Tutoriales

WebScarab: herramienta de análisis de aplicaciones web

WebScarab es una herramienta que podemos utilizar en las pruebas de seguridad web. Actúa como un proxy web, lo que permite a los usuarios interceptar solicitudes (HTTP y HTTPS) y respuestas de servidores web. ¿Suena familiar? Oh hipo? Sí, podemos considerar WebScarab como una alternativa a BurpSuite.

WebScarab está desarrollado por The Open Web Application Security Project (OWASP), y está implementado en Java, por lo que puede ejecutarse en varios sistemas operativos.

Como configuración predeterminada de WebScarab, utiliza el puerto 8008 para capturar solicitudes HTTP, por lo que debemos configurar nuestro navegador para usar ese puerto en localhost como proxy. Necesitamos seguir pasos similares para configurar el proxy del navegador como lo hicimos para Burpsuite, solo que el puerto predeterminado es 8008.

WebScarab viene preinstalado con la versión completa de Kali Linux 2020, o podemos instalarlo con el siguiente comando:

sudo apt-get install webscarab

Lo podemos encontrar en el menú de la aplicación.

WebScarab en el menú de la aplicación

Después de abrir WebScarab, obtuvimos su pantalla principal como se muestra a continuación:

Pantalla principal de WebScarab

Ahora lo probaremos contra bwapp en localhost. Encontramos la solicitud en la pestaña «Resumen».

Ahora hacemos clic derecho en la carpeta y hacemos clic en el «árbol de araña» para ver todas las solicitudes en la red.

árbol de araña webscarab

Ahora, en la pestaña «Proxy», encontramos el oyente. Aquí podemos iniciar o detener el oyente.

oyente proxy webscarab

Cada vez que realizamos cualquier solicitud de publicación, podemos ver que el editor de solicitudes de WebScarab aparecerá frente a nosotros como BurpSuite, como se muestra en la imagen a continuación:

Editar una solicitud de publicación para bwapp

Aquí cambiamos algunos datos sobre la solicitud de publicación y hacemos clic en «Aceptar» para reenviar la solicitud.

Editar solicitudes en webscarab

En la captura de pantalla a continuación, podemos ver que hemos cambiado con éxito la solicitud de publicación.

WebScrab cambia la solicitud de publicación de bwapp

La herramienta puede hacer mucho más que simplemente cambiar las solicitudes de publicación.Acabamos de dar este ejemplo

de acuerdo a El sitio web oficial de WebScarab Sus principales características son las siguientes:

  • Fragmento – Extraiga scripts y comentarios HTML de páginas HTML vistas a través de proxies u otros complementos.
  • Agente – Observe el tráfico entre el navegador y el servidor web. El proxy de WebScarab puede observar el tráfico HTTP y HTTPS encriptado al negociar la conexión SSL entre WebScarab y el navegador, en lugar de simplemente conectar el navegador al servidor y permitir el tráfico encriptado a través de él. También se han desarrollado varios complementos de proxy para permitir a los operadores controlar las solicitudes y respuestas a través del proxy.
  • interceptación manual – Permite a los usuarios modificar solicitudes y respuestas HTTP y HTTPS sobre la marcha antes de que lleguen al servidor o navegador.
  • cáscara de frijol – Permite realizar operaciones arbitrariamente complejas en solicitudes y respuestas. Cualquier cosa que se pueda expresar en Java se puede ejecutar.
  • Mostrar campos ocultos – Cambie todos los campos ocultos en las páginas HTML a campos de texto, haciéndolos visibles y editables. A veces es más fácil modificar campos ocultos en la propia página que interceptar la solicitud después de que se haya enviado.
  • Simulador de ancho de banda – Permite a los usuarios simular redes más lentas para ver cómo se comporta su sitio web cuando se accede a través de un módem.
  • araña – Identifique nuevas URL en el sitio de destino y obténgalas cuando lo ordene.
  • Solicitud manual – Permite editar y reproducir solicitudes anteriores, o crear solicitudes completamente nuevas.
  • Análisis de ID de sesión: Recopile y analice una gran cantidad de cookies para determinar visualmente el grado de aleatoriedad e imprevisibilidad. Tenga en cuenta que este análisis es bastante trivial y no realiza comprobaciones serias como FIPS, etc.
  • guion- Los operadores pueden usar BeanShell (o cualquier otro lenguaje compatible con BSF que se encuentre en el classpath) para escribir scripts para crear solicitudes y obtenerlas del servidor. Luego, el script puede realizar un análisis de la respuesta, aprovechando todo el poder del modelo de objeto de solicitud y respuesta de WebScarab para simplificar las cosas.
  • fuzzer parametrico – Realiza la sustitución automática de los valores de los parámetros, lo que puede exponer una validación de parámetros incompleta, lo que genera vulnerabilidades como secuencias de comandos entre sitios (XSS) e inyección de SQL.
  • búsqueda – Permite al usuario crear expresiones BeanShell arbitrarias para identificar los diálogos que deben mostrarse en la lista.
  • comparado con – Calcula la distancia de edición entre el cuerpo de respuesta del diálogo observado y el diálogo de referencia seleccionado. La distancia de edición es «el número de ediciones necesarias para convertir un documento en otro». Por razones de rendimiento, las ediciones se calculan utilizando tokens de palabra, no byte por byte.
  • Jabón – Analiza el WSDL y presenta las diversas funciones y parámetros necesarios, lo que permite editarlos antes de enviarlos al servidor. notas: Este complemento está obsoleto y puede eliminarse en el futuro. Soviético Mucho más allá de lo que WebScarab puede o hará, y es una herramienta gratuita.
  • extensión – Comprueba automáticamente los archivos (p. ej., .bak, ~, etc.) que se hayan dejado por error en el directorio raíz del servidor web. Verifique archivos y directorios (por ejemplo, /app/login.jsp verificará /app/login.jsp.bak, /app/login.jsp~, /app.zip, /app.tar.gz, etc.). Los usuarios pueden editar extensiones de archivos y directorios.
  • XSS/CRLF– Un complemento de análisis pasivo que busca encabezados y cuerpos de respuesta HTTP en busca de datos controlados por el usuario para identificar posibles vulnerabilidades de inyección CRLF (división de respuesta HTTP) y secuencias de comandos cruzadas (XSS).

Similar a Burp Suite, el programa spider de WebScarab se puede usar para descubrir todos los archivos a los que se hace referencia en un sitio web o directorio sin tener que buscar manualmente todos los enlaces posibles, y profundizar para analizar las solicitudes realizadas al servidor y usarlas para realizar pruebas más complejas.

WebScarab es una gran alternativa a la infame Burp Suite.Síganos GitHub y Gorjeo Publicamos actualizaciones sobre nuestros nuevos artículos allí.

Todos los comentarios e ideas son bienvenidos en la sección de comentarios. Siempre respondemos.

LEER  Esquema .NET para atacar vCenter

Publicaciones relacionadas

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Botón volver arriba