Auditoría de aplicaciones web.

La importancia del desarrollo seguro

de software en web

Auditoría de aplicaciones web. La importancia del desarrollo seguro de software en web

Maestría en Ingeniería de Software y Sistemas Informáticos

UNIR

Objetivo

El objetivo principal de esta actividad es la adquisición de las destrezas básicas por parte del
alumno para interceptar y analizar peticiones de cliente web, modificarlas, alterarlas y determinar si
existen errores de programación en la parte del servidor.

Página 1 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web
Tabla de Contenidos

Contenido
Tabla de Contenidos.........................................................................................................................2
Introducción......................................................................................................................................2
Descripción..........................................................................................................................................3

}
Introducción

El laboratorio nos permite comprender como realizar una actividad de auditoria y entender un
poco el entorno en el cual se desea trabajar.

Página 2 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

También se pretende conocer un poco más a fondo el uso de la herramienta Owasp ZAP.

Descripción

Se realiza la configuración del sitio para la realizar el laboratorio, y se realiza una navegación en
el mismo después de configurar el Proxy de la herramienta.

Encontramos en el sitio una página de login y registro. Debemos realizar la creación de un

usuario y poder ingresar, con esto la herramienta también aprende que debe hacer.

Se crea el usuario y se ingresa al aplicativo. Se hace una navegación sobre el mismo.

Posteriormente se procede a verificar el historial de la herramienta donde se ve la navegación

sobre el aplicativo. Luego hacemos un ataque tipo ARAÑA, este se puede enviar por defecto o puedo
hacer configuraciones de acuerdo con lo que se desea explorar o explotar.

Página 3 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

Es un ataque pasivo y rápido que me descubra páginas en nuestro aplicativo.

Página 4 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

Por otro lado, se realiza un ataque de tipo activo y en este podemos encontrar diferentes
vulnerabilidades de nuestra página. Este tipo de ataque puede ser más invasivo, por lo tal me permite
configurar que tipo de cosas me interesan saber y no enviarlo completo.

Después de ejecutar este tipo de ataque podemos identificar problemas de vulnerabilidad sobre
nuestro aplicativo.

Página 5 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web
Como vemos en la imagen me hace un análisis de vulnerabilidades conocidas y aparte de
entregar un reporte de cuales de estas están presente en mi aplicación. También me entrega la URL
donde se da la misma. Para esto debo dar clic en la pestaña de alertas.

Y podemos observar como nos agrupa y cataloga los diferentes problemas y malas
implementaciones. En la pestaña central, reponse y request podemos observar la línea que esta
generando el problema. Como vemos en la imagen siguiente.

Página 6 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

Desde las alertas puedo ejecutar las paginas que me muestra con vulnerabilidad y hasta poder
hacer modificaciones en la misma.

Página 7 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

También la herramienta me permite encontrar páginas con sus métodos de acción como
muestra en la siguiente imagen

Página 8 de 10
 Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

Donde se ve una página que incluye un método de actualización y una especie de comandos de
consulta.

Por ultimo se tiene un método de ataque que es el Fluzzer y este nos permite obtener
información de caja negra. En este caso se intentó obtener información de los posibles archivos y
directorio que suelen existir en una página web. Pero no se obtuvo información.

Página 9 de 10
Auditoría de aplicaciones web. La importancia del desarrollo seguro
de software en web

Página 10 de 10