Web Application Penetration Checklist que nos ayudará a contabilizar y categorizar los controles de seguridad que debemos ejecutar según OWASP TOP 10 y la información de la WSTG. El objetivo del proyecto es ayudar a comprender el qué, por qué , cuándo , dónde y cómo testear aplicaciones web. El proyecto ha proporcionado un marco de prueba completo, no una simple lista de verificación o prescripción de problemas que deben abordarse. Los lectores pueden utilizar este marco como plantilla para crear sus propios programas de testing. La WSTG describe en detalle tanto el marco de prueba general como las técnicas necesarias para implementar el marco en la práctica. El método de testing seguridad de aplicaciones web de OWASP se basa en el enfoque de caja negra. El tester no sabe nada o tiene muy poca información sobre la aplicación que se va a testear. Es muy útil para enfocar un pentest de manera organizada o utilizarlo en pruebas de caja blanca cómo guía para testear de manera organizada. Modo de uso La WSTG está dividida en categorías y pruebas. Un escenario es un conjunto de categoría y prueba. Cada escenario tiene un identificador en el formato WSTG-<category>-<number>, donde: category es una mayúscula cadena de 4 caracteres que identifica el tipo de prueba o vulnerabilidad, y number es un valor numérico de 01 a 99. Por ejemplo: WSTG-INFO-02 es la segunda prueba de recopilación de información. El capítulo 4 es el capítulo más técnico de esta guía. Está dividido en 12 subcapítulos, cada uno detallando una categoría de testing. 1. Information Gathering: categoría dedicada a la recopilación de información de una aplicación ya sea activa o pasivamente. En esta categoría se utilizan técnicas cómo fingerprinting, enumeración, identificación y mapeo. 2. Configuration and Deployment Management Testing: categoría dedicada al testing de distintas configuraciones de la aplicación, cómo testeo de la infraestructura de la red, plataforma de la aplicación, métodos HTTP/S, permisos de archivos,etc. 3. Identity Management Testing: categoría dedicada a testear el manejo de identidad de la aplicación, cómo el registro de usuarios, manejo de roles y cuentas y debilidades de estos procesos. 4. Authentication Testing: categoría dedicada a testear la autenticación de la aplicación, cómo maneja las credenciales de los usuarios, testeando si los procesos relacionados con la autenticación son seguros y no permiten password débiles o su transporte por medio no cifrados. 5. Authorization Testing: categoría dedicada a testear la autorización de la aplicación testeando si existen maneras de bypasear permisos o escalar privilegios en la aplicación. 6. Session Management Testing: categoría dedicada a testear el manejo de sesiones testeado el uso de cookies, si existe manera de vulnerar las sesiones fijándolas, robandolas o adivinándolas. 7. Input Validation Testing: categoría dedicada a testear todas las entradas de datos de los usuarios, esta categoría testea cualquier tipo de inyecciones (OWASP A1), también XSS (OWASP A3), HTTP Smuggling, HTTP Pollution. 8. Error Handling: categoría dedicada a testear el manejo inadecuado de errores que muestran información sensible y es comúnmente utilizada por los atacantes utilizando fingerprinting. IF-2021-76718462-APN-DNCIB#JGM Página 31 de 35