Dado que algunos me habéis preguntado por las formaciones que se encuentran ahora mismo disponibles en TheHackerWay he decidido escribir este post con el objetivo de explicaros un poco en qué consisten y qué temas se tratan en cada una de ellas. En primer lugar, son formaciones orientadas al uso profesional de ZAP, así como al descubrimiento y explotación de vulnerabilidades en servicios web con arquitectura Rest, algo que como seguramente sabéis, es muy común en las aplicaciones web modernas que siguen modelos de construcción basados en microservicios. Se trata de formaciones que pretenden encontrar un equilibrio adecuado en relación calidad/precio y como siempre, completamente orientadas a explicación de conceptos básicos y avanzados desde la práctica. A continuación te explico cada uno de estos cursos para que te hagas una idea de lo que te vas a encontrar si decides adquirirlo.
Se trata de la primera formación orientada exclusivamente a la exploración de la herramienta. El dominio de ZAP no es una cuestión trivial ya que es necesario hacerse con el control de la interfaz y las opciones que incorpora (que son unas cuantas), por estos motivos en el curso de ZAP Básico se explican cosas como los modos de ejecución de la herramienta, configuración de políticas tanto para escaneos pasivos como activos, detalles de configuración particulares para asegurar de que se ejecuta con las mejores opciones dependiendo del entorno, ajustes en las pruebas para evitar falsos positivos y falsos negativos, exploración de los scripts disponibles en la herramienta, entre otras cuestiones que te permitirán moverte con soltura en ZAP. Al finalizar la formación te sentirás cómodo utilizando la herramienta en tus auditorías de seguridad web.
Este curso parte de la base que conoces la herramienta y sus detalles de configuración, es decir, que has aprendido todo lo necesario de ZAP que se encuentra disponible en el curso Básico. A continuación, en este curso avanzado se enseña el uso de las extensiones más potentes que se encuentran disponibles en el marketplace de ZAP, configuración avanzada de los contextos para soportar mecanismos de autenticación y autorización, configuración de las reglas de escaneo orientadas a reducir falsos positivos, uso de la API de ZAP para crear scripts en Python/Jython y ZEST al interior de la herramienta, integración de ZAP con otras herramientas de pentesting web habituales como Burp Proxy o PostMan, el uso de la API Rest de ZAP para la automátización de pruebas de pentesting utilizando la herramienta en modo “headless” y múltiples casos prácticos en los que se utiliza la herramienta para detección y explotación de diversas vulnerabilidades web. Se trata de un curso muy interesante y que en mi opinión, no lo encontraras en ningún otro sitio y menos en castellano. Aprenderás a utilizar ZAP desde una perspectiva profesional y le podrás sacar el máximo provecho a la herramienta. Como sabrás, ZAP es un proyecto insignia de la comunidad OWASP y por esa razón es prácticamente un “must” si te dedicas al pentesting web.
En este caso se trata de una formación en la que se describen los problemas a los que se enfrentan las aplicaciones web que exponen servicios web basados en arquitecturas Rest. En él, podrás ver el uso de las principales extensiones disponibles en Burp Professional para hacking en aplicaciones web y por supuesto, APIs Rest. Aprenderás sobre los problemas que se pueden presentar en este tipo de aplicaciones web y cómo descubrirlos. En este curso también podrás ver a ZAP en acción y los beneficios que aporta al hacking web contra aplicaciones de este tipo. Se trata de una formación que está totalmente orientada a la explotación de APIs Rest con vulnerabilidades, las cuales se encuentran cuidadosamente preparadas para enseñar malas prácticas de desarrollo y cómo aprovecharse de dichos defectos. Esta formación es una de las más prácticas que se encuentran disponibles ahora mismo y un porcentaje alto de las lecciones se basan en la resolución de casos prácticos en los que se enseña paso a paso, la detección y posterior explotación de vulnerabilidades.
Finalmente, si te interesan dos o más formaciones y quieres que te salga más económico, lo mejor es adquirir alguno de los pack de formaciones, en las que tendrás acceso a dos o tres cursos por un precio reducido. Ahora mismo, se encuentra disponible el “pack” para ZAP y el completo en el que se encuentran los tres cursos. Puedes ver las características del paquete ZAP en este enlace: Pack ZAP y las de el paquete completo en este otro: PACK Hacking web
Espero que te resulte interesante esta propuesta para aprender más sobre Hacking web utilizando herramientas tan potentes como ZAP y Burp Proxy Professional.
Un saludo y Happy Hack!
Adastra.