---
title: Burp Suite
description: "Le workflow d'interception web : Proxy, Repeater, Intruder, extensions et raccourcis."
category: web
kind: tool
tags: [proxy, repeater, intruder, extensions]
level: basic
updated: 2026-11-03
order: 4
aliases: ["burp", "portswigger"]
---

## Raccourcis essentiels

| Raccourci | Action |
| --- | --- |
| `Ctrl+R` | Envoyer vers Repeater |
| `Ctrl+I` | Envoyer vers Intruder |
| `Ctrl+Shift+B` | Envoyer vers Comparer |
| `Ctrl+Shift+D` | Envoyer vers Decoder |
| `Ctrl+F` | Chercher dans l'historique |
| `Ctrl+Space` | Autocomplétion dans Repeater |
| `Ctrl+U` | Encoder URL la sélection |

## Proxy et scope

```text
Proxy → Options → Intercept : activer/désactiver avec Ctrl+T
Target → Scope : ajouter target.test et exclure les domaines tiers
Proxy → HTTP history : filtrer par scope, méthode, statut
```

- Installe le certificat CA (`http://burp/cert`) dans le navigateur ou l'appareil.
- Utilise un profil navigateur dédié : les cookies d'entreprise n'ont pas leur place dans le proxy.
- Active `Proxy → Options → Match and Replace` pour injecter un header sur toutes les requêtes.
- `TLS pass through` pour les domaines qui cassent le proxy.

## Repeater

```text
1. Sélectionner une requête dans l'historique
2. Ctrl+R
3. Modifier et Send (Ctrl+Enter)
4. Comparer les réponses ou les envoyer dans Comparer
```

Astuces : clic droit → `Change request method`, `Paste URL as request`, `Request in browser`. Utilise les onglets pour garder plusieurs variantes d'un même endpoint.

## Intruder

Les quatre modes d'attaque :

| Mode | Usage |
| --- | --- |
| Sniper | Une position à la fois |
| Battering ram | Même valeur partout |
| Pitchfork | Une wordlist par position, en parallèle |
| Cluster bomb | Toutes les combinaisons |

```text
Positions → Clear § → sélectionner les valeurs à fuzzer → Add §
Payloads → Simple list / Runtime file / Recursive grep
Options → Grep - Match : "admin", "error", "token"
```

> [!TIP]
> Sur les apps modernes, Intruder est souvent trop lent. Pour du fuzzing massif, utilise ffuf ou l'extension Turbo Intruder (scripts Python, HTTP/2, race conditions).

## Extensions indispensables

- **Autorize** : rejoue les requêtes avec un autre rôle pour détecter les contrôles d'accès manquants.
- **Param Miner** : découvre des paramètres et headers cachés (cache poisoning, debug).
- **Turbo Intruder** : attaques rapides, single-packet, race conditions.
- **JWT Editor** : inspecte et forge des JWT.
- **Logger++** : historique avancé et filtrable.
- **Hackvertor** : encodages et transformations à la volée.

## Comparer et Decoder

```text
Comparer : Ctrl+Shift+B, mots/octets, utile pour les réponses proches
Decoder : URL, HTML, Base64, hex, gzip, JWT ; "Send to Decoder" depuis n'importe où
```

> [!WARNING]
> Le Scanner (Pro) et certaines extensions envoient beaucoup de requêtes. Vérifie le scope, règle la throttle, et exclus les endpoints destructifs (`/delete`, `/logout`, `/admin/reset`) avant de lancer une attaque automatisée.