Analizadores de vulnerabilidades en aplicaciones web

Gabolonte Blasfemus

image En estos tiempos de aplicaciones web y web services, muchos especialistas coinciden que la parte más vital de la seguridad pasa por ahí; no tanto en lo bien que tengamos erigidas las reglas en el firewall, sino en lo bien protegida que tengamos nuestras aplicaciones web. Es por eso que herramientas como los escáners de aplicaciones web proliferan, resultando ya casi imprescindibles. A continuación podemos ver algunos de ellos:

  • Grabber: Su creador lo define como un webscanner muy sencillo y simple, pero aún así es capaz de detectar inyecciones SQL, Cross-Site Scripting, y analizar código Javascript. Básicamente se trata de un script en Python, por lo que requiere Python 2.4, además de los paquetes BeautifulSoup y PyXML. Por ende también es plausible de correr en cualquier sistema que tenga soporte para este lenguaje.
  • Nikto: Además de ser open source, Nikto afirma detectar alrededor de 3500 archivos potencialmente peligrosos, las versiones de 900 servidores, y problemas específicos en 250 versiones diferentes. En este caso se compone de un script creado en Perl, por lo que también puede ejecutarse en cualquier sistema operativo que tenga instalado el soporte para este lenguaje.
  • Wapiti: Otro proyecto open source, capaz de escanear por inyecciones en bases de datos, Cross Site Scripting, inyección LDAP y ejecuciones de comandos entre otros. También creado en Python.
  • w3af: Un proyecto basado en un framework completamente extensible mediante plugins, el cual ya incluye una gran cantidad en su sitio que manejan distintos tipos de detecciones, auditorias, ataques por fuerza bruta, etc. También open source y creado en Python.
  • SPIKE Proxy: Aplicación open source creada por la compañía Immunity, también bajo el lenguaje Python, que cubre lo básico como inyección SQL y Cross-Site Scripting.
  • OWASP Pantera Web Assessment Studio Project: Basado en SPIKE Proxy, este proyecto lo mejora para convertirse en una herramienta de penetration testing, capaz de generar reportes, soportar plugins, y diversas utilidades incorporadas como anti-IDS, fuzzing, web spider, brute force y escnaneo de cgi.
  • Sandcat: Permite realizar alrededor de 260 comprobaciones de seguridad, cubriendo 38 tipos de ataques vía web. También escanea los sitios contra los ranking de vulnerabilidades más populares, extraídos de las listas SANS Top Twenty, OWASP Top 10, y OWASP PHP Top 5. Además, provee un módulo para asistir en la securización de Apache y un analizador de logs para analizar los registros del servidor si ya fue atacado. Posee dos versiones, una gratuita y una paga, agregando esta última actualizaciones automáticas, resumen de sesión, generador de reportes e información completa sobre las vulnerabilidades.
  • Paros: Una herramienta gratuita multiplataforma realizada en Java, la cual tiene funciones de escáner y proxy y también permite incorporar plugins. Al igual que las demás, está preparada para realizar detecciones de inyecciones SQL, Cross-Site Scripting, y vulnerabilidades específicas de servidores.
  • OWASP WebScarab Project: Otro proxy que permite analizar tráfico e interceptarlo para detectar inyecciones SQL y demás. De código abierto y escrito en Java.

Si queremos conocer aún más opciones en analizadores de vulnerabilidades para aplicaciones web podemos recurrir a la lista de escáners de vulnerabilidades de aplicaciones web del NIST.


Comments are closed.