Varredura de Aplicações Web com Nikto e OWASP ZAP

Os aplicativos web expõem superfícies de ataque complexas: parâmetros de URL, campos de formulário, cookies, cabeçalhos, carregamentos de arquivos e APIs. As ferramentas automatizadas de varredura testam sistematicamente todos esses elementos em busca de vulnerabilidades comuns.

O Nikto é uma ferramenta de linha de comando para varredura de servidores web que verifica arquivos perigosos, programas desatualizados, cabeçalhos inseguros e CVEs conhecidos. É rápido, simples e barulhento — não é discreto.

O Nikto prefixa as descobertas com +. Procure por: interfaces administrativas expostas, listagens de diretórios, cabeçalhos de segurança ausentes, versões desatualizadas do servidor e arquivos potencialmente perigosos, como /phpinfo.php.

O OWASP ZAP (Proxy de Ataque Zed) é uma ferramenta completa de varredura de segurança de aplicativos web, com uma GUI e uma API. Ele funciona como proxy, rastreador e ferramenta de varredura ativa, sendo adequado tanto para testes manuais quanto automatizados.

Configure o navegador para usar o ZAP como proxy (localhost:8080). O ZAP captura todo o tráfego e cria um mapa do site. Essa fase passiva coleta informações sem enviar cargas de ataque.

O rastreador percorre o aplicativo seguindo links e ações de formulários. O rastreador AJAX lida com aplicativos de página única que usam muito JavaScript. Ambos criam um mapa completo do site para a varredura ativa.

A ferramenta de varredura ativa envia cargas de ataque, como injeção de SQL, XSS e travessia de caminhos, para cada entrada descoberta. Níveis de risco: Alto, Médio, Baixo e Informativo.

O ZAP agrupa as descobertas em alertas. Cada alerta mostra: nível de risco, confiança, URL afetada, carga de ataque usada, evidências da resposta e correção recomendada. Uma confiança alta significa menos falsos positivos.

O ZAP fornece uma imagem Docker para varreduras automatizadas em processos. O programa zap-baseline.py executa uma varredura passiva adequada para CI; o programa zap-full-scan.py executa uma varredura ativa.

Nikto: simples, rápido e executado na linha de comando, é melhor para verificações rápidas e problemas no nível do servidor. ZAP: abrangente e baseado em proxy, lida com aplicativos complexos e é melhor para vulnerabilidades no nível do aplicativo e integração com CI.

Verifique somente sistemas que pertençam a você ou para os quais tenha autorização por escrito para testar. A varredura não autorizada pode violar leis, como a CFAA e a Computer Misuse Act, e termos de serviço, mesmo quando não há intenção de causar danos.

O que distingue a ferramenta de varredura ativa do ZAP da varredura passiva?

O Nikto fornece rapidamente, em segundos, descobertas no nível do servidor. O ZAP oferece uma varredura profunda no nível do aplicativo, com interceptação por proxy, rastreamento e ataques ativos. Ambos exigem autorização. Em processos maduros, automatize varreduras básicas do ZAP a cada implantação para detectar regressões antes que cheguem à produção.