Esta guía, libro, ebook, recopilación como gusten llamarla, fue realizada con el fin de tener una referencia y guía para el trabajo con la herramienta OWASP ZAP, la cual estuvimos viendo en el blog, por un tiempo quisimos tanto mi persona Snifer, como Eric el autor de las entradas brindar todo el material en uno solo, para tenerlo a mano y hacer uso del mismo.  Esperamos que les agrade y sea de su gusto no se olviden si existe algún error o falla puedan notificarnos para mejorar, conforme vayamos mejorando, iremos actualizando el contenido hasta la presentación, ya en los próximos días saldra el de BurpSuite, y posterior a ello el de Pentesting con Kali, dar las gracias por todo a @BalderramaEric por animarse a escribir en este blog, que no es mas que un pedacito de internet, y bueno gracias a todos les dejo el link!

Hace unas semanas atrás estuve en la pelea de hacer funcionar debidamente BurpSuite con Android en ese trajín opte por bajar la imagen para Android, jugar con mi movil 2.3.6 el cual al finalizar no tenia resultado hasta que en la 3 noche de pelea, logre configurar y hacer funcionar debidamente dicha configuración quiero registrar en el blog ademas de compartir con los lectores del blog y dar por concluido con esta la serie de Burp Suite.

Este punto abordaremos sobre los plugins, la configuración, instalación para dar una mayor automatización y pruebas, veremos la configuración del entorno relacionado a las librerías Jython y JRuby. Los plugins pueden ser desarrollados en Python, Ruby y Java por lo cual si desean darle una mirada al desarrollo les recomiendo que lean y se interioricen con la documentación.  Conociendo los plugins e instalación Anteriormente dimos un pantallazo sobre los plugins como usarlos e instalarlos ahora veremos a mas detalle conociendo un poco mas, recordando un poco la instalación y donde dirigirnos.

Mas que ser esto una funcionalidad como tal a mi parece llegar a ser algo muy especifico para explicar con la herramienta debido a que viene totalmente de la mano del pentester saber identificar y analizar las re direcciones para ver que hace y para donde nos llevan, si estas son de la aplicación o cumplen alguna otra funcionalidad y como dice el título del post existen dos tipos de re direcciones las principales:

Nos encontramos ya en la última entrada sobre Zap, al menos por ahora, a lo largo de ésta cápsula veremos puntualmente la manera de manejar los reportes que nos permite exportar la tool. Generar un reporte. Una vez que terminamos de analizar el sitio, podemos ir a la pestaña ‘Reporte’ para elegir el tipo de reporte que queremos exportar. Los formatos más útiles son xml y html, ambos son personalizables y luego fácilmente se los puede convertir en pdf, como veremos en la siguiente práctica.

Queridos lectores, ésta será la anteúltima cápsula, como bien mencionó Snifer. Por lo tanto veremos algunos recursos pequeños pero sumamente útiles de Zap que nos han quedado pendientes pero que no son los lo suficientemente extensos como para dedicarles toda una cápsula. Ctrl+i: Mediante la combinación de éstas teclas, Zap abre una ventana desde la cual podemos elegir una lista de urls para poder realizar un análisis. También podemos encontrar la opción si vamos a la pestaña ‘Tools’ y seleccionamos ‘Import a file containing URLs’

Este punto que esta considerado el número 9 del Top 10 de OWASP debido a que al realizar la identificación de vulnerabilidades en los componentes es posible lograr desde un escalamiento de privilegios hasta una denegación de servicio según la necesidad este reconocimiento viene a darse comenzando por el CMS, identificación de tecnología de desarrollo y los componentes del servidor. Por lo tanto con BurpSuite es posible identificar dicha tecnología y valores mencionados con anterioridad para identificarlo nos dirigimos a las cabeceras, de la respuesta que nos brindan como se ve a continuación.