Vídeo en YouTube

El hacking web no es sencillo, requiere tener un conocimiento profundo de la aplicación que auditas y las vulnerabilidades que se pueden producir.

Creo que una habilidad importante para poder descubrir problemas, consiste en fijarse en los detalles, tener “olfato” cuando se analizan las peticiones y respuestas HTTP, además, tener conocimientos en desarrollo web en mi opinión es altamente recomendable.

A diferencia de otros contextos del pentesting, este es uno de los más complejos y da mejores resultados cuando se aplica un enfoque semiautomático, lo que significa que muy probablemente no te va a servir de nada lanzar herramientas sin saber muy bien qué es lo que hacen, hay que intervenir en el proceso y realizar las pruebas a mano. Ahora bien, esto no implica que tengas que hacer todo con CURL o cualquier cliente HTTP, existen algunas herramientas que son muy útiles y que si te quieres dedicar al pentesting web, te recomiendo dominar.

• Burp y ZAP

  Aunque funcionan por separado, los beneficios de integrar ambas herramientas en tu proceso de pentesting son innegables. Ambas permiten interceptar las peticiones HTTP por medio de un proxy y, a continuación, hacer lo que quieras con dichas peticiones, todo al vuelo o utilizando el historial de peticiones capturadas anteriormente. En ambas herramientas, destaca la cantidad de complementos y extensiones que facilitan ciertas labores de pentesting. Si bien ZAP es una herramienta opensource muy completa, si te dedicas al pentesting web profesional, es altamente recomendable tener una licencia de Burp Suite PRO

• Nuclei Framework

  Esta herramienta es perfecta para ejecutar pentesting semiautomático. Se basa en un modelo de plantillas, en donde indicas la forma en la que la herramienta debe ejecutar las peticiones y de qué manera se deben interpretar las respuestas. Con Nuclei, puedes usar las plantillas que ya han sido creadas por la comunidad o crear las tuyas, siempre empleando una sintaxis sencilla basada en ficheros YAML.

• Postman

  Es uno de los clientes HTTP más potentes que se encuentran disponibles actualmente. Cuenta con la posibilidad de crear colecciones de peticiones HTTP y definir características comunes a todas ellas. Es ideal para probar APIs Rest y levantar servidores locales (fake) para realizar pruebas con las colecciones.

• WPScan y JoomScan

  Si tienes que analizar un sitio web que tiene algún CMS, es posible que te interese utilizar alguna de estas herramientas, ya que, entre otras cosas, son capaces descubrir configuraciones inseguras o complementos vulnerables en WordPress y Joomla.

• Complementos en el navegador: Hack-Tools, Wappalyzer, FoxyProxy y DNSLytics

  El navegador siempre será una de las herramientas más usuales cuando haces pentesting web. No solamente por el hecho de que te permite explorar un sitio web, además, los navegadores modernos soportan cientos de extensiones que te aportan información sobre la página que estás analizando. Estas son solo algunas de las extensiones más interesantes para recolección de información y pentesting con Firefox y Chrome, pero hay muchas más, deja un comentario si quieres compartir alguna otra que tengas instalada.

• Scripts NSE de Nmap y Módulos auxiliares de Metasploit Framework

  Tanto Nmap como Metasploit Framework son utilidades habituales en pentesting en entornos de red, pero también cuentan con rutinas muy interesantes para descubrir características de un servidor web y las aplicaciones que se encuentran alojadas en él. En el caso de Nmap, viene por defecto con ciertos de scripts NSE, muchos de ellos orientados al mundo web y en el caso de MSF, existen varios módulos auxiliares que te permiten descubrir vulnerabilidades en servidores y aplicaciones web.

Estas las que más utilizo, no obstante, hay muchas otras que están disponibles y que son muy chulas. Deja un comentario indicando alguna otra herramienta que no está en esta lista y que consideras que debería estar.

---

Recuerda que puedes registrarte en la comunidad THW: https://comunidad.thehackerway.es/registro

En este sitio web recibirás anuncios sobre ofertas de trabajo y novedades del sector, además podrás participar en los foros y ganar premios por ello.
Puedes acceder a los cursos cortos y artículos con una suscripción: https://comunidad.thehackerway.es/suscripcion
Los contenidos a los que tendrás acceso te serán útiles para comprender por qué no consigues trabajo en el sector o mejoras profesionalmente y, por supuesto, proponerte ideas para mejorar esa situación.

Por otro lado, también tienes todas las formaciones y packs de The Hacker Way. Las mejores formaciones en castellano que podrás encontrar. Y no lo digo yo, puedes ver las reseñas en el sitio web. Más de 500 alumnos han aprovechado los cursos online en THW y tú también podrías ser uno de ellos: https://thehackerway.es/cursos

¡Un saludo y Happy Hack!
Adastra.