Existen multitud de aplicaciones para revisar la seguridad de una página web, las pruebas las puedes realizar de manera manual o bien las puedes lanzar una aplicación que lance unos testeos sobre la aplicación, cabe decir que lanzar una de estas herramientas no garantiza que se hayan probado todas las vulnerabilidades, en el tema de hoy Arachni Web Scanner.
Tabla de Contenido
Hoy os traigo una aplicación que se llama Arachni y que me ha gustado mucho por el diseño que tiene y la configuración que le puedes hacer a la herramienta.
Arachni Web Scanner descarga de la herramienta
La herramienta la descargamos de aquí:
https://www.arachni-scanner.com/download/
La herramienta como digo le han cuidado la parte gráfica y tendremos un bonito espacio web desde el que podremos hacer las pruebas pertinentes.
Una vez que hayamos bajado arachni, lo iniciamos por consola para que levante el servidor web.
Como veis nos ha levantado un servidor web en local, accedemos para ver que nos encontramos.
Readme para usuario y Password
Antes de iniciar Arachni, es recomendable que os leáis el README, pues ahí especifica el usuario y password de administrador para que podamos acceder a la aplicación.
Iniciamos sesión y lo primero es que creemos un usuario con el que poder trabajar.
Ya tenemos el usuario creado, accedemos con él y la aplicación ya podrá identificarnos.
Ahora que ya tenemos nuestro usuario lo que haremos será empezar un nuevo escaneo.
Aquí tenemos para seleccionar varias cosas, la web a la que lanzaremos el scaner, que profile escogeremos, por defecto viene XSS y SQL Injection.
Rellenamos los datos y lanzamos el scaner, nos irá mostrando los resultados.
Como veis es bastante bonito 😛
Una vez que acabe nos mostrará abajo los resultados y nos mostrará el CVE y todo 😀
Podemos configurar en la herramienta mas módulos de escaneo aquí tenemos la prueba.
Pero sin duda de lo que mas me ha gustado es el report generado.
Arachni, puede formar parte perfectamente entre tus herramientas de auditoría mas usadas.
Más Información de Arachni Web Scanner
Arachni en retrospectiva: un proyecto archivado con valor pedagógico
El desarrollo de Arachni se detuvo: el proyecto fue archivado por su mantenedor y ya no recibe mantenimiento activo. Conviene decirlo con claridad, porque la base de detecciones de un escáner abandonado no acompaña a las aplicaciones web modernas: las APIs, las aplicaciones de una sola página y los flujos de autenticación con tokens quedan fuera de su alcance real.
Aun así, esta guía conserva un valor genuino como material de estudio. Arachni muestra con limpieza el flujo clásico de un escáner web automatizado: rastreo de la aplicación para descubrir páginas y formularios, auditoría de cada parámetro con módulos de prueba dedicados — como los de inyección y XSS que ves en las capturas — y, al final, un reporte consolidado con los hallazgos. Entender ese ciclo te ayuda a leer con criterio los resultados de cualquier escáner actual, sea cual sea la marca.
El código fuente sigue disponible para consulta en el repositorio oficial, donde además se refleja el estado archivado del proyecto. Revisarlo es una buena forma de estudiar por dentro la arquitectura de un motor de escaneo web.
Con qué escanear una web hoy
Para auditorías reales, trabaja con herramientas que tengan mantenimiento activo. OWASP ZAP es gratuito, de código abierto y respaldado por una comunidad que lo mantiene al día: es el punto de entrada natural para automatizar pruebas de seguridad en aplicaciones web. Burp Suite — con su edición Community gratuita — es el estándar para pruebas asistidas y análisis manual profundo.
– ZAP para escaneos automatizados y práctica guiada; Burp para afinar a mano lo que el escáner automático solo insinúa.
Y una advertencia honesta que la propia guía ya insinuaba: ningún escáner garantiza cobertura total. La herramienta automática descubre superficie; el criterio del auditor — pruebas manuales, revisión de la lógica de negocio y encadenamiento de hallazgos — sigue siendo irremplazable. El escáner es el asistente, no el auditor.
Un ejercicio útil después de cada escaneo automático es contrastar el reporte con una revisión manual de los puntos de entrada que el rastreador pudo haber pasado por alto: formularios detrás de inicio de sesión, parámetros ocultos y endpoints de API. Ese contraste entrena el criterio que distingue un hallazgo real de un falso positivo.
