NT-2026.09.02 DOSSIÊ PENTEST
BURP SUITE FOR PENTESTER: REPEATER
Guia prático do Burp Suite Repeater: requisições, respostas, histórico, métodos HTTP, redirecionamentos, busca e exportação XML em laboratório autorizado.
O Repeater e o espaco do Burp Suite para reenviar uma requisicao HTTP, alterar seus componentes e observar a resposta em tempo real. Ele permite testar uma hipotese sem repetir toda a navegacao no navegador e sem perder a requisicao original capturada pelo Proxy.
Use o Burp Suite somente em aplicacoes proprias, laboratorios, CTFs ou escopos com autorizacao explicita.
O que e o Burp Repeater?
O atalho Ctrl+R (ou o menu de contexto) copia a requisição interceptada para uma aba do Repeater sem soltar o intercept. A partir daí o browser não precisa repetir o clique.
O Repeater recebe uma mensagem HTTP, mantem uma copia editavel e mostra Request e Response. O botao Send envia a versao atual ao alvo configurado e atualiza a resposta, enquanto a captura original continua preservada no historico do Proxy.
No Proxy, selecione uma requisicao autorizada e use Send to Repeater (atalho Ctrl + R). No Repeater, edite a mensagem e pressione Send. O Repeater nao e um scanner automatico: e uma ferramenta de controle fino para validar comportamento.
Renomeando abas
Cada envio pode criar uma aba numerada. Clique duas vezes no titulo e use nomes como login-sem-csrf, perfil-id-42 ou redirect-controlado para manter o contexto.
Request e Response
Edite o request à esquerda, clique Send e leia o status/corpo à direita. Esse ciclo é o núcleo do Repeater: um request, uma resposta, histórico da aba.
A coluna Request contem metodo, caminho, cabecalhos e corpo enviados. A coluna Response mostra status, cabecalhos, tamanho e corpo retornados. Compare as duas versoes apos cada mudanca.
GET /lab/item?id=42 HTTP/1.1
Host: lab.example
Accept: */*
HTTP/1.1 200 OK
Content-Type: application/json
{"id":42,"name":"item de laboratorio"}Change Request Method: GET, POST e outros verbos
Trocar o verbo reescreve a linha de request. Confira Content-Length e body: um GET gerado a partir de POST pode perder parâmetros. Em seguida, histórico e exportação XML.
No menu de contexto, use Change request method. O Burp converte o verbo e pode mover parametros da URL para o corpo. Valide o Content-Type e o resultado no servidor. PUT, PATCH, DELETE e OPTIONS so devem ser usados quando fizerem parte do contrato da aplicacao.
GET /lab/search?q=burp HTTP/1.1
Host: lab.example
POST /lab/search HTTP/1.1
Host: lab.example
Content-Type: application/x-www-form-urlencoded
q=burpRequest History e Back / Forward
O Repeater mantem o historico de alteracoes e respostas. Back e Forward percorrem versoes anteriores e posteriores; a seta ao lado abre a lista para escolher uma entrada especifica.
Paste URL as request
Crie uma aba HTTP, clique com o botao direito na area vazia de Request e escolha Paste URL as request. O Burp monta a linha inicial e cabecalhos basicos; revise Host, protocolo, cookies e escopo antes de enviar.
URL Encode
URL-encode codifica a selecao. URL-encode as you type aplica a codificacao enquanto o texto e digitado. Confira o Request porque a aplicacao pode esperar +, percent-encoding ou JSON.
Redirecionamentos e resposta 302
Em Settings, escolha nunca seguir, seguir no mesmo site, somente dominios em escopo ou sempre seguir. Com Never follow redirections, uma resposta 302 Found exibe o cabecalho Location. Quando permitido, pressione Follow redirection para enviar a proxima etapa.
HTTP/1.1 302 Found
Location: /lab/next
Cache-Control: no-store
Search, Case Sensitive, Regex e Auto-scroll
Request e Response possuem busca propria. Use as setas para percorrer ocorrencias, marque Case Sensitive para diferenciar maiusculas, Regex para padroes e, quando disponivel, Auto-scroll para acompanhar a ocorrencia apos uma nova resposta.
Reopen Closed Tab
Se uma aba for fechada por engano, clique com o botao direito na faixa de abas e escolha Reopen Closed Tab para restaurar o estado recente.
Views: Side-by-Side, Top/Bottom e Tabs
Side-by-Side mostra os paineis lado a lado; Top/Bottom coloca Request acima de Response; Tabs separa cada area em uma aba. A escolha e visual e nao altera a requisicao.
Save Entire History e exportacao XML
Use o menu de contexto e selecione Save entire history. Salve como XML e, se necessario, codifique em Base64. O arquivo pode conter alvo, porta, cabecalhos, cookies e corpos completos; trate-o como evidencia sensivel e sanitize antes de compartilhar.
<item>
<host>lab.example</host>
<port>443</port>
<request>...</request>
<response>...</response>
</item>
Metodo de trabalho repetivel
- Capture uma requisicao autorizada e use Send to Repeater ou Ctrl + R.
- Renomeie a aba com a hipotese.
- Altere um componente por vez e compare Request e Response.
- Use historico, busca e redirecionamento para confirmar.
- Salve evidencia sanitizada e associe-a ao relatorio.
Conclusao
O Repeater concentra o ciclo de uma validacao web: formular hipotese, alterar, enviar, observar e comparar. Historico, metodos, codificacao, redirecionamentos, busca, views e exportacao tornam o teste reproduzivel e auditavel.
Use a ferramenta com escopo claro e trate todo historico como material sensivel. Referencia tecnica: Burp Suite for Pentester: Repeater, Hacking Articles.
