5 herramientas imprescindibles para las pruebas de penetración de aplicaciones web

Un conjunto de herramientas decentes es esencial para ser eficiente en cualquier cosa. Por lo general, las herramientas son limitadas y tienen una función y un uso bien definidos. Pero cuando se trata de herramientas de software, los números son grandes y los límites de los dominios de uso disminuyen. Un novato puede confundirse fácilmente con todas las opciones disponibles y terminar con herramientas que no son totalmente compatibles con el propósito. Una guía que indexe las herramientas con su uso previsto y una visión profunda de las recomendaciones para diferentes niveles de experiencia puede ser muy útil.
Cuando se trata de pruebas de penetración de aplicaciones web o piratería de aplicaciones web, los requisitos esenciales son pequeños a pesar de la gran cantidad de herramientas disponibles. Además, existen herramientas que son muy conocidas por su facilidad de uso y son populares y fáciles de usar hasta el punto de que todos pueden usarlas sin tener la opinión de expertos. Este artículo enumera los tipos de herramientas que se requieren para la aplicación web pentest con herramientas de uso popular de cada tipo.

1. Proxy interceptor:

Un proxy interceptor se encuentra entre su navegador web/cliente y el servidor web. El » cliente » aquí significa aplicaciones que se comunican a través de la web además de los navegadores. El cliente transfiere sus requests al Proxy interceptor, que luego las reenvía al servidor web. Con un proxy de interceptación, puede ver y modificar la solicitud y la respuesta mientras están en tránsito. También puede decidir si reenviar el paquete o descartarlo. Algunos de los proxies interceptores famosos son:

• Violinista
• Proxy de Paros
• Proxy burp de BurpSuite
• Proxy OWASP ZAP

2. fuzzer:

Fuzzer es una herramienta que se utiliza para probar puntos de entrada de fuerza bruta. Un fuzzer toma un segmento de solicitud como entrada y ejecuta un conjunto de valores (llamados cargas útiles), sustituyendo cada carga útil una por una con el segmento seleccionado, enviando la solicitud y mostrando la respuesta. La lista de carga útil puede ser un archivo, un conjunto de valores ingresados ​​manualmente, un valor único o un mecanismo de fuerza bruta con parámetros predefinidos.

Los fuzzers se utilizan para:

• Inicios de sesión débiles de fuerza bruta
• Encontrar/confirmar XSS ciego
• Encontrar/confirmar inyección SQL ciega
• Encontrar/confirmar vulnerabilidades IDOR.

Algunos fuzzers populares son:

• fuzzer OWASP ZAP
• Burp Intruso de BurpSuite
• wfuzz

3. Araña web/rastreador:

Una araña web o rastreador explora una aplicación web a través de hipervínculos y otro contenido en la respuesta para descubrir nuevos puntos finales. Estos puntos finales pueden estar destinados a ocultarse casi sin medidas de seguridad. Descubrir una gran cantidad de puntos finales ayuda a aumentar la superficie de ataque. También ayuda a encontrar endpoints dejados de lado, menos seguros y antiguos que son fáciles de explotar. Existen muchas técnicas manuales para encontrar puntos finales, como ver el mapa del sitio o el archivo sitemap.xml , ver el archivo robots.txtarchivo, utilizando motores de búsqueda, etc. Los métodos automatizados intentan encontrar componentes conectados (puntos finales a los que se hace referencia desde otros puntos finales que ya están descubiertos) y combinan los resultados con los resultados del descubrimiento automatizado realizado mediante el uso de técnicas manuales. Las herramientas populares de spidering son:

• Burp Araña de BurpSuite
• Pista HT
• raspado
• Araña web de OWASP ZAP

4. Solicitud de repetidor:

Un repetidor de requests le permite sondear cambios en respuesta a cambios en ciertos parámetros de una solicitud. La tarea es la misma que con un fuzzer pero con un repetidor las cosas son manuales. El repetidor se utiliza para:

• Construcción de carga útil para XSS y ataques de inyección.
• Comprobación de la presencia de CSRF.
• Comprobación de la validación del lado del servidor de los datos proporcionados por el usuario.
• Comprender cómo el servidor procesa una entrada ligeramente malformada o una anomalía en el patrón de entrada esperado.

5. Analizador de entropía:

Esta herramienta se utiliza para analizar la entropía o la aleatoriedad de los tokens generados por el código de un servidor web. Estos tokens se utilizan generalmente para la autenticación en operaciones confidenciales, las cookies y los tokens anti-csrf son ejemplos de dichos tokens. Idealmente, estos tokens deben generarse de manera completamente aleatoria para que la probabilidad de aparición de cada posible personaje en una posición se distribuya uniformemente. Esto debe lograrse tanto a nivel de bits como de caracteres. Un analizador de entropía comprueba si esta hipótesis es cierta. Funciona así: inicialmente, se supone que las fichas son aleatorias. Luego, los tokens se prueban en ciertos parámetros para ciertas características. Un término nivel de significación se define como un valor de probabilidad de que la ficha muestre una característica por debajo de la cual se rechazará la hipótesis de que la ficha es aleatoria.