# Burp Repeater e Intruder

> Las dos pestañas de trabajo de Burp Suite: **Repeater** para probar a mano, **Intruder** para automatizar.

## Repeater (manual, tu favorito en OSCP)
- `Ctrl+R` envía una petición capturada aquí.
- Editas cualquier parte (param, header, cookie, body) y **Send** → ves la respuesta al instante.
- Ideal para iterar payloads de SQL injection, Command injection, SSTI, Directory traversal sin recargar el navegador.
- Flujo: marca la petición sospechosa → `Ctrl+R` → prueba `'`, luego `' OR 1=1-- -`, observa el cambio.

## Intruder (automatizar payloads)
- `Ctrl+I` envía aquí. Marcas **posiciones** con `Add §` (Burp pone `§payload§`).
- Tipos de ataque:
```
Sniper        → 1 lista, 1 posición a la vez   (fuzzing de un parámetro)
Battering ram → 1 lista, misma en todas las posiciones
Pitchfork     → N listas en paralelo (user[1]+pass[1], user[2]+pass[2]...)
Cluster bomb  → todas las combinaciones (user × pass) → fuerza bruta de login
```
- **Community va ralentizado** (throttle). Para fuerza bruta seria de login usa **hydra**; para fuzzing de rutas/params usa **ffuf** → Content discovery.

## Cuándo cada uno
- ¿Una petición, muchas variantes a ojo? → **Repeater**.
- ¿Misma petición, cientos de payloads? → **Intruder** (o ffuf/hydra si Community se queda corto).

Relacionado: Burp Suite · Authentication attacks · OSCP MOC