sudo apt install burpsuite -y<\/code>. Per usare la versione Professional su Kali devi acquistare una licenza su portswigger.net e inserirla all’avvio del programma.<\/p>\n\n\n\nBurp Suite intercetta automaticamente il traffico HTTPS?<\/h3>\n\n\n\n
S\u00ec, ma richiede l’importazione del certificato CA di Burp nel browser (descritto nel Step 3). Il browser integrato di Burp (Chromium 144.0.7559.97 nella versione 2026.1.2) accetta automaticamente il certificato CA, quindi per i test rapidi puoi usarlo direttamente senza configurazione aggiuntiva nel browser esterno.<\/p>\n\n\n\n
Qual \u00e8 la differenza principale tra Burp Scanner e OWASP ZAP?<\/h3>\n\n\n\n
Burp Scanner nella versione Professional \u00e8 generalmente considerato pi\u00f9 accurato nel trovare vulnerabilit\u00e0 complesse e produce meno falsi positivi rispetto a ZAP. OWASP ZAP \u00e8 gratuito, open source, con licenza Apache 2.0, e meglio integrato nei pipeline CI\/CD tramite Docker e API REST. Nel 2026 Burp ha funzioni AI pi\u00f9 mature. Per test professionali su contratto, Burp Professional \u00e8 la scelta prevalente; per automazione e DevSecOps, ZAP \u00e8 spesso preferito.<\/p>\n\n\n\n
Come si gestiscono applicazioni con autenticazione OAuth2 in Burp?<\/h3>\n\n\n\n
Burp gestisce OAuth2 tramite le Session Handling Rules e le Macro. Registri la sequenza di autenticazione (login, redirect, scambio token) come macro, poi configuri una regola di sessione che ripete questa macro prima di ogni richiesta di scansione. Burp Scanner rileva anche vulnerabilit\u00e0 specifiche dei flussi OAuth2, come token leakage tramite Referer header e state parameter mancante (CSRF su OAuth).<\/p>\n\n\n\n
Vale la pena pagare $475\/anno per Burp Professional?<\/h3>\n\n\n\n
Per chi lavora come penetration tester professionale su contratto, s\u00ec. Un singolo engagement di pentesting per un cliente medio copre facilmente il costo annuale della licenza. Per chi studia o usa Burp solo occasionalmente, la Community Edition combinata con i lab gratuiti di PortSwigger \u00e8 un’ottima alternativa senza costi. Dal 6 gennaio 2026 PortSwigger ha applicato un aggiornamento globale dei prezzi; verifica sempre il prezzo aggiornato nella tua valuta su portswigger.net prima di acquistare.<\/p>\n\n\n\n
Dove trovare lab gratuiti per praticare con Burp Suite in modo legale?<\/h3>\n\n\n\n
Le risorse principali sono: PortSwigger Web Security Academy (250+ lab gratuiti, la risorsa pi\u00f9 completa e strutturata), Hack The Box (lab con livelli progressivi, abbonamento a pagamento), TryHackMe (percorsi guidati adatti ai principianti), VulnHub (macchine virtuali vulnerabili da scaricare), DVWA e WebGoat per ambienti locali con Docker.<\/p>\n\n\n\n
Come si usa Burp Suite per testare le API REST?<\/h3>\n\n\n\n
Per testare API REST con Burp, configura il proxy e usa il client HTTP dell’applicazione (Postman, curl, o il frontend web) per generare traffico verso le API. Le richieste vengono intercettate nel Proxy e puoi inviarle al Repeater per testare manualmente parametri JSON, header di autenticazione (JWT, API key), e endpoint che non hanno un’interfaccia grafica. Il Scanner Professional analizza automaticamente anche le API REST se incluse nello scope.<\/p>\n","protected":false},"excerpt":{"rendered":"
Burp Suite \u00e8 lo strumento di penetration testing per applicazioni web pi\u00f9 usato al mondo: secondo Landbase, 1.283 aziende verificate lo utilizzano quotidianamente per identificare vulnerabilit\u00e0 prima che lo facciano\u2026<\/p>\n","protected":false},"author":2,"featured_media":304,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-303","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/posts\/303","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/comments?post=303"}],"version-history":[{"count":1,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/posts\/303\/revisions"}],"predecessor-version":[{"id":305,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/posts\/303\/revisions\/305"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/media\/304"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/media?parent=303"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/categories?post=303"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/it\/wp-json\/wp\/v2\/tags?post=303"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}