En ésta segunda entrega de las cápsulas dedicadas a ZAP nos enfocaremos en sus funcionalidades de intercepción por proxy. Como ya vimos en la cápsula anterior, ZAP es una tool de pentesting de web applications y como tal tiene la funcionalidad de ser utilizado como web proxy entre otras tantas que ya iremos viendo. Antes de que levanten ZAP, vamos a tener que hacer unas configuraciones en nuestro browser, lo haremos en Firefox, pero pueden utilizar su browser favorito, en todos es bastante similar de hacer.

Hoy toca abordar lo que es ataques de Cross Site Scripting los XSS cuidado con confundir con CSS que muchas veces escuche y leí que abrevian como CSS, este tipo de ataque es conocido desde el 2002 y a pesar del tiempo que paso y hasta la fecha se sigue identificando estas debilidades, este ataque tiene teniendo como objetivo el cliente tratando de realizar los ataques a el por medio de código JavaScript engañando al usuario redirigiendo, obteniendo información del mismo variables de sesión el ámbito para un ataque de estos es como limite la imaginación, tanto que tenemos para considerar una muestra el gusano Samy que infecto por medio de MySpace les recomiendo que revisen mas de el y vean como fue su foco de infección, teniendo esta información procederemos a describir estos dos puntos siendo este mas que todo informativo y como hacer uso de BurpSuite ya que para realizar estos ataques y explicar nos tomaría mucho tiempo

Iniciaremos una serie de tutoriales o cápsulas sobre una herramienta de análisis web que tiene una asombrosa versatilidad y características que nos pueden resultar de gran ayuda al momento de realizar una auditoría. La tool de la que hablaremos es Zed Attack Proxy (ZAP), un proyecto desarrollado por la comunidad de OWASP y cuyo lider de proyecto es Simon Bennetts. La url del proyecto es: OWASP Zed Attack Proxy Project

La entrada de hoy abordaremos el segundo punto de análisis de OWASP que es la Perdida de autenticación y Gestión de sesiones en el cual abordaremos los siguientes puntos: Validación de controles en el lado del Cliente - Validaciones JavaScript, Validaciones HTML - Identificación de datos no cifrados Debilidades en formulario de Login - Liberación de usuarios - Identificación de mensajes de Login - Fuerza bruta al Login Espero disfruten de la entrada como lo disfruto al momento de realizarla.

En la entrada anterior alguien pregunto si podríamos ampliar un ejemplo de fuzzing como se realiza, por lo tanto y evidentemente en la entrada de reconocimiento no explicamos ese proceso se me fue! paso a crear esta entrada pero teniendo en cuenta que este uso de fuzzing solo es viable si conocemos el CMS o es una página que cuenta con datos conocidos, ya que al ser un sitio desconocido o desarrollado a medida es poco probable el descubrimiento de esta manera es por ello que Discovery funciona de una mejor manera.

En esta entrada veremos el primer punto del TOP 10 OWASP, en el cual conoceremos que es un ataque de Inyección SQL. Ataques de Inyeccion SQL Bypass a login por medio de Sqli. Evitar filtros. Ataques de Inyeccion SQL Los ataque de inyección SQL son usados con el fin de obtener información sensible de una base de datos, por medio de peticiones o consultas SQL, por lo tanto una inyección SQL es la insercción de datos en campos de recepción de información que se infiere ser vulnerables para la ejecución de comandos SQL.

Antes de iniciar un proceso de Pentesting es necesario realizar el reconocimiento previo por lo tanto en una aplicación web se cumple esta primera etapa debido a que es necesario identificar lo que veremos a continuación Conociendo el Contenido _Lenguaje de desarrollo y _Características del servidor. Estructura del Sitio Web _Funcionalidad e _Identificación de variables. Análisis de Vulnerabilidades El ultimo punto es necesario realizar ya que nos permite comprender la lógica de negocio, si tiene manejo de sesión, la información es dinámica o simplemente es informativa, con ello identificamos vectores de ataque.