Guia de pruebas de OWASP 3.0

Tabla de contenidos
Prólogo
¿Porqué OWASP?
Escogiendo la estrategia y prioridades
El papel de las herramientas automatizadas
Convocatoria
Notas de traducción
Notas
Glosario de términos y desambiguación
Agradecimientos

1. Portada
   Bienvenidos a la guía de pruebas OWASP 3.0
   Acerca del proyecto abierto de Seguridad de Aplicaciones Web 

2.Introducción
   Principios de la comprobación
   Técnicas de comprobación explicadas
   Derivaciones de los requerimientos de pruebas de seguridad

3. El entorno de pruebas OWASP
   Presentación
   ¡Error! Marcador no definido.
   Fase 1: Antes de empezar el    desarrollo
   Fase 2 – Durante el diseño y definición
   Fase 3: Durante el desarrollo
   Fase 4: Durante la implementación
   Fase 5: Mantenimiento y operaciones
   Un flujo de comprobación típico en un SDLC

4 Pruebas de intrusión de aplicaciones Web
4.1 Introducción y objetivos
4.2 Recopilación de información
4.2.1 Spiders, Robots, y Crawlers (OWASP-IG-001)
4.2.2 Reconocimiento mediante motores de búsqueda (OWASP-IG-002)
4.2.3 Identificación de puntos de entrada de la aplicación (OWASP-IG-003)
4.2.4 Pruebas de firma digital de aplicaciones web (OWASP-IG-004)
4.2.5 Descubrimiento de aplicaciones (OWASP-IG-005)
4.2.6 Analisis de codigos de error (OWASP-IG-006)
4.3 Pruebas de gestion de configuracion de la infraestructura
4.3.1 Pruebas de SSL/TLS (OWASP-CM-001)
4.3.2 Pruebas del receptor de escucha de la BBDD (OWASP-CM-002)
4.3.3 Pruebas de gestión de configuración de la infraestructura (OWASP-CM-003)
4.3.4 Pruebas de gestión de configuración de la aplicación (OWASP-CM-004)
4.3.5 Pruebas de Gestión de extensiones de archivo (OWASP-CM-005)
4.3.6 Archivos antiguos, copias de seguridad y sin referencias (OWASP-CM-006)
4.3.7 Interfases administrativas de aplicación e infraestructura (OWASP-CM-007)
4.3.8 Metodos http y XST (OWASP-CM-008)
4.4 Comprobación del sistema de autenticación
4.4.1 Transmision de credenciales a traves de un canal cifrado (OWASP-AT-001)
4.4.2 Enumeracion de Usuarios (OWASP-AT-002)
4.4.3 Cuentas de usuario adivinables (diccionario) O por defecto (OWASP-AT-003)
4.4.4 Fuerza bruta (OWASP-AT-004)
4.4.5 Saltarse el sistema de autenticación (OWASP-AT-005)
4.4.6 Recordatorio de contraseñas y pwd reset
4.4.7 Pruebas de gestión del caché de navegación y de salida de sesión
4.4.8 Pruebas de Captcha (OWASP-AT-008)
4.4.9 Pruebas para autenticacion de factores multiples (OWASP-AT-009)
4.4.10 Pruebas de condicion de carrera (Race Conditions) (OWASP-AT-010)
4.5 Pruebas de gestión de sesiones
4.5.1 Pruebas para el esquema de gestion de sesiones (OWASP-SM-001)
4.5.2 Pruebas para atributos de cookies (OWASP-SM-002)
4.5.3 Pruebas para fijacion de sesion (OWASP-SM-003)
4.5.4 Pruebas para variables de sesion expuestas (OWASP-SM-004)
4.5.5 Pruebas para CSRF (OWASP-SM-004)
4.6 Pruebas de autorizacion
4.6.1 Pruebas de ruta transversal (OWASP-AZ-001)
4.6.2 Pruebas para saltearse el esquema de autenticacion (OWASP-AZ-002)
4.6.3 Pruebas de escalada de privilegios (OWASP-AZ-003)
4.7 Comprobación de la lógica de negocio (OWASP-BL-001)
4.8 Pruebas de validación de datos
4.8.1 Pruebas de cross site scripting Reflejado (OWASP-DV-oo1)
4.8.2 Pruebas de cross site scripting almacenado (OWASP-DV-002)
4.8.3 Pruebas de cross site scripting basado en DOM (OWASP-DV-003)
4.8.4 Pruebas de cross site scripting basado en flash (OWASP-DV-004)
4.8.5 Inyeccion SQL (OWASP-DV-005)
4.8.5.1 Pruebas en Oracle
4.8.5.2 Pruebas en MySQL
4.8.5.3 Pruebas en SQL Server
4.8.5.4 Pruebas en MS Access
4.8.5.5 Pruebas en PostgreSQL
4.8.6 Inyeccion LDAP (OWASP-DV-006)
4.8.7 Inyeccion ORM (OWASP-DV-007)
4.8.8 Inyeccion XML (OWASP-DV-008)
4.8.9 Inyeccion SSI (OWASP-DV-009)
4.8.10 Inyección XPATH (OWASP-DV-010)
4.8.11 Inyección IMAP/SMTP (OWASP-DV-011)
4.8.12 Inyección de codigo (OWASP-DV-012)
4.8.13 Inyección de ordenes de sistema (OWASP-DV-013)
4.8.14 Pruebas de desbordamiento de búfer (OWASP-DV-014)
4.8.14.1 Desbordamientos de memoria Heap
4.8.14.2 Desbordamiento de pila
4.8.14.3 Cadenas de formato
4.8.15 Pruebas de vulnerabilidad Incubada (OWASP-DV-015)
4.8.16 Pruebas de HTTP Splitting/Smuggling (OWASP-DV-016)
4.9 Pruebas de denegación de servicio
4.9.1 Denegación de servicio mediante ataques CON Wildcards SQL (OWASP-DS-001)
4.9.2 Bloqueando cuentas de usuario (OWASP-DS-002)
4.9.3 Desbordamientos de búfer (OWASP-DS-003)
4.9.4 Reserva de objetos especificada por usuario (OWASP-DS-004)
4.9.5 Entradas de usuario como bucle (OWASP-DS-005)
4.9.6 Escritura a disco de datos suministrados por usuario (OWASP-DS-006)
4.9.7 Fallos en la liberación de recursos (OWASP-DS-007)
4.9.8 Almacenamiento excesivo en la sesión (OWASP-DS-008)
4.10 Comprobación de servicios web
4.10.1 Obtención de Información en Servicios Web (OWASP-WS-001)
4.10.2 Probando WSDL (OWASP-WS-002)
4.10.3 Pruebas estructurales de XML(OWASP-WS-003)
4.10.4 Comprobación de XML a nivel de contenido (OWASP-WS-004)
4.10.5 Comprobación de parámetros HTTP GET/REST (OWASP-WS-005)
4.10.6 Adjuntos Soap maliciosos (OWASP-WS-006)
4.10.7 Pruebas de repetición (OWASP-WS-007)
4.11 Pruebas de Ajax
4.11.1 Vulnerabilidades Ajax (OWASP-AJ-001)
4.11.2 Pruebas de Ajax (OWASP-AJ-002)

5. Redacción de informes: Valorar el riesgo real
5.1 Como valorar el riesgo real
5.2 Cómo escribir el informe de pruebas

Apéndice A: Herramientas de comprobación
Apéndice B: Lectura recomendada
Apéndice c: Vectores de fuzzing
Apéndice d: inyeccion codificada

Descargar