En este artículo hablaré sobre mi experiencia con la certificación Burp Suite Certified Practitioner (BSCP), un examen de corta duración pero de alta exigencia. También daré consejos para quienes se estén preparando el examen.
¿Qué es Burp Suite Certified Practitioner (BSCP)?
La certificación Burp Suite Certified Practitioner (BSCP) de PortSwigger es en mi opinión la mejor certificación de pentesting web calidad-precio, con una academia muy completa y gratuita donde se explotan más de 30 vulnerabilidades web, con contenidos actualizados y laboratorios con soluciones oficiales y de la comunidad. El examen tiene un costo de 89€ más impuestos (107€) y para hacer esta examen necesitas una subscripción profesional de Burp Suite
Ficha Técnica del Examen
| Parámetro | Detalle |
|---|---|
| Emisor | PortSwigger |
| Duración | 4 horas |
| Estructura | 2 aplicaciones web independientes (3 fases de explotación cada una) |
| Enfoque | 100% Práctico (Black box) |
| Proctored | Sí (Supervisado vía cámara, micrófono y pantalla compartida) |
¿En qué consiste el examen?
El examen consta de 4 horas en las que debes comprometer dos aplicaciones web activas. Para dar por aprobada cada aplicación, debes completar obligatoriamente tres fases en este orden:
- Fase 1: Acceso Inicial - Acceder como un usuario autenticado con privilegios normales.
- Fase 2: Escalada de Privilegios - Escalar privilegios a la cuenta del usuario administrador.
- Fase 3: Exfiltración - Leer el contenido del archivo de sistema protegido
en
/home/carlos/secretdesde la cuenta de administrador.
Para aprobar el examen completo, se debe completar la fase 3 en ambas aplicaciones dentro de las 4 horas de tiempo límite.
Preparación y Metodología
Para preparar esta certificación seguí los siguientes pasos:
- PortSwigger Web Security Academy: Completé todos los laboratorios
catalogados como "Apprentice" y "Practitioner". Son unos 231 laboratorios en total. En un
mes dedicando
unas 2-4 horas diarias los pude completar. Los hice mirando las soluciones, principalmente
porque
no sabía
prácticamente nada sobre muchas de las vulnerabilidades. Hice solamente 1 pasada, hay gente
que recomienda hacerlos 2 veces, pero yo al completar
todos los laboratorios en poco tiempo tenía todo bastante fresco.
A la vez que resolvía los laboratorios, hacía write ups con capturas de pantalla, payloads y explicación de cada laboratorio para poder resolverlos de nuevo solamente leyendo estos apuntes. Es importante desde un principio organizarlo bien porque son muchos laboratorios y luego en el examen tiene que ser fácil de encontrar y leer cada sección y laboratorio. Por este motivo tuve que rehacer entero el primer módulo de la academia (SQLi). Recomiendo Obsidian para tomar apuntes. Notion aunque no lo he probado seguro que también funciona igual de bien.
Hay módulos bastante extensos y pesados como HTTP Request Smuggling que tuve que repetir varias veces, primero porque no entendía bien los conceptos a la primera y segundo porque en este módulo especialmente funcionan bastante mal los laboratorios para resolverlos. - Mystery Labs (Laboratorios Aleatorios): La Web Security Academy ofrece un
modo aleatorio. Es importante para acostumbrarte a no saber qué vulnerabilidad
buscar de antemano. Recomiendo hacer al menos unos 50-100 laboratorios en este modo una vez
acabada la academia. Yo hice
unos 100 laboratorios. Creo que fueron demasiados, pero luego en el examen identificaba
con mucha facilidad la vulnerabilidad y seguía mi metodología de ataque con mucha soltura.
Cuando empecé a hacerlos, no apuntaba que laboratorios me salían, pero empecé a apuntar que
vulnerabilidad trataba y que laboratorio era especificamente.
Al principio no vas a tener ni idea por donde empezar a buscar, ni que vulnerabilidad tratar, pero poco a poco irás identificando patrones y te será más fácil. Los primeros laboratorios lo normal es revelar la pista y también que laboratorio es en específico. Intenta no revelar la pista hasta que hayas probado a resolverlo por tu cuenta al menos 5 minutos. Para poder presentarte al examen es recomendable haber resuelto unos 10 laboratorios seguidos sin revelar ninguna pista. - Exámenes de Simulación (Practice Exams): PortSwigger ofrece simulaciones de examen reales. Son idénticas en estructura al examen real y sirven para familiarizarte con el entorno. Hay dos examenes pero son prácticamente lo mismo, con hacer el primero es más que suficiente.
El Proctored
Consiste en una verificación de identidad con DNI u otro documento identificativo, vigilancia contínua durante todo el examen y grabación del entorno, tanto de cámara, micrófono y pantallas para evitar trampas. Es obligatorio tener cámara y micrófono para el examen y mantenerlos encendidos durante todo el tiempo. El proctored es una pestaña de Chrome que no consume muchos recursos y no afecta al funcionamiento de Burp Suite ni a tu PC.
Consejos y Claves para el examen
Si estás preparándote para el examen, aquí tienes mis recomendaciones más importantes:
- Automatización: Familiarízate con herramientas de Burp como Intruder y Collaborator. El examen te exige velocidad, automatizar la búsqueda de parámetros y payloads ahorra mucho tiempo. Usar el Scanner es esencial. La academia tiene un módulo específico de Scanner, no te lo saltes. Tambien es crucial saber adaptar payloads para poder exfiltrar datos o robar cookies (CSRF, XSS, OS Command Injection, XXE, Insecure Deserialization, SQLi, etc.). Saber ofuscar los payloads es básico para el examen.
- Cheatsheets y Extensiones: Además de tener tus propios apuntes, recomiendo mucho los apuntes de "botesjuan" y "DingyShark", disponibles en sus respectivos GitHubs. Tambien en la misma página de Portswigger tienes cheatsheets de SQLi y XSS, pero también en esta propia Web en la sección de Tools hay muchos payloads. Las extensiones indispensables son Param Miner, JWT Editor y HTTP Smuggler.
- Aprende de otra gente: A mi me ayudó mucho los videos de Youtube de Kr4k3n. Tiene videos explicando la certificación, simulando el examen, resolviendo laboratorios misteriosos y explicando el HTTP Smuggling. Desarrollé mi metodología de ataque basándome en sus videos.
- Mantén la calma: Si te atascas en una aplicación por más de 30 minutos, cambia a la otra. A veces lo más evidente es la solución. Puedes resolver las dos aplicaciones a la vez, como fue mi caso.
¿Merece la pena?
Rotundamente sí. Esta certificación supera con creces a las de la competencia. Por poco más de
100 €,
tienes acceso a una de las mejores plataformas de aprendizaje (totalmente gratuita) y aprendes
de
una manera muy práctica. Hay infinidad de contenido en YouTube sobre sus laboratorios, los
actualizan
constantemente, se realiza con Burp Suite Professional (una de las herramientas líderes en
pentesting web)
y PortSwigger es un referente absoluto en este sector.
Su competencia directa serían certificaciones de INE como eWPT o eWPTX, que son más caras,
ofrecen
menos contenido y tienen peor calidad. También consideré la CWES de Hack The Box, que es muy
similar,
pero la BSCP destaca al ser un examen Proctored, lo que le aporta un valor añadido sobre todo a
futuro.
El punto débil que le vi a la CWES es que, de cara a un reclutador, no tendrá el mismo peso que
la de
PortSwigger, especialmente hoy en día con el problema de certificaciones de hacking resueltas
por IA. En la BSCP no puedes usar ninguna IA para que te resuelva el examen,
además tienes que enviar el proyecto generado por Burp Suite para comprobar que todo está hecho
desde su herramienta.
Siguiendo esta preparación pude terminar el examen en 1:20 horas y aprobar a la primera
¡Mucha suerte con tu preparación!
In this article, I will talk about my experience with the Burp Suite Certified Practitioner (BSCP) certification, a short but highly demanding exam.
What is Burp Suite Certified Practitioner (BSCP)?
The Burp Suite Certified Practitioner (BSCP) certification by PortSwigger is, in my opinion, the best web pentesting certification in terms of value for money. It comes with a very comprehensive and free academy where more than 30 web vulnerabilities are exploited, featuring updated content and labs with official and community solutions. The exam costs €89 plus taxes (€107) and to take this exam you need a Burp Suite Professional subscription.
Exam Specifications
| Parameter | Detail |
|---|---|
| Issuer | PortSwigger |
| Duration | 4 hours |
| Structure | 2 independent web applications (3 exploitation phases each) |
| Approach | 100% Practical (Black box) |
| Proctoring | Yes (Supervised via webcam, microphone, and screen sharing) |
What does the exam consist of?
The exam consists of 4 hours in which you must compromise two active web applications. To successfully pass each application, you must complete three phases in this specific order:
- Phase 1: Initial Access - Gain access as an authenticated user with normal privileges.
- Phase 2: Privilege Escalation - Escalate privileges to the administrator account.
- Phase 3: Exfiltration - Read the contents of the protected system file at
/home/carlos/secretfrom the administrator account.
To pass the full exam, you must complete Phase 3 in both applications within the 4-hour limit.
Preparation and Methodology
To prepare for this certification, I completed the following steps:
- PortSwigger Web Security Academy: I completed all labs categorized as
"Apprentice" and "Practitioner". That's about 231 labs in total. By dedicating about 2-4
hours daily, I was able to complete them in a month. I did them using solutions, mainly
because I knew practically nothing about many of the vulnerabilities at the beginning. I did
only 1 pass; some people recommend more, but by completing all labs in a short time frame, I
had everything pretty fresh in my mind.
While solving the labs, I made write-ups with screenshots, payloads, and explanations of each lab so I could solve them by reading these notes. It is important to organize it well from the beginning because there are many labs, and during the exam, it has to be easy to find and read. For this reason, I had to rebuild the entire first module of the academy. I recommend Obsidian for taking notes. I haven't tried Notion, but I'm sure it works just as well.
There are quite long and heavy modules like HTTP Request Smuggling that I had to repeat several times, first because I did not understand the concepts well on the first try, and second because the labs in this module particularly can be somewhat glitchy to solve. - Mystery Labs (Random Labs): The Web Security Academy offers a random mode.
It
is important to get used to not knowing what vulnerability to look for beforehand. I
recommend doing at least 50-100 labs in this mode once you finish the academy. I did about
100 labs. It might have been too many, but during the exam, I could easily identify the
vulnerability and follow my attack methodology smoothly. When I started doing them, I didn't
write down which labs I got, but later I started listing which vulnerability they covered
and which specific lab it was.
At first, you won't have any idea where to start looking or what vulnerability to address, but gradually you will notice patterns and it will get easier. For the first few labs, it is normal to reveal the hint and find out which lab it is. But try not to reveal the hint until you have tried to solve it on your own for at least 5 minutes and tested everything you think it could be. To be ready for the exam, it is recommended to have solved about 10 labs in a row without revealing any hints. - Practice Exams: PortSwigger offers real exam simulations. They are identical in structure to the real exam and serve to familiarize you with the environment. There are two exams, but they are practically the same; doing the first one is more than enough.
The Proctoring
It consists of an identity verification with an ID card or other identification document, continuous surveillance throughout the entire exam, and recording of the environment, including webcam, microphone, and screens to prevent cheating. Having a webcam and microphone is mandatory for the exam, and they must remain on at all times. It runs in a Chrome tab that doesn't consume many resources and doesn't affect the performance of Burp Suite or your PC.
Tips and Keys for the Exam
If you are preparing for the exam, here are my most important recommendations:
- Automation: Familiarize yourself with Burp tools such as Intruder and Collaborator. The exam demands speed; automating the search for parameters and payloads saves a lot of time. Using the Scanner is essential. The academy has a specific Scanner module, do not skip it. It is also crucial to know how to adapt payloads to exfiltrate data or steal cookies (CSRF, XSS, OS Command Injection, XXE, Insecure Deserialization, SQLi, etc.). Knowing how to obfuscate payloads is fundamental for the exam.
- Cheatsheets and Extensions: In addition to having your own notes, I highly recommend 'botesjuan' and 'DingyShark' notes. Also, on PortSwigger's own page, you have SQLi and XSS cheatsheets, but also on this very website under the Tools section, there are many payloads. Indispensable extensions include Param Miner, JWT Editor, and HTTP Smuggler.
- Learn from others: Kr4k3n's YouTube videos helped me a lot. He has videos explaining the certification, simulating the exam, solving mystery labs, and explaining HTTP Request Smuggling. I developed my attack methodology based on his videos.
- Keep calm: If you get stuck on an application for more than 30 minutes, switch to the other. Sometimes the most obvious thing is the solution. You can solve both applications at the same time, as was my case.
Is it worth it?
Absolutely yes. This certification far surpasses the competition. For just over €100,
you get access to one of the best learning platforms (completely free) and learn
in a very practical way. There is endless content on YouTube about its labs, they are
constantly updated, the exam is taken using Burp Suite Professional (one of the leading
tools in web pentesting), and PortSwigger is an absolute benchmark in this industry.
Its direct competitors would be INE certifications like eWPT or eWPTX, which are more
expensive, offer less content, and have lower quality. I also considered the CWES from
Hack The Box, which is very similar, but the BSCP stands out by being a Proctored exam,
which adds extra value, especially in the long run.
The weak point I saw in the CWES is that, from a recruiter's perspective, it won't carry
the same weight as PortSwigger's, especially nowadays with the problem of hacking
certifications being solved by AI. In the BSCP, you cannot use any AI to solve the exam,
and you also have to submit the project generated by Burp Suite to verify that
everything was done using their tool.
Following this preparation, I was able to finish the exam in 1 hour and 20 minutes and pass on my first attempt.
Good luck with your preparation!
