Armas Para Hacking | Herramientas para realizar pruebas de penetración en aplicaciones web

Herramientas y recursos para realizar pruebas de penetración en aplicaciones web

En esta oportunidad les compartimos una recopilación de herramientas pensadas para realizar pruebas de penetración en aplicaciones web. Las herramientas aquí compartidas fueron seleccionadas en principio por su capacidad de recopilar información (para la fase de Recopilación de Información) más que por sus características de detectar, analizar y explotar vulnerabilidades.

Puedes recomendarnos otras herramientas. Contáctanos en Telegram

Proximamente actualizaremos esta entrada con Web Scanner Online.

Burp Suite
Es una plataforma integrada para realizar pruebas de seguridad de aplicaciones web.

🔗​ Link de Descarga: https://portswigger.net/burp

OWASP Zed Attack Proxy (ZAP)
Es una de las herramientas de seguridad gratuitas más populares del mundo y es mantenida activamente por cientos de voluntarios internacionales. Puede ayudarlo a encontrar automáticamente vulnerabilidades de seguridad en sus aplicaciones web mientras desarrolla y prueba sus aplicaciones. También es una gran herramienta para que los pentesters con experiencia la utilicen para pruebas de seguridad manuales.

🔗​ Link de Descarga: https://www.zaproxy.org/

Arachni
Es un sistema totalmente automatizado que trata de hacer cumplir el principio de fuego y olvido. Tan pronto como se inicia un escaneo, no le molestará por nada ni requerirá una mayor interacción del usuario.

🔗​ Link de Descarga: https://github.com/Arachni/arachni

Fiddler
Es un proxy de depuración web que registra todo el tráfico HTTP (S) entre su computadora e Internet. Fiddler le permite inspeccionar todo el tráfico HTTP (S), establecer puntos de interrupción y 'violín' con datos entrantes o salientes.

🔗​ Link de Descarga: https://www.telerik.com/download/fiddler

HTTrack
Es una utilidad de navegador fuera de línea gratuita y fácil de usar. Le permite descargar un sitio de la World Wide Web de Internet a un directorio local, creando recursivamente todos los directorios, obteniendo HTML, imágenes y otros archivos del servidor a su computadora.

🔗​ Link de Descarga http://www.httrack.com/

Nikto
Es un escáner de servidor web de código abierto (GPL) que realiza pruebas exhaustivas contra servidores web para múltiples elementos, incluidos más de 6400 archivos / CGI potencialmente peligrosos, verifica versiones obsoletas de más de 1200 servidores y problemas específicos de versión en más de 270 servidores. También verifica los elementos de configuración del servidor, como la presencia de múltiples archivos de índice, las opciones del servidor HTTP, e intentará identificar los servidores web y el software instalados. Los elementos de escaneo y los complementos se actualizan con frecuencia y se pueden actualizar automáticamente. Para descargas y más información,

🔗​ Link de Descarga: Nikto – SecTools Top Network Security Tools | Nikto2 | CIRT.net

Wfuzz
Se ha creado para facilitar la tarea en las evaluaciones de aplicaciones web y se basa en un concepto simple: reemplaza cualquier referencia a la palabra clave FUZZ por el valor de una carga útil determinada.

🔗​ Link de Descarga: https://github.com/xmendez/wfuzz

Acunetix
Su sitio web puede ser el punto de entrada a sus activos comerciales más valiosos. Acunetix garantiza que los activos de su empresa se mantengan seguros con una auditoria integral del sitio web.

• Pruebas automáticas de XSS, SQLi y más de 4500 vulnerabilidades explotables
• Reduce los falsos positivos con el escaneo de recuadro gris que analiza el código durante la ejecución
• Pruebas para más de 1200 WordPress, Drupal y Joomla! vulnerabilidades específicas
• Escanea HTML5, JavaScript, aplicaciones de una sola página y servicios web RESTful
• Gestión de vulnerabilidades e informes de cumplimiento

🔗​ Link de Descarga: https://www.acunetix.com/download/fullver14/ 

Vega
Es un escáner de seguridad web gratuito y de código abierto y una plataforma de prueba de seguridad web para probar la seguridad de las aplicaciones web. Vega puede ayudarlo a encontrar y validar la inyección SQL, la secuencia de comandos entre sitios (XSS), la información confidencial revelada inadvertidamente y otras vulnerabilidades. Está escrito en Java, basado en GUI, y se ejecuta en Linux, OS X y Windows

🔗​ Link de Descarga: https://subgraph.com/vega/download/index.en.html

Wapiti
Le permite auditar la seguridad de sus sitios web o aplicaciones web. Realiza escaneos de "recuadro negro" (no estudia el código fuente) de la aplicación web rastreando las páginas web de la aplicación web desplegada, buscando secuencias de comandos y formularios donde pueda inyectar datos. Una vez que obtiene la lista de URL, formularios y sus entradas, Wapiti actúa como un fuzzer, inyectando cargas útiles para ver si un script es vulnerable.

🔗​ Link de Descarga: https://wapiti-scanner.github.io/

[divider color="black"] Otras Herramientas [/divider]

Algunas herramientas de esta sección no están actualizadas o pueden no estar disponibles

[accordion] [item title="Otras herramientas (Algunas herramientas no están actualizadas)"] CAL9000 - CAL9000
CookieDigger - CookieDigger
DIRB - DIRB
Gamja - Gamja
Grendel-Scan - Grendel-Scan
LiLith - LiLith
Paros - Paros
ProxyScan.pl - ProxyScan.pl
Powerfuzzer - Powerfuzzer
Ratproxy - Ratproxy
ScanEx - ScanEx
W3af - W3af
AppScan - AppScan
Grabber - Grabber
OWASP WebScarab Project - OWASP_WebScarab_Project
Skipfish - Skipfish [/item] [/accordion]