Burp Suite Tutorial in Italiano: Guida Completa per il Web Pentesting (2026)

Burp Suite è lo strumento standard per il testing di sicurezza delle applicazioni web. Usato da penetration tester e bug bounty hunter in tutto il mondo, permette di intercettare, analizzare e modificare il traffico HTTP/HTTPS. Questa guida copre le funzionalità essenziali della versione Community.

Installazione e configurazione

Download e avvio

Scarica Burp Suite Community Edition da portswigger.net/burp/communitydownload. Disponibile per Windows, macOS e Linux. Su Kali Linux è preinstallato.

# Su Kali Linux, avvialo dal menu Applications o da terminale
burpsuite

Configurazione del proxy

Passo 1 — Configura il listener in Burp:

1. Vai su Proxy → Options
2. Assicurati che sia attivo un listener su 127.0.0.1:8080

Passo 2 — Configura il browser:

In Firefox:

1. Preferenze → Generale → Impostazioni di rete → Impostazioni...
2. Seleziona "Configurazione manuale del proxy"
3. HTTP Proxy: 127.0.0.1, Porta: 8080
4. Spunta "Usa questo proxy anche per HTTPS"

Passo 3 — Installa il certificato CA:

1. Con il proxy attivo, vai su http://burpsuite nel browser
2. Clicca su "CA Certificate" e scarica il file
3. Importalo nelle impostazioni certificati del browser come autorità attendibile

Le funzionalità principali

Proxy — Intercettazione del traffico

Il Proxy è il cuore di Burp. Intercetta ogni richiesta HTTP/HTTPS tra il browser e il server.

Proxy → Intercept → Intercept is ON

Quando navighi con Intercept attivo, ogni richiesta viene fermata finché non decidi cosa fare:

• Forward — lascia passare la richiesta
• Drop — blocca la richiesta
• Action → Send to Repeater / Intruder / Scanner

HTTP History

Visualizza tutto il traffico intercettato, anche quando Intercept è OFF. Fondamentale per analizzare retrospettivamente le richieste.

Proxy → HTTP history

Usa i filtri per trovare rapidamente endpoint interessanti per scope, metodo HTTP o codice di risposta.

Repeater — Test manuale

Il Repeater ti permette di inviare richieste modificate più volte e confrontare le risposte. Indispensabile per testare vulnerabilità.

Come si usa:

1. Cattura una richiesta in HTTP History
2. Tasto destro → "Send to Repeater"
3. Modifica i parametri nella scheda Repeater
4. Clicca "Send" e analizza la risposta

Esempio — Test SQL injection:

GET /prodotto?id=1' SLEEP(5)--  HTTP/1.1
Host: esempio.com

Se la risposta impiega 5 secondi, c'è una SQL injection blind.

Intruder — Attacchi automatizzati

L'Intruder automatizza richieste con payload variabili. Utile per:

• Brute force di login
• Enumerazione di parametri
• Fuzzing di input

Tipi di attacco:

• Sniper — un solo set di payload, una posizione alla volta
• Battering ram — stesso payload in tutte le posizioni contemporaneamente
• Pitchfork — payload multipli, uno per posizione
• Cluster bomb — tutte le combinazioni di payload

Nota: In Community Edition, l'Intruder è rallentato artificialmente. Per attacchi veloci usa Pro o strumenti alternativi come ffuf.

Scanner (solo Pro)

Nella versione Professional, lo Scanner identifica automaticamente vulnerabilità comuni come XSS, SQL injection, SSRF e vulnerabilità di business logic.

Target — Sitemap e scope

Target → Sitemap

Burp costruisce automaticamente una mappa del sito mentre navighi. Puoi:

• Aggiungere un dominio allo scope
• Filtrare le richieste fuori scope
• Vedere tutti gli endpoint scoperti

Workflow tipico per un web pentest

1. Definisci lo scope

Target → Scope → Add → Inserisci il dominio target

Attiva "Show only in-scope items" in HTTP History.

2. Mappatura dell'applicazione

Naviga manualmente l'intera applicazione con Intercept OFF. Burp registra tutto. Poi analizza la sitemap per capire la struttura.

3. Test delle vulnerabilità principali

SQL Injection:

GET /utente?id=1' OR '1'='1
GET /utente?id=1 UNION SELECT null,username,password FROM utenti--

XSS (Cross-Site Scripting):

nome=<script>alert(1)</script>
nome=<img src=x onerror=alert(1)>

IDOR (Insecure Direct Object Reference): Cambia l'ID nelle richieste:

GET /api/ordini/1234  → GET /api/ordini/1235
GET /api/utente/100   → GET /api/utente/101

4. Usa le BApp Extensions

Le estensioni ampliano le funzionalità di Burp:

Extender → BApp Store

Estensioni utili:

• Logger++ — logging avanzato delle richieste
• JWT Editor — analisi e modifica dei JWT
• Active Scan++ — test aggiuntivi per scanner
• Autorize — test automatizzato dei controlli di autorizzazione

Ambienti di pratica

PortSwigger mette a disposizione laboratori gratuiti alla pagina Web Security Academy (portswigger.net/web-security). È il modo migliore per imparare a usare Burp Suite in modo pratico.

Per approfondire le vulnerabilità che Burp ti aiuta a trovare, studia la nostra guida su XSS, SQL Injection e OWASP Top 10. Puoi anche seguire i corsi gratuiti CEH di Pentevo Academy.