Es mejor planificar y controlar cada URI (params o no) enviado al motor de exploración activa / pasiva.
El analizador de objetivos en las herramientas de participación (normalmente se selecciona en la pestaña Mapa del sitio de destino como "Analizar objetivo") es un gran lugar para seleccionar parámetros y luego "enviar a Intruder". Por lo general, puede personalizar sus estrategias de inyección de fallas en Intruder mediante la automatización de lo que se envía al Escáner, así como mediante el uso de la funcionalidad completa de Intruder. El primero se logra al personalizar cada punto de inserción por posición y seleccionando "Explorar activamente los puntos de inserción definidos" en el menú Intruso . Esto último se puede lograr utilizando la funcionalidad completa de Intruder con un conjunto estándar de listas de inyección de fallas, como el proyecto SecLists que se encuentra en Kali Linux.
Para responder a su pregunta completamente, es mejor entender la aplicación. A veces, los parámetros forman parte de la URI, como en una aplicación basada en RESTful o una que utiliza un paradigma controlador-acción-id. Obtenga más información sobre seguridad HTTP en el blog de Daniel Miessler. Por lo tanto, es importante mapear la funcionalidad de la aplicación en la pestaña Objetivo, entender los parámetros y la lógica antes de siquiera pasar al Analizador de objetivos, y seleccionar todas las posiciones apropiadas y probar cada punto de inserción con las cargas útiles y los análisis de respuesta correctos. A menudo, esto se hace mejor en el Burp Repeater, tal vez incluso junto con el navegador. Con demasiada frecuencia, los parámetros de applet, ActiveX, Ajax, Flash o Silverlight se omiten en el plan de prueba.