👽
Whoami
  • 👽Whoami
  • Práctica de Hacking: Plataformas y Recursos
    • Plataformas para Practicar Hacking
    • Dockerlabs
      • Trust
      • Injection
      • FirstHacking
      • Upload
      • Vacaciones
      • BreakMySSH
      • BorazuwarahCTF
    • The Hackers Labs
      • Torrijas
    • Under Construction
  • ROAD TO CBBH
    • Explorando las plataformas de Bug Bounty: HackerOne y Bugcrowd
    • Bug Bounty Hunter
      • Web Request
      • Introduction to Web Aplications
      • Using Web Proxies
      • Information Gathering-Web Edition
      • Attacking Web Aplications with Ffuf
  • TOOLS
    • XSS-Scanner.py
  • CHECKLIST
    • Checklist Auditoria Web
Powered by GitBook
On this page
  • Intro to Web Proxies, what are they?
  • Manipulating Intercepted Requests
  • Encoding/Deconding
  • Burp Scanner
  1. ROAD TO CBBH
  2. Bug Bounty Hunter

Using Web Proxies

Intro to Web Proxies, what are they?

  • Los proxies web son herramientas MITM → Capturan y manipulan solicitudes web entre clientes y servidores.

  • Son esenciales en pentesting web → Permiten analizar tráfico web y probar vulnerabilidades.

  • Funciones clave de los proxies web:

    • Captura y reproducción de solicitudes HTTP

    • Escaneo de vulnerabilidades

    • Fuzzing y crawling web

    • Análisis y mapeo de aplicaciones

  • Burp Suite → Herramienta más usada en pentesting web. Su versión gratuita es potente, pero la versión Pro tiene características avanzadas como el escáner activo.

  • OWASP ZAP → Alternativa gratuita y de código abierto a Burp Suite, sin restricciones ni funciones de pago.

  • Ambas herramientas son útiles → Se recomienda aprender a usar ambas para elegir la más adecuada según el tipo de pentest.

Manipulating Intercepted Requests

  • Interceptar y manipular solicitudes web → Permite analizar el tráfico y modificar datos antes de que lleguen al servidor.

  • Se utiliza en pruebas de seguridad web → Especialmente en la detección de vulnerabilidades como SQLi, XSS, bypass de autenticación, entre otras.

  • Ejemplo práctico → Se intercepta una solicitud HTTP de un botón "Ping" para modificarla antes de enviarla.

Encoding/Deconding

  • Codificación URL → Evita errores en las solicitudes HTTP asegurando que los caracteres especiales sean interpretados correctamente.

  • Diferentes tipos de codificación → No solo se usa URL-Encoding, sino también HTML, Unicode, Base64 y ASCII Hex.

  • Decodificación → Es fundamental para analizar datos codificados que las aplicaciones web puedan estar enviando.

  • Herramientas en Burp y ZAP → Permiten codificar y decodificar datos de manera rápida y eficiente.

Burp Scanner

  • Burp Scanner solo está disponible en la versión Pro.

  • Se pueden realizar escaneos desde el Proxy History, Dashboard o Target Scope.

  • El Crawler mapea el sitio sin realizar pruebas de fuzzing.

  • El Passive Scanner detecta posibles fallos sin enviar nuevas solicitudes.

  • El Active Scanner verifica y explota vulnerabilidades activamente.

  • Los reportes generados deben analizarse antes de ser entregados a clientes.

PreviousIntroduction to Web AplicationsNextInformation Gathering-Web Edition

Last updated 3 months ago