🕸️Herramientas de Crawling
OWASP ZAP
Zed Attack Proxy ( ZAP) es un proxy web de código abierto que pertenece al Open Web Application Security Project ( OWASP). Nos permite realizar pruebas de seguridad manuales y automatizadas en aplicaciones web. Utilizarlo como servidor proxy nos permitirá interceptar y manipular todo el tráfico que pasa por él.
Instalación
Ejecución
Una vez que ZAP esté instalado, puedes iniciarlo desde la terminal utilizando el comando zaproxy. Hay dos formas comunes de ejecutar ZAP: interfaz gráfica y línea de comandos.
Interfaz Gráfica:
Para abrir la interfaz gráfica de ZAP, simplemente escribe zaproxy en la terminal y presiona Enter:
Esto iniciará la interfaz gráfica de usuario de ZAP, donde podrás interactuar con todas las características y herramientas que ofrece.
Línea de Comandos:
Si prefieres utilizar ZAP desde la línea de comandos, puedes ejecutarlo en modo demonio utilizando el siguiente comando:
Podemos utilizar la funcionalidad de spidering siguiendo los siguientes pasos. Abra ZAP y, en la esquina superior derecha, abra el navegador.
Escriba el sitio web en la barra de direcciones y agréguelo al alcance usando la primera entrada en el menú de la izquierda.
Regrese a la ventana ZAP, haga clic derecho en el sitio web de destino, haga clic en el menú Ataque y luego en el submenú Spider.
Una vez finalizado el proceso podremos ver los recursos descubiertos por el proceso de spidering.
Una característica útil de ZAP es el Fuzzer integrado y el Editor de solicitudes manuales. Podemos enviarles cualquier solicitud para modificarla manualmente o mezclarla con una lista de payloads haciendo clic derecho en la solicitud y usando el menú "Abrir/Reenviar con el editor de solicitudes..." o el submenú "Fuzz..." en el menú Ataque.
ZAP tiene una documentación excelente que puede ayudarte a entender mejor este programa y sus funciones.
Ffuf
El módulo de rastreo ZAP solo enumera los recursos que encuentra en enlaces y formularios, pero puede omitir información importante como carpetas ocultas o archivos de respaldo.
Podemos usar ffuf para descubrir archivos y carpetas que no podemos detectar simplemente navegando por el sitio web. Todo lo que tenemos que hacer es iniciar ffufcon una lista de nombres de carpetas e indicarle que las busque de forma recursiva.
-recursion: Activa el escaneo recursivo.-recursion-depth: Especifica la profundidad máxima para escanear.-u: Nuestra URL de destino yFUZZserá el punto de inyección.-w: Ruta a nuestra lista de palabras.
Podemos ver en la imagen cómo ffuf crea nuevos trabajos para cada carpeta detectada. Esta tarea puede consumir muchos recursos para el servidor de destino. Si el sitio web responde más lento de lo habitual, podemos reducir la tasa de solicitudes utilizando el -rateparámetro.
El módulo Atacar aplicaciones web con Ffuf profundiza mucho más en ffufel uso y muestra muchas de las técnicas que se enseñan en este módulo.
Divulgación de información confidencial
Es típico que el servidor web y la aplicación web manejen los archivos que necesita para funcionar. Sin embargo, es común encontrar copias de seguridad o archivos sin referencia que pueden tener información o credenciales importantes. Se pueden generar archivos de respaldo o sin referencia mediante la creación de instantáneas, diferentes versiones de un archivo o desde un editor de texto sin el conocimiento del desarrollador web. Hay algunas listas de extensiones comunes que podemos encontrar en los raft-[ small | medium | large ]-extensions.txtarchivos de SecLists .
Combinaremos algunas de las carpetas que hemos encontrado antes, una lista de extensiones comunes y algunas palabras extraídas del sitio web para ver si podemos encontrar algo que no debería estar allí. El primer paso será crear un archivo con los siguientes nombres de carpeta y guardarlo como folders.txt.
A continuación, extraeremos algunas palabras clave del sitio web utilizando CeWL . Le indicaremos a la herramienta que extraiga palabras con una longitud mínima de 5 caracteres -m5, las convierta a minúsculas --lowercasey las guarde en un archivo llamado wordlist.txt -w <FILE>:
El siguiente paso será combinar todo en ffuf a ver si encontramos alguna información jugosa. Para ello utilizaremos los siguientes parámetros en ffuf:
-w: Separamos las listas de palabras por coma y les agregamos un alias para inyectarlas como puntos de fusión más adelante-u: Nuestra URL de destino con los puntos borrosos.
Siguiendo este enfoque, hemos encontrado con éxito un archivo secreto. 🏆
En el siguiente enlace podrás ir a la página de Ffuf, donde tratamos más en detalle esta herramienta:
🕸️FfufÚltima actualización
