Descripción

Un Web Application Penetration Test es la simulación de un atacante contra un sitio, portal o aplicación web. Inicialmente la prueba consiste en identificar todos los recursos expuestos en el objetivo.

Al mismo tiempo, el auditor realizará un análisis de la lógica empresarial para verificar que no hay problemas conceptuales que afecten a la seguridad.

En este punto, antes de probar la aplicación web real, se comprueba la infraestructura para buscar vulnerabilidades conocidas y desconocidas.

Una vez que se detectan algunos puntos de ataque válidos (puntos de entrada) podemos proceder al intento de hackeo propiamente dicho. El objetivo es una puesta en peligro extensa, tan profunda y vasta como sea posible.

Después, tanto manualmente como con la ayuda de herramientas, se prueba cada parámetro con vectores de ataque definidos. También se ejecutarán técnicas de ataque genéricas para la plataforma dada.

Si se obtiene algún tipo de acceso, realizaremos acciones normalmente no autorizadas e inesperadas, pero todavía inofensivas para el sistema y la aplicación. Esto es con el fin de crear una evidencia de explotabilidad. Una acción podría ser volcar datos de una base de datos backend o acceder a archivos y fuentes del disco. Con la debida autorización se puede ampliar el alcance de la prueba y modificar la información u obtener el control total de la máquina y las adyacentes.

Output

El Report es un documento sencillo y detallado que resume los resultados de la actividad y se divide en tres áreas diferentes, como se ha descrito anteriormente:

Executive Summary
Se coloca al principio del Report y no tiene más de una página. Consiste en una visión general no técnica, destinada al Management.

Vulnerability Details
Consiste en una parte técnica que describe en detalle las vulnerabilidades descubiertas y su impacto. Está dedicado al Security Manager.

Remediation Plan
Una sección técnica con instrucciones detalladas y precisas sobre cómo resolver los problemas identificados. Dedicado a los desarrolladores.