Escaneo de aplicaciones web con Nikto y OWASP ZAP

Las aplicaciones web exponen superficies de ataque complejas: parámetros de URL, campos de formularios, cookies, encabezados, cargas de archivos y API. Los escáneres automatizados prueban sistemáticamente todos estos elementos en busca de vulnerabilidades comunes.

Nikto es un escáner de servidores web de línea de comandos que comprueba archivos peligrosos, software obsoleto, encabezados inseguros y CVE conocidos. Es rápido y sencillo, pero ruidoso; no es una herramienta sigilosa.

Nikto antepone + a los hallazgos. Busque interfaces de administración expuestas, listados de directorios, encabezados de seguridad ausentes, versiones obsoletas del servidor y archivos potencialmente peligrosos como /phpinfo.php.

OWASP ZAP (Zed Attack Proxy) es un escáner de seguridad de aplicaciones web completo, con interfaz gráfica y API. Funciona como proxy, spider y escáner activo, por lo que resulta adecuado tanto para pruebas manuales como automatizadas.

Configure el navegador para utilizar ZAP como proxy (localhost:8080). ZAP captura todo el tráfico y crea un mapa del sitio. Esta fase pasiva recopila información sin enviar cargas útiles de ataque.

El spider rastrea la aplicación siguiendo enlaces y acciones de formularios. El spider AJAX gestiona las aplicaciones de una sola página con mucho contenido JavaScript. Ambos crean un mapa completo del sitio para el escaneo activo.

El escáner activo envía cargas útiles de ataque (inyección SQL, XSS y path traversal) a cada entrada descubierta. Los niveles de riesgo son: Alto, Medio, Bajo e Informativo.

ZAP agrupa los hallazgos en alertas. Cada alerta muestra el nivel de riesgo, la confianza, la URL afectada, la carga útil de ataque utilizada, las pruebas obtenidas de la respuesta y la corrección recomendada. Una confianza alta implica menos falsos positivos.

ZAP proporciona una imagen de Docker para el escaneo automatizado en pipelines. El script zap-baseline.py ejecuta un escaneo pasivo adecuado para CI; zap-full-scan.py ejecuta un escaneo activo.

Nikto: sencillo, rápido y de línea de comandos; es ideal para comprobaciones rápidas y problemas a nivel de servidor. ZAP: completo y basado en proxy; gestiona aplicaciones complejas y es mejor para vulnerabilidades a nivel de aplicación y para la integración con CI.

Escanee únicamente sistemas de su propiedad o para los que tenga autorización escrita. El escaneo no autorizado puede infringir las leyes (CFAA, Computer Misuse Act) y los términos del servicio, aunque no se pretenda causar ningún daño.

¿Qué diferencia al escáner activo de ZAP del escaneo pasivo?

Nikto proporciona hallazgos rápidos a nivel de servidor en cuestión de segundos. ZAP ofrece un escaneo profundo a nivel de aplicación, con interceptación mediante proxy, spidering y ataques activos. Ambas herramientas requieren autorización. En pipelines maduros, automatice escaneos de referencia de ZAP en cada implementación para detectar regresiones antes de que lleguen a producción.