Realizando Testes de Penetração em Aplicações Web

Quando Usar

• Testar aplicações web antes da implantação em produção para identificar vulnerabilidades exploráveis
• Realizar avaliações de segurança para conformidade (requisito 6.6 do PCI-DSS, SOC 2 Tipo II)
• Validar a correção de vulnerabilidades em aplicações web previamente identificadas durante retestes
• Avaliar aplicações web de terceiros antes da integração ao ambiente da organização
• Avaliar aplicações web desenvolvidas internamente onde a varredura automatizada sozinha é insuficiente

Não use contra aplicações web sem autorização por escrito, contra sistemas em produção durante horários de pico de tráfego sem aprovação explícita, ou para testes de negação de serviço (denial-of-service) na infraestrutura web.

Pré-requisitos

• Declaração de escopo (SoW) assinada definindo as URLs do aplicativo alvo, ambientes (staging/produção) e limites de teste
• Licença do Burp Suite Professional com extensões atualizadas (Active Scan++, Autorize, JSON Beautifier, Logger++)
• Contas de teste válidas em cada nível de privilégio (não autenticado, usuário padrão, administrador) para testes de autorização
• Documentação da aplicação, incluindo especificações de API (OpenAPI/Swagger), mapa do site e detalhes da pilha de tecnologia
• Navegador configurado com o proxy do Burp Suite (FoxyProxy recomendado) e certificado CA do Burp instalado

Fluxo de Trabalho

Passo 1: Reconhecimento e Mapeamento da Aplicação

Mapeie toda a superfície de ataque da aplicação web:

• Configure o proxy do Burp Suite e rastreie a aplicação navegando manualmente por cada página, formulário e função enquanto o Burp captura o mapa do site
• Use o recurso Discover Content do Burp para encontrar diretórios e arquivos ocultos que não estão vinculados a partir da aplicação visível
• Identifique a pilha de tecnologia a partir de cabeçalhos de resposta (X-Powered-By, Server), cookies (JSESSIONID = Java, PHPSESSID = PHP, ASP.NET_SessionId = .NET) e extensões de página
• Enumere endpoints usando ffuf -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -u https://target.com/FUZZ -mc 200,301,302,403
• Revise arquivos JavaScript em busca de endpoints de API codificados, segredos e roteamento do lado do cliente usando a extensão JS Link Finder do Burp ou LinkFinder.py
• Documente todos os pontos de entrada: parâmetros de URL, corpos POST, cabeçalhos HTTP, cookies, uploads de arquivos e conexões WebSocket

Passo 2: Testes de Autenticação

Teste os mecanismos de autenticação em busca de fraquezas:

• Enumeração de credenciais: Envie nomes de usuário válidos e inválidos para identificar diferenças na resposta (tempo, mensagem, status HTTP) que revelem contas válidas
• Proteção contra força bruta: Tente 10-20 tentativas rápidas de login com credenciais inválidas para verificar se o bloqueio de conta e a limitação de taxa estão sendo aplicados
• Política de senha: Teste a criação de senhas com senhas fracas (123456, password, caractere único) para verificar a aplicação da política
• Bypass de autenticação multifator: Teste o bypass de MFA acessando diretamente páginas pós-autenticação, manipulando tokens de MFA ou repetindo respostas de MFA bem-sucedidas
• Fixação de sessão: Observe o token de sessão antes e depois da autenticação. Se o token não mudar após o login, a fixação de sessão é possível
• Funcionalidade "Lembrar-me": Inspecione tokens de autenticação persistentes em busca de previsibilidade, criptografia e expiração adequada
• Redefinição de senha: Teste o fluxo de redefinição de senha em busca de previsibilidade de token, expiração de token, enumeração de conta via formulário de redefinição e injeção de cabeçalho host

Passo 3: Testes de Autorização

Verifique se os controles de acesso estão sendo aplicados corretamente:

• Escalonamento horizontal de privilégios (IDOR): Usando a Conta A, capture requisições que acessam recursos da Conta A. Repita essas requisições substituindo os identificadores da Conta B (IDs de usuário, números de pedido, nomes de arquivo). Use a extensão Autorize do Burp para automatizar isso em todos os endpoints.
• Escalonamento vertical de privilégios: Usando uma conta de baixo privilégio, tente acessar funções administrativas navegando diretamente para URLs de administrador, modificando parâmetros de função em requisições ou manipulando claims de JWT
• Navegação forçada: Tente acessar recursos que deveriam exigir autenticação navegando diretamente para URLs internas coletadas durante o mapeamento
• Manipulação de método HTTP: Se GET for bloqueado em um endpoint, tente PUT, POST, DELETE, PATCH ou use cabeçalhos de substituição de método (X-HTTP-Method-Override: DELETE)
• Travessia de caminho na autorização: Teste a manipulação de caminhos de URL (/api/users/123/../456/profile) para contornar verificações de autorização baseadas em caminho

…