Se encuentra disponible la versión número 3 de la Guía de Testing OWASP.
Tabla de Contenido
El proyecto OWASP (Open Web Application Security Project) es una comunidad abierta de colaboración entre profesionales y expertos en la seguridad de aplicaciones web. Entre sus muchos proyectos se incluye la Guía de pruebas, un manual de referencia con vulnerabilidades, contramedidas y una completa metodología para la revisión y evaluación del estado de seguridad de nuestras aplicaciones.
Dejo entonces una corta definición sobre el contenido de esta Guía y algo del contenido temático de la misma:
El marco de trabajo descrito en este documento pretende alentar a las personas a evaluar y tomar una medida de la seguridad a través de todo el proceso de desarrollo. Así, pueden relacionar los costes de un software inseguro al impacto que tiene en su negocio, y de este modo gestionar decisiones de negocio apropiadas (recursos) para la gestión del riesgo.
<>El software inseguro tiene de por si sus consecuencias, pero las aplicaciones web inseguras, expuestas a millones de usuarios a través de Internet, representan una inquietud creciente. Incluso a día de hoy, la confianza de los clientes que usan la Web para realizar sus compras o cubrir sus necesidades de información está decreciendo, a medida que más y más aplicaciones web se ven expuestas a ataques. Esta introducción contempla los procesos involucrados en el testing de aplicaciones web:
- El alcance de qué se debe probar
- Principios del testing
- Explicación de las técnicas de pruebas
- Explicación del marco de pruebas del OWASP
En la segunda parte de esta guía se cubre como comprobar cada fase del ciclo de vida del desarrollo del software, utilizando las técnicas descritas en este documento. Por ejemplo, la segunda parte cubre como realizar pruebas de vulnerabilidades específicas, como inyección SQL mediante inspección de código fuente y pruebas de intrusión.
Fragmento del contenido temático:
- Pruebas de intrusión de aplicaciones Web
- Spiders, Robots, y Crawlers
- Pruebas de firma digital de aplicaciones web
- Analisis de codigos de error
- Pruebas de SSL/TLS
- Pruebas del receptor de escucha de la BBDD
- Archivos antiguos, copias de seguridad y sin referencias
- Metodos http y XST
- Comprobación del sistema de autenticación
- Transmision de credenciales a traves de un canal cifrado
- Enumeracion de Usuarios
- Cuentas de usuario adivinables (diccionario) O por defecto
- Fuerza bruta
- Saltarse el sistema de autenticación
- Pruebas de gestión del caché de navegación y de salida de sesión
- Pruebas de Captcha
- Pruebas para atributos de cookies
- Pruebas para CSRF
- Pruebas de ruta transversal
- Pruebas de escalada de privilegios
- Pruebas de cross site scripting Reflejado
- Inyeccion SQL
- Inyeccion XML
- Pruebas de desbordamiento de búfer
- Pruebas de HTTP Splitting/Smuggling
- Pruebas de denegación de servicio
Más Información:
- Web oficial del proyecto OWASP
- Descargar Guía de pruebas OWASP (OWASP Testing Guide 3.0)
En el mes de Septiembre del año 2014 se lanzó la última guía llamada «OWASP Testing Guide v4» la tenemos en exclusiva para ti en ESPAÑOL, puedes descargarla haciendo click aqui.
Articulo escrito por David Moreno (4v4t4r) para La Comunidad DragonJAR
La Testing Guide 3.0 en contexto
La Testing Guide 3.0 es una edición histórica del proyecto de pruebas de OWASP: se publicó a finales de 2008 y su estructura —una metodología dividida en fases que cubre desde la recolección de información hasta las pruebas de lógica de negocio— sentó la base sobre la que se construyeron las ediciones posteriores. El propio artículo lo muestra: en 2014 la comunidad ya trabajaba sobre la versión 4, que extendía este mismo marco.
El valor que sigue vigente es metodológico, no técnico. La forma de pensar que propone la guía —definir el alcance antes de probar, separar las técnicas de recolección, configuración, autenticación, gestión de sesiones e inyección— sigue siendo la columna vertebral de cualquier revisión seria de aplicaciones web. Los nombres de las fases cambian entre ediciones, pero la disciplina de cubrirlas todas no.
La advertencia honesta es la otra cara: los detalles técnicos puntuales de una guía de 2008 envejecieron. Tecnologías, encabezados, configuraciones por defecto y vectores de ataque específicos que documenta ya no describen el panorama actual. Úsala como lo que es —una referencia fundacional para entender de dónde viene la metodología— y contrasta cualquier prueba concreta con las ediciones posteriores del proyecto OWASP antes de aplicarla a un sistema en producción.
Metodología probada, aplicada a tu caso
Conocer la metodología es el primer paso; aplicarla con rigor sobre sistemas reales es otro. Una prueba de penetración profesional toma exactamente este marco —alcance definido, fases cubiertas una por una, hallazgos verificables— y lo ejecuta contra tu aplicación con la profundidad que un checklist por sí solo no alcanza.
En DragonJAR aplicamos estas metodologías en nuestros servicios de seguridad informática, con pruebas de intrusión a aplicaciones web que siguen los lineamientos del proyecto OWASP adaptados al estado actual de la tecnología. Cada hallazgo se documenta con evidencia, impacto y una recomendación de remediación que tu equipo puede ejecutar.
Si tu organización depende de aplicaciones web expuestas a internet, una evaluación periódica bajo una metodología reconocida no es un lujo: es la forma más directa de saber dónde estás parado antes de que un atacante te lo muestre.
