jueves, 22 de mayo de 2014

Escaner de Vulnerabilidades: w3af

Hoy hablaremos sobre el potente escaner de vulnerablilidades w3af (Muy usado por mi):

w3af (Web Application Attack and Audit Framework) es una herramienta open source de auditoría que permite detectar vulnerabilidades web y explotarlas. Es bastante sencilla de utilizar y muy útil para automatizar diferentes análisis en un sólo proceso. El proyecto nació en el año 2006 de la mano de Andrés Riancho, fundador de la empresa de seguridad Bonsai, y hoy cuenta con el apoyo de toda la comunidad de especialistas en seguridad web.

Básicamente se trabaja con 4 pestañas, en Configuración del análisis se indica el objetivo y se seleccionan los plugins o escáneres que se desean utilizar; en Log se puede ver el estado del proceso; en Resultados las vulnerabilidades detectadas con lujo de detalles (SQL Injection, Cross Site Scripting, Full Path Disclosure, File Inclusion, etc); y finalmente desde la pestaña Exploit se pueden explotar estos fallos.

Si deseas entender un poco más el alcance de este tipo de herramientas te recomiendo leer este artículo de Infosec Resources (en inglés), se muestra a modo de ejemplo como una vulnerabilidad sql injection detectada con w3af, permite obtener las contraseñas de un blog en WordPress.




Por supuesto, w3af no busca ser un programa de haking malintencionado, si bien parece que con unos simples clics se puede hacer de todo, es necesario tener ciertos conocimientos y ganas de entender lo que sucede para poder sacarle provecho.

Descarga: w3af.sourceforge.net/#download
Se puede instalar en Windows y Linux (apt-get install w3af), si tienes Backtrack puedes ejecutar la interfaz gráfica desde /pentest/web/w3af ./w3af_gui


http://www.expresionbinaria.com/w3af-herramienta-para-detectar-vulnerabilidades-web/

No hay comentarios:

Publicar un comentario