino a dieci anni. Una prova completa, senza carta di credito, viene concessa su richiesta a chi usa un indirizzo email aziendale.
Un’edizione Professional regalata su un forum o su un portale di download non può che essere una copia pirata. Dato che lo strumento si trova nel mezzo di tutto il traffico di un incarico, comprese credenziali, cookie di sessione e dati dei clienti, è proprio il posto in cui un eseguibile manomesso da uno sconosciuto fa più danni.
Domande frequenti
Burp Suite è gratuito?
La Community Edition sì, con gli strumenti manuali e una versione dimostrativa di Intruder. La Professional costa 499 dollari per utente all’anno secondo il sito di PortSwigger, ed è disponibile una prova gratuita prima dell’acquisto.
Che cosa aggiunge la Professional rispetto alla Community?
Aggiunge lo scanner di vulnerabilità, l’esplorazione automatica del sito, Intruder senza limitazioni, Burp Collaborator, il salvataggio dei progetti e la ricerca nella cronologia. Gli abbonati accedono anche alle estensioni riservate e all’assistente Burp AI.
Si può usare Burp su qualsiasi sito?
No. Il contratto di licenza di PortSwigger vieta di analizzare siti o sistemi senza l’autorizzazione del proprietario. Un penetration test si svolge sulla base di un accordo scritto che stabilisce perimetro e tempi.
