Antes de comenzar a ver la forma de realizar scripts en Zap, veremos de qué se trata Zest, ya que si no entendemos bien la base, es complicado construir hacia arriba. Zest, es un lenguaje de programación especializado en el scripting creado por el equipo de desarrolladores de seguridad de Mozilla orientada a tools de seguridad. Si querés investigar un poco más, acá está el sitio oficial: (Mozilla Projects Zest).

Nuevamente usaremos el discover y el crawler para identificar estas debilidades, conjuntamente con el fuzzer de ser necesario verán que estas ultimas entradas estamos explotando por decirlo así únicamente el uso de la herramienta y se va acoplando con las etapas anteriores de reconocimiento y descubrimiento valga la redundancia, por lo cual esta se apoya bastante a lo mismo, por lo tanto veremos algunas de las debilidades mas comunes relacionadas a este apartado.

El Forced Browse es un tipo de ataque para forzar la navegación dentro de un dominio con el fin de identificar recursos que no son accesibles desde una referencia (eso lo hace un crawling) pero aun están en algun directorio dentro del web server. Ya que tenemos claro el concepto, analicemos su puesta en marcha, veremos que bruteforcing sobre la navegación viene de la mano con la entrada anterior y el mecanismo es bastante similar.

Continuamos la serie de BurpSuite, veremos otro punto del TOP 10 Owasp el cual aborda las configuraciones de seguridad incorrecta, que son dadas por las malas practicas de los desarrolladores y los encargados de administración del server ya que muchas veces se considera lo siguiente: “Lo importante es que funcione como, no importa”. A lo que se criaron bueno a lo que se educarón solo algunos no generalizo. Entonces en este punto realizaremos la busqueda de ficheros olvidados, los cuales llegan a ser explotados con el fin de obtener posibles privilegios todo en base a consultas realizando el ya conocido fuzzing que vimos con anterioridad descubriendo directorios por medio del spider o en su defecto realizando un discover.

Zap, como ya hemos visto en las entradas anteriores, posee una gran cantidad de funcionalidades. En ésta entrada, veremos la forma de realizar un fuzzing sobre una aplicación web para identificar inyecciones de tipo sql. El fuzzing, es una técnica mediante la cual se puede comprobar la forma en la que responde, en éste caso una web application, ante el ingreso de datos aleatorios o secuenciales para para identificar directorios o archivos, detectar vulnerabilidades de inyección de código e incluso para realizar validaciones por fuerza bruta.

Continuando con las funcionalidades de la tool Zed Attack Proxy, que por cierto hace poquitos días se ha liberado la versión 2.4.1 y pueden actualizar con ctrl+u o “ayuda - comprobar actualizaciones” si es que al abrirlo no les ha ofrecido actualizar, vamos a ver en ésta entrada las características de spidering que presenta y sus diferencias. Un crawling o spidering es una herramienta, o en éste caso una funcionalidad de Zap, que sirve para identificar los enlaces existentes en un target, de ésta manera, nos podemos hacer una idea de la manera en la que está compuesta el sitio a analizar e identificar posibles directorios o archivos sensibles que nos pueden ser útiles a la hora de nuestra auditoría.

Zap, además de funcionar como proxy, también tiene la capacidad de servirnos de scanner. Posee dos modalidades de scanning, la pasiva y la activa, en ésta entrada profundizaremos en passive scanning. El escaneo pasivo sólo intercepta las respuestas del server y no es intrusivo. Sus reglas están disponible en : tools - options - passive scan Desde aquí podemos elegir las reglas a utilizar, editarlas, crear nuevas o eliminar las que no utilizamos.