Guía de Pruebas de Penetración basada en OWASP + Extra

Esta guía está dirigida a los probadores de penetración que buscan los casos de prueba adecuados requeridos durante un proyecto de prueba de penetración. Reorganicé la OWASP Testing Guide v4 desde mi punto de vista incluyendo 9 Clases de Prueba y cada clase tiene varios Casos de Prueba para realizar contra el objetivo. Cada Caso de Prueba cubre varias pruebas de OWASP que también son útiles para el documento de informe. También he añadido 15 Casos de Prueba Extra marcados con EXTRA-TEST. Espero que sea útil tanto en proyectos de pruebas de penetración como en bug-bounty.

PENDIENTE:

1. Agregar recursos para cada prueba.

Recopilación de Información

• • Identificación de Tecnologías * Identificar Servidor Web (OTG-INFO-002) * Enumerar Aplicaciones en el Servidor Web (OTG-INFO-004) * Identificar el Framework de la Aplicación Web (OTG-INFO-008) * Identificar la Aplicación Web (OTG-INFO-009)
• • Filtración de Información * Realizar Descubrimiento y Reconocimiento en Motores de Búsqueda para Filtración de Información (OTG-INFO-001) * Revisar Metarchivos del Servidor Web para Filtración de Información (OTG-INFO-003) * Revisar Comentarios y Metadatos de Páginas Web para Filtración de Información (OTG-INFO-005) * Análisis de Códigos de Error (OTG-ERR-001) * Análisis de Trazas de Pila (OTG-ERR-002) * Realizar Fuzzing para Archivos o Directorios Ocultos y Sensibles (EXTRA-TEST-014)
• • Indexación de Directorios * Buscar Indexación de Directorios (EXTRA-TEST-001)
• • Almacenamiento de Información Sensible en el Lado del Cliente * Probar Almacenamiento Local (OTG-CLIENT-012)

Gestión de Configuración y Despliegue

• • Enumerar Interfaces de Administración de Infraestructura y Aplicación * Enumerar Interfaces de Administración de Infraestructura y Aplicación (OTG-CONFIG-005) * Probar Configuración de Red/Infraestructura (OTG-CONFIG-001)
• • Descubrimiento de Recursos Ocultos * Revisar Archivos Antiguos, de Respaldo y No Referenciados para Información Sensible (OTG-CONFIG-004)
• • Cabeceras de Seguridad HTTP * Probar la Ausencia de Cabeceras de Seguridad HTTP (EXTRA-TEST-002)

Gestión de Identidad y Autenticación

• • Clase de Autenticación Segura * Probar el Proceso de Registro de Usuario (OTG-IDENT-002) * Probar Mecanismo de Bloqueo Débil (OTG-AUTHN-003) * Probar la Omisión del Esquema de Autenticación (OTG-AUTHN-004) * Probar la Funcionalidad de Recordar Contraseña (OTG-AUTHN-005) * Probar la Debilidad de la Caché del Navegador (OTG-AUTHN-006) * Probar Pregunta/Respuesta de Seguridad Débil (OTG-AUTHN-008) * Probar Funcionalidades Débiles de Cambio o Restablecimiento de Contraseña (OTG-AUTHN-009) * Probar Autenticación Más Débil en un Canal Alternativo (OTG-AUTHN-010) * Probar Política de Nombre de Usuario Débil o No Aplicada (OTG-IDENT-005) * Probar Credenciales por Defecto (OTG-AUTHN-002) * Probar Omisión de Autenticación de Dos Factores (EXTRA-TEST-012)
• • Enumeración de Nombres de Usuario * Probar la Enumeración de Cuentas y Cuentas de Usuario Adivinables (OTG-IDENT-004)
• • Probar Recuperación de Información Sensible * Probar la Recuperación de Información Sensible desde la Base de Datos (EXTRA-TEST-003)
• • Probar contra Ataques de Fuerza Bruta * Probar contra Ataques de Fuerza Bruta (EXTRA-TEST-004)

Autorización y Pruebas de Límites

• • Control de Acceso de Usuario * Probar Definiciones de Roles (OTG-IDENT-001) * Probar el Proceso de Aprovisionamiento de Cuentas (OTG-IDENT-003) * Probar la Omisión del Esquema de Autorización (OTG-AUTHZ-002) * Probar Escalada de Privilegios (OTG-AUTHZ-003) * Probar Manipulación de Verbos HTTP (OTG-INPVAL-003) * Probar Fallos en JSON Web Token (EXTRA-TEST-006) * Probar Intercambio de Recursos de Origen Cruzado (OTG-CLIENT-007)
• • Inclusiones de Archivos * Probar Recorrido de Directorios/Inclusión de Archivos (OTG-AUTHZ-001)
• • Ejecución después de Redirección * Ejecución después de Redirección (EXTRA-TEST-005)
• • Falsificación de Petición en Sitios Cruzados (CSRF) * Probar Falsificación de Petición en Sitios Cruzados (CSRF) (OTG-SESS-005)
• • Carga Segura de Archivos * Probar Carga de Tipos de Archivo Inesperados (OTG-BUSLOGIC-008) * Probar Carga de Archivos Maliciosos (OTG-BUSLOGIC-009)
• • Referencias Directas a Objetos Inseguras * Probar Referencias Directas a Objetos Inseguras (OTG-AUTHZ-004)
• • Implementación Segura de Captcha * Probar el Flujo de Trabajo Seguro de Captcha (EXTRA-TEST-007)

Gestión de Cookies y Sesiones

• • Probar Atributos de Cookies * Probar Atributos de Cookies (OTG-SESS-002)
• • Gestión Segura de Sesiones * Probar la Omisión del Esquema de Gestión de Sesiones (OTG-SESS-001) * Probar Fijación de Sesión (OTG-SESS-003) * Probar Variables de Sesión Expuestas (OTG-SESS-004) * Probar Funcionalidad de Cierre de Sesión (OTG-SESS-006) * Probar Tiempo de Caducidad de Sesión (OTG-SESS-007) * Probar Confusión de Sesión (OTG-SESS-008)

Accesibilidad

• • Denegación de Servicio * Probar Denegación de Servicio (EXTRA-TEST-008)

Validación de Entrada/Salida

• • Scripting entre Sitios (XSS) * Probar Scripting entre Sitios Reflejado (OTG-INPVAL-001) * Probar Scripting entre Sitios Almacenado (OTG-INPVAL-002) * Probar Scripting entre Sitios basado en DOM (OTG-CLIENT-001) * Probar Ejecución de JavaScript (OTG-CLIENT-002) * Probar Inyección HTML (OTG-CLIENT-003) * Probar Inyección CSS (OTG-CLIENT-005) * Probar Manipulación de Recursos del Lado del Cliente (OTG-CLIENT-006) * Probar Secuestro de Clics (Clickjacking) (OTG-CLIENT-009)
• • Inyección SQL * Probar Inyección SQL (OTG-INPVAL-005) * Probar Vulnerabilidades Incubadas (OTG-INPVAL-015)
• • Inyección NoSQL * Probar Inyección XPath (OTG-INPVAL-010) * Probar Inyección XML (OTG-INPVAL-008) * Probar Inyección MongoDB (EXTRA-TEST-011)
• • Inyección de Código del Lado del Servidor * Probar Inyección LDAP (OTG-INPVAL-006) * Probar Inyección ORM (OTG-INPVAL-007) * Probar Inyección SSI (OTG-INPVAL-009) * Inyección IMAP/SMTP (OTG-INPVAL-011) * Probar Inyección de Código (OTG-INPVAL-012) * Probar Inyección de Plantillas del Lado del Servidor (EXTRA-TEST-013)
• • Ejecución Remota de Comandos * Probar Inyección de Comandos (OTG-INPVAL-013)

Pruebas de Criptografía Débil

• • Probar Cifrados SSL/TLS Débiles, Protección Insuficiente de la Capa de Transporte * Probar Cifrados SSL/TLS Débiles, Protección Insuficiente de la Capa de Transporte (OTG-CRYPST-001)
• • Probar Información Sensible Enviada a través de Canales No Cifrados * Probar Información Sensible Enviada a través de Canales No Cifrados (OTG-CRYPST-003) * Probar Oracle de Relleno (Padding Oracle) (OTG-CRYPST-002)

Pruebas de Flujo de Trabajo/Flujo de Datos

• • Pruebas de Lógica de Negocio * Probar Validación de Datos de Lógica de Negocio (OTG-BUSLOGIC-001) * Probar Capacidad de Forjar Solicitudes (OTG-BUSLOGIC-002) * Probar Controles de Integridad (OTG-BUSLOGIC-003) * Probar Tiempos de Proceso (OTG-BUSLOGIC-004) * Probar Límites en el Número de Veces que se Puede Usar una Función (OTG-BUSLOGIC-005) * Probar la Elusión de Flujos de Trabajo (OTG-BUSLOGIC-006) * Probar Defensas Contra el Uso Indebido de la Aplicación (OTG-BUSLOGIC-007)