Metodología para Análisis de Aplicaciones Web

Esta metodología y hoja de trucos está destinada a ejecutar los pasos típicos realizados al realizar un Pentesting de aplicaciones web.

Cada una de las etapas está divida en subtareas y describe las herramientas recomendadas en cada nivel. Muchas de las ideas presentadas en esta hoja provienen de Tim "lanmaster53" Tomes, quien amablemente las compartió.

Estos pasos son iterativos para diferentes niveles de acceso en una aplicación y en muchos casos se hace uso intensivo de Burp Suite, que tiene una versión paga y otra comunitaria (más limitada).

Tabla de contenidos

• Information Gathering
  • Target Validation
    • Domain Registration
    • DNS Interrogation
    • Testing for Zone Transfers
  • OSINT Harvesting
• Mapping
  • Identify Technologies
    • Port Scanning, Service Fingerprinting, and OS Detection
  • Browser and Interception Proxy Setup
    • Firefox
      • Firefox Extensions
      • Configure Firefox for Burp
    • Burp Configuration
      • Burp Extensions
  • Manual Mapping
  • Automated Mapping
  • Post-Mapping Analysis
• Discovery
  • Transitioning from Mapping to Discovery
  • Content Discovery
    • Vulnerability Scanning
  • Forced Browsing
    • Testing for Alternative Content
  • Automated Discovery
  • Configuration
    • Default Configurations
    • Testing for Misconfigurations
  • Authentication
    • Fuzzing Logins
  • Session Management
    • Testing Session Tokens With Burp
  • Authorization
    • Testing Access Control
  • Data Validation Testing
    • SQL Injection
    • Cross-site Scripting (XSS)
    • XML Injection
      • XML External Entities (XXE)
    • Template Injection
    • OS Command Injection
    • Open Redirection
    • Local File Inclusion (LFI)
    • Remote File Inclusion (RFI)
  • Business Logic
  • Encryption Flaws
  • Denial-of-Service
  • Flash Applications
• Testing Web Services
  • Testing REST Web Services
  • Testing SOAP Web Services
• Exploitation
  • Exploitation Scenarios
  • Exploiting Cross-site Scripting
    • Browser Hyjacking
  • Exploiting SQL injection
    • Data Extraction
    • Offline Password Cracking
    • Authentication Bypass
  • Cross-site Request Forgery (CSRF)
• Closing

Fuente: Jdow