Cómo capturar el tráfico de un iPhone con Burp Suite

Burp Suite es una plataforma integrada de pruebas de penetración para pruebas de seguridad de aplicaciones. Puede capturar y depurar tráfico HTTPS, pero no ofrece una app móvil. Para capturar el tráfico HTTP/S de un iPhone hay que configurar un proxy Wi-Fi en el iPhone y reenviar las peticiones a Burp Suite. Cada captura obliga a volver a configurar el proxy Wi-Fi, y eso resulta incómodo. Además, las apps desarrolladas con frameworks como Flutter no usan el proxy del sistema, así que su tráfico tampoco se captura.

ApiCatcher es una herramienta de captura y depuración HTTPS. Su app móvil resuelve lo incómodo de capturar en el iPhone: captura a través de una VPN, sin configurar un proxy Wi-Fi, y también puede capturar el tráfico de las apps de Flutter.

ApiCatcher ha publicado en código abierto su protocolo de sincronización remota en tiempo real. Así se puede implementar un receptor que reciba el tráfico HTTP/S que captura en directo. La extensión de Burp Suite que ofrece ApiCatcher es precisamente un receptor de este protocolo: sincroniza en tiempo real con Burp Suite el tráfico HTTP/S capturado por ApiCatcher.

Basta con descargar la extensión ApiCatcher for Burp Suite en GitHub, instalarla en Burp Suite, abrir el panel de la extensión e iniciar la escucha. Después, abre ApiCatcher en el iPhone y escanea el código QR que muestra la página de la extensión para activar la sincronización en tiempo real. Los paquetes capturados en el iPhone aparecen en el Sitemap de Burp Suite, o en Proxy History.

La instalación y el uso se explican en este tutorial: https://apicatcher.net/es/burpsuite-extension