Asignatura Datos del alumno Fecha

Seguridad en Apellidos: Martínez Cáceres

Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

Actividades

Trabajo: Test de penetración a la aplicación BADSTORE

utilizando un Scanner de vulnerabilidades de aplicaciones web

» Comprobar en la configuración de la máquina virtual BADSTORE --> RED que el

ADAPTADOR 1 está habilitado y conectado a ADAPTADOR SOLO ANFITRION.

Una ves importada la maquina virtual abrimos la configuración de red y verificamos

que el adaptador de red esta en modo SOLO ANFITRIÓN

» Arranca la máquina virtual y ejecuta ifconfig -a para comprobar la dirección IP

asociada al dispositivo eth0.
Una vezz arrancada la maquina virtual abrimos la consolada de Linux y ejecutamos
el comando de ipconfig – a el cual nos ayudara mostrando la ip de nuestra tarjeta de
red

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)

 Asignatura Datos del alumno Fecha
Seguridad en Apellidos: Martínez Cáceres
Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

» Incluir en el fichero HOST de la máquina anfitriona la entrada correspondiente a la

dirección IP de ETH0. Por ejemplo, si la dirección IP obtenida por DHCP para el
dispositivo ETH0 es 192.168.56.110:
192.168.56.110 www.badstore.net

En nuestro caso tenemos Windows 10 en nuestra maquina anfitrión vamos a buscar el

archivo host en la siguiente ruta, C:\\Windows\System32\drivers\etc” y luego que lo
encontramos podemos abrir con editor BLOC DE NOTAS o cualquier editor de notas
que tengamos instalado en nuestra maquina anfitriona.

Una ves abierto insertamos nuestra ip de la maquina virtual y seguido de

www.badstore.net

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)

 Asignatura Datos del alumno Fecha
Seguridad en Apellidos: Martínez Cáceres
Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

Ahora para probar que funciona ya la pagina de badstore, abrimos un navegador en

nuestra maquina anfitriona e ingresamos www.badstore.net

» Realiza el test de penetración de la aplicación BADSTORE con el Scanner de

vulnerabilidades ZAP atacando al nombre asociado a la dirección del dispositivo
eth0 obtenida en el paso anterior: http://www. badstore.net/cgi-bin/badstore.cgi

Inicializamos el ZAP, una ves inicializado la interfaz grafica nos encontraremos con
algo intuitivo y fácil de usar.

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)

 Asignatura Datos del alumno Fecha
Seguridad en Apellidos: Martínez Cáceres
Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

En el campo “URL to attack” ingresamos el target a analizar, en éste primer caso

analizaremos, debemos siempre ingresar el protocolo, debemos ingresar por http o por
https dependiendo el protocolo que utilice el sitio, si ingresamos solo el nombre de
dominio nos mostrará un error:

Ingresamos la url y Attack de ésta manera no sólo activaremos un escaneo activo, sino
también se ejecutara spider, fuzzea y lanza brute force.

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)

 Asignatura Datos del alumno Fecha
Seguridad en Apellidos: Martínez Cáceres
Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

Iniciará ZAP empezará a buscar vulnerabilidades indiscriminadamente. Lo primero

que hará será recorrer todas las URL del sitio a través del Spider. De esta forma
podremos tener un mapa de la web.

Cuando se hace este recorrido por todas las URLs a través del Spider, se va analizando
cada una de las URL encontradas en busca de información sensible, y en caso de
encontrar alguna URL que esté catalogada como sospechosa, se mostrará un alerta
indicando su grado de riesgo, es decir, si la vulnerabilidad es grabe, media, o casi sin
importancia. Una ves terminado automaticamente realizara el siguiente que es el
escaneo activo, de todas las URL que se encontraron anteriormente.

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)

 Asignatura Datos del alumno Fecha
Seguridad en Apellidos: Martínez Cáceres
Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

Es aquí donde ZAP hace mayor ataque, ya que al tratarse de un Escáner Activo, lo que
hará será probar todo tipo de ataques en las direcciones econtradas. Esto implica desde
una búsqueda de configuración en un simple parámetro de alguno de los archivos que
compone la web, hasta ataques de SQL injection, XDD, LFI, RFL, etc.

Si damos clic sobre el boton detalles del progreso se mostrara la siguiente ventana en la
cual podemos observar el progreso del escaneo activo.

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)

 Asignatura Datos del alumno Fecha
Seguridad en Apellidos: Martínez Cáceres
Aplicaciones Online 24 de abril de 2019
y Bases de Datos Nombre: Carlos Fernando

Al finalizar el proceso anterior, habrá terminado la búsqueda automática de

vulnerabilidades y nos llevara a la pestaña de Alertas donde podremos ver el resultado
de todas las vulnerabilidades encontradas en función de su riesgo. Este panel donde se
muestra las posibles vulnerabilidades y el riesgo que conlleva, muestra además,
información sobre cómo se puede vulnerar, y qué medidas se pueden tomar para evitar
que dicho fallo de seguridad sea vulnerable

TEMA 2 – Actividades © Universidad Internacional de La Rioja (UNIR)