Cómo uso Burp AT para Automatizar Tareas de Testing Manual

En Bug Bounty y en (Pentesting también) hay una constante: Sabés qué deberías probar… pero hacerlo a mano es repetitivo, mecánico y consume tiempo. Por eso, en este artículo vamos a ver cómo automatizar tareas que son manuales.

Quitar un parámetro. Modificar un header. Reenviar el pedido HTTP. Comparar respuestas. Cambiar un valor. Ver si realmente valida server-side.

Podés hacerlo manualmente. De hecho,** ****deberías hacerlo**. Pero no siempre querés gastar tiempo en la parte más mecánica del proceso. Soy Burp Suite Ambassador y en este artículo comparto cómo estoy incorporando Burp AT a mi workflow de testing.

Explotando un CSRF Manualmente "****Automatizado"

Imaginemos un pedido HTTP que modifica estado (por ejemplo, una acción en checkout en un carrito de compras o una actualización de perfil). En vez de:

• Enviar el request al Reapeater
• Eliminar el token (Anti-CSRF)
• Ajustar el Content-Length
• Cambiar el Origin
• Intercambiar Tokens entre distintos usuarios
• Comparar manualmente responses
• Etc.

Podés hacer algo mucho más directo. Mandás el pedido HTTP a Repeater. Le das el request y el response original a Burp AT. Y escribís:

Intentá explotar una vulnerabilidad de CSRF en este endpoint

La IA va a:

• Remover el token
• Reenviar el pedido
• Comparar respuestas
• Detectar si la aplicación valida o no el token
• Probar escenarios alternativos
• Analizar si el comportamiento cambia
• Intercambiar tokens anti-CSRF
• Etc.

Si el servidor responde igual que en el flujo original, ya tenés una señal fuerte. Si además acepta datos manipulados, el hallazgo deja de ser teórico… Ahora faltaría validarlo a mano.

Lo importante no es que lo haga… sino que te ahorra.

El problema no suele ser "no saber qué probar". El problema es la fricción mental de probar todo y el tiempo que eso lleva.

Cada pequeño test manual consume:

• Atención
• Tiempo
• Energía
• Context switching -> especialmente desgastador

Burp AT reduce esa fricción. Te permite validar hipótesis rápido mientras vos haces otras cosas. Y eso cambia la dinámica del hunting. En vez de gastar 10 minutos en una prueba básica, la validás en segundos y pasás a lo estratégico.

Ejemplo:

Estaba seguro que había un CSRF en la aplicación que estaba analizando, pero no tenía tiempo para probarlo. Entonces se lo pedí a BURP AT:

En muy poco tiempo me lo resolvió. Entonces le pedí que mande el request vulnerable al Repeater para validar a mano (recomiendo hacer esto siempre).

Comándos Útiles

Podemos establecer un objetivo, con /goal ya qye permite continuar el trabajo durante varias respuestas hasta alcanzar el objetivo o encontrar un motivo para detenerse, como por ejemplo:

No reemplaza criterio técnico

Esto es clave. Si no entendés:

• Cómo funciona la validación server-side
• Qué implica SameSite en cookies
• Qué diferencia hay entre protección real y validación superficial
• Cómo interpretar diferencias sutiles en el response

La IA puede darte resultados que no sabes evaluar correctamente (AI Slop). Burp AT automatiza ejecución. No automatiza criterio.

Cómo usarlo bien (a mi criterio)

Pensalo como un asistente que ejecuta hipótesis por vos.

Tu trabajo sigue siendo:

1. Detectar funcionalidad sensible.
2. Formular hipótesis.
3. Pedirle que ejecute.
4. Analizar impacto real.
5. Convertirlo en hallazgo explotable.

El ejemplo con CSRF es solo eso: un ejemplo. La utilidad real está en cualquier escenario donde normalmente dirías:

"Bueno, ahora voy a probar lo mismo pero sin este parámetro…"

En vez de hacerlo manualmente, se lo delegás a Burp AT.

Conclusión

Burp AT no es magia. Aún tenemos que guiar a la AI en el proceso de descubrimiento y explotación, pero por suerte, elimina la parte repetitiva de las pruebas manuales. Y cuando estás cazando bugs, eso significa más tiempo pensando como atacante… y menos tiempo editando pedidos HTTP.

Para mí, el valor de Burp AT está en integrar la IA al workflow que ya uso. Puede aprovechar el contexto del proyecto y ejecutar pruebas con las herramientas de Burp, dejando los pedidos HTTP y sus respuestas disponibles para revisar. Eso me permite delegar tareas repetitivas, inspeccionar la evidencia y seguir investigando dentro del mismo entorno, manteniendo el control sobre las pruebas.

Mi consejo para hunters nuevos: Aprendan primero a hacerlo de forma manual. Nunca dejen de entender el problema de raíz, de lo contrario, pueden caer en reportes basura (AI Slop). Cuando ya sepan qué están buscando, usen la AI para acelerar. Ahí es donde realmente suma, y Burp AT integra esa AI dentro de nuestra herramienta preferida ❤️.

Querés saber más sobre Burp AT? Te dejo la documentación oficial de PortSwigger, con guías para empezar, configurar sus permisos y aprovechar sus herramientas y skills.