11 herramientas GRATUITAS de pruebas de penetración (Pentest) en línea para probar la seguridad de las aplicaciones

Las pruebas de penetración son el proceso de evaluación práctica de las vulnerabilidades de seguridad en las aplicaciones para establecer si los atacantes pueden explotarlas y comprometer los sistemas.

Generalmente, esto ayuda a los investigadores, desarrolladores y profesionales de la seguridad a identificar y abordar las vulnerabilidades que permitirían a los malos actores atacar o comprometer la aplicación u otros recursos informáticos.

En la práctica, las pruebas de penetración implican la realización de varias pruebas o evaluaciones de seguridad en servidores, redes, sitios web, aplicaciones web, etc. Aunque esto puede diferir de un sistema y objetivo de pruebas a otro, un proceso típico incluye los siguientes pasos;

• Enumerar las vulnerabilidades y problemas potenciales que los atacantes pueden explotar
• Priorizar u ordenar la lista de vulnerabilidades para determinar la criticidad, el impacto o la gravedad del ataque potencial.
• Realice pruebas de penetración desde dentro y fuera de su red o entorno para determinar si puede utilizar la vulnerabilidad específica para acceder a una red, servidor, sitio web, datos u otro recurso de forma ilegítima.
• Si puede acceder al sistema sin autorización, el recurso es inseguro y requiere abordar la vulnerabilidad de seguridad correspondiente. Después de abordar el problema, realice otra prueba, y repita hasta que no haya ningún problema.

Las pruebas de penetración no son lo mismo que las pruebas de vulnerabilidad.

Mientras que los equipos utilizan las pruebas de vulnerabilidad para identificar posibles problemas de seguridad, las pruebas de penetración encontrarán y explotarán los fallos, estableciendo así si es posible atacar un sistema. Lo ideal sería que las pruebas de penetración detectaran los fallos de seguridad críticos y, por tanto, brindaran la oportunidad de solucionarlos antes de que los piratas informáticos los encuentren y los exploten.

Existen varias herramientas de pruebas de penetración comerciales y gratuitas que puede utilizar para establecer si su sistema es seguro. Para ayudarle a seleccionar la solución adecuada, a continuación le ofrecemos una lista de las mejores herramientas gratuitas de pruebas de penetración.

Karkinos

Karkinos es una herramienta de pruebas de penetración ligera y eficaz que le permite codificar o descodificar caracteres, cifrar o descifrar archivos y texto, y realizar otras pruebas de seguridad. En general, Karkinos es un paquete de múltiples módulos que, combinados, le permiten realizar una amplia gama de pruebas desde una única herramienta.

Por ello, algunas personas se refieren a él como la "navaja suiza" para las pruebas de penetración.

Características principales

• Codifique o descodifique caracteres en varios formatos estándar,
• Crackear hashes simultáneamente utilizando su lista de palabras incorporada de más de 15 millones de contraseñas violadas o comunes editables o reemplazables.
• Genere hashes populares como SHA1, SHA256, SHA512 y MD5.
• Compatible con Linux y Windows.
• Interactúe y capture conchas inversas, y mucho más.

Tamiz

Sifter es una potente mezcla de varias herramientas de pruebas de penetración. Comprende una combinación de herramientas OSINT y de recopilación de inteligencia, así como módulos de exploración de vulnerabilidades. El Sifter combina varios módulos en una completa suite de pruebas de penetración con capacidad para escanear vulnerabilidades rápidamente, realizar tareas de reconocimiento, enumerar hosts locales y remotos, comprobar cortafuegos, etc.

Características principales

• Sifter consta de 35 herramientas diferentes y la capacidad de escanear sitios web, redes y aplicaciones web.
• Utiliza Attack Surface Management (ASM) para mapear la superficie de ataque.
• Dispone de una herramienta de explotación para aprovechar éticamente las vulnerabilidades encontradas
• Capacidades avanzadas de recopilación de información
• La herramienta funciona en Ubuntu, Linux, Windows, Parrot, Kali Linux y otros.
• Un gran número de módulos de pruebas de penetración, por lo tanto, altamente escalable y personalizable.

Metasploit

Metasploit es una herramienta avanzada y versátil que ayuda a los probadores a identificar y explotar vulnerabilidades. La herramienta le permite priorizar a la vez que demuestra los riesgos potenciales utilizando una validación de vulnerabilidades de bucle cerrado.

Además, esta herramienta repleta de funciones le permite realizar una amplia gama de pruebas que van desde el escaneado y la creación de sus cargas útiles hasta la realización de exploits y la comprobación de la concienciación sobre la seguridad mediante correos electrónicos de phishing simulados.

Características principales

• Dispone de un escáner de detección incorporado para el escaneado de puertos TCP en el dispositivo objetivo. El escaneado le permite obtener visibilidad de los servicios que se ejecutan en una red e identificar los puertos abiertos y las vulnerabilidades que pueden explotar.
• Escáner de vulnerabilidades y errores de configuración para identificar fallos y posibles vectores de ataque
• Explotación automatizada o manual de las vulnerabilidades identificadas.
• Le permite acceder al objetivo mediante métodos de ataque con contraseña como la fuerza bruta o la reutilización de credenciales.
• Funciona en Windows, Mac OS y Linux y está disponible tanto en versión de línea de comandos como en versión basada en GUI.

Sn1per

Sn1per es una herramienta de pruebas de penetración todo en uno para equipos de seguridad e investigadores. La plataforma continua de gestión de la superficie de ataque (ASM) le permite descubrir la superficie de ataque y las vulnerabilidades de su aplicación.

Características principales

• Le permite descubrir su superficie de ataque, lo que le brinda la oportunidad de priorizar las amenazas reales a la seguridad.
• Automatiza el proceso de descubrimiento de las vulnerabilidades, así como la ejecución de exploits éticos sobre los fallos identificados.
• Le permite realizar un reconocimiento visual y escanear aplicaciones web. - recopila automáticamente el reconocimiento básico (whois, ping, DNS, etc.).
• Gestione las vulnerabilidades desde una única ubicación.

Commix

Commix es un código abierto que ayuda a escanear y explotar vulnerabilidades de inyección de comandos. La herramienta automatiza los procesos de detección y explotación de fallos, aumentando así la velocidad, la cobertura y la eficacia.

Abreviatura de Comandoy inyecciónyexplotador, Commix es una combinación eficaz de una herramienta de escaneado y un explotador de vulnerabilidades de inyección de comandos.

Características principales

• Herramienta fácil de usar que automatiza la búsqueda y explotación de fallos de inyección de comandos, de ahí que sea más rápido identificar y explotar vulnerabilidades
• Explote las vulnerabilidades de inyección de comandos descubiertas
• Funciona en los sistemas operativos estándar Linux, Windows y Mac, así como en Kali Linux y otras plataformas de pruebas de penetración, como el sistema operativo de seguridad Parrot.
• Portátil, con capacidad para probar varios sistemas operativos y aplicaciones
• Diseño modular que le permite añadir y personalizar funcionalidades para adaptarlas a sus necesidades
• Le permite realizar una inyección de comandos basada en resultados o una inyección de comandos ciega

BeEF

El Marco de Explotación del Navegador (BeEF) es una solución de pruebas potente y eficaz que se centra en el navegador web y sus vulnerabilidades. A diferencia de otras herramientas, utiliza los vectores de ataque del lado del cliente, que, en este caso, son las vulnerabilidades de los navegadores web, para acceder y evaluar la postura de seguridad del entorno objetivo.

Este enfoque permite a los encargados de las pruebas eludir la seguridad perimetral subyacente y, a continuación, acceder al entorno interno del objetivo y analizarlo.

Características principales

• Una estructura modular con una potente API y más de 300 módulos de comandos que abarcan desde el navegador y el enrutador hasta exploits, XSS e ingeniería social.
• Se integra con otras herramientas como Metasploit
• Capacidad para explotar las vulnerabilidades identificadas
• Reconocimiento de redes y capacidad para recopilar una amplia gama de información de los anfitriones
• Una interfaz GUI y soporte para Windows, MAC OS y Linux
• Soporta uno o múltiples navegadores, por lo que permite a varios probadores lanzar múltiples módulos de prueba.

HackTools

HackTools es una potente extensión web todo en uno que incluye varias herramientas y hojas de trucos para probar cargas útiles XSS, reverse shells y mucho más.

Generalmente, está disponible como una pestaña o una opción emergente. Una vez que añada la extensión, obtendrá una función de un solo clic que le permitirá buscar cargas útiles en su almacenamiento local y en varios sitios web.

Características principales

• Dispone de un generador dinámico de concha inversa.
• SQLi, XSS, inclusión de archivos locales (LFI) y otras cargas útiles
• Le proporciona varios métodos de exfiltración y descarga de datos desde máquinas remotas
• Generador de hashes para hashes comunes como SHA1, SHA256, SHA512, MD5, SM3, etc.
• Herramienta constructora MSFVenom para crear rápidamente cargas útiles
• Funciona junto con Metasploit para lanzar exploits avanzados

Modlishka

Modlishka le permite realizar un proxy inverso HTTP automatizado. También puede utilizar la herramienta para envenenar automáticamente la caché HTTP 301 del navegador. Además, puede utilizar la herramienta para secuestrar URL no TLS. Por lo general, Modlishka es compatible con la mayoría de las técnicas de autenticación multifactor y puede identificar y resaltar las vulnerabilidades 2FA.

Características principales

• Puede despojar a un sitio web de todos los encabezados de seguridad e información de cifrado.
• Capacidad para recopilar credenciales de usuario
• Permite realizar o simular campañas de phishing para identificar puntos débiles y concienciarse sobre las técnicas y soluciones de phishing más populares.
• Admite la inyección de carga útil JavaScript basada en patrones.

Dirsearch

Dirsearch es una herramienta de exploración de rutas web desde la línea de comandos.

Esta herramienta rica en funciones le permite realizar fuerza bruta en directorios y archivos del servidor web. En general, permite a los desarrolladores, investigadores de seguridad y administradores explorar una amplia gama de contenidos web generales y complejos con gran precisión. Con un amplio conjunto de vectores de lista de palabras, la herramienta de pruebas de penetración proporciona un rendimiento impresionante y modernas técnicas de fuerza bruta.

Características principales

• Detecte o encuentre directorios web ocultos y no ocultos, páginas web no válidas, etc.
• Fuerza bruta de carpetas y archivos del servidor web
• Multi-threading, por lo que mejora la velocidad de escaneo.
• Capacidad para guardar la salida en diferentes formatos como simple, CSV, markdown, JSON, XML, plain, etc
• Compatible con Linux, Mac y Windows por lo tanto compatible con muchos sistemas.

sqlmap

Sqlmap es una de las mejores herramientas de código abierto para probar y encontrar vulnerabilidades de inyección SQL en bases de datos.

La herramienta automatiza la búsqueda y explotación de vulnerabilidades que podrían resultar en inyección SQL, toma del servidor de base de datos, etc. Además, incluye varios interruptores como la obtención de datos desde la base de datos, la toma de huellas dactilares de la base de datos y el uso de conexiones fuera de banda para ejecutar comandos en el sistema operativo, acceder al sistema de archivos subyacente, etc.

Características principales

• Proporciona un escaneado exhaustivo de las aplicaciones web al tiempo que identifica las vulnerabilidades de inyección SQL y de toma de control de bases de datos
• Detecta y explota las URL de solicitud HTTP vulnerables para acceder a una base de datos remota y realizar acciones como extraer datos como nombres de bases de datos, tablas, columnas, etc.
• Encuentre y explote automáticamente las vulnerabilidades SQL. Por ejemplo, puede automatizar el proceso de detección de vulnerabilidades de la base de datos y, finalmente, realizar una toma de control de la base de datos.
• Admite varias técnicas de inyección SQL, como la consulta UNION, las consultas apiladas, las basadas en errores, las ciegas basadas en booleanos, las ciegas basadas en tiempo, las fuera de banda, etc.
• Adecuado para servidores de bases de datos populares, incluyendo Microsoft SQL Server, MySQL, PostgreSQL, Oracle, Firebird, IBM DB2, SQLite, etc.
• Puede reconocer automáticamente los formatos hash de las contraseñas.

Nmap

Nmap es una herramienta de auditoría de seguridad y descubrimiento de redes. Esta potente herramienta de código abierto, repleta de funciones, ayuda a los administradores a realizar inventarios de red, supervisar el tiempo de actividad de los servicios y gestionar los programas de actualización, entre otras muchas tareas.

La herramienta Nmap utiliza paquetes IP para encontrar hosts en la red, sistemas operativos y servicios activos. Otras métricas que la herramienta identifica incluyen los cortafuegos o filtros en uso y otros.

Características principales

• Solución de gran flexibilidad que admite una amplia gama de técnicas
• Utiliza mecanismos de escaneado TCP y UDP, detección de versiones, detección de sistemas operativos, barridos ping, etc.
• Por lo tanto, potente y escalable, adecuada para todas las redes, incluidos los grandes sistemas con miles de máquinas.
• Fácil de instalar y utilizar la herramienta disponible tanto en línea de comandos como en versión GUI, y adecuada para probadores medios y expertos.
• Solución de soporte multiplataforma que funciona con la mayoría de los sistemas operativos estándar incluidos,
• Una herramienta de comparación de resultados de escaneado, un generador de paquetes y una herramienta de análisis de respuestas.

Conclusión

Aunque es casi imposible conseguir que las aplicaciones sean 100% seguras, conocer los fallos existentes permite a los equipos establecer si los atacantes pueden utilizarlos para irrumpir en las aplicaciones o sistemas. Para realizar la prueba, los profesionales de la seguridad pueden utilizar una amplia gama de herramientas de código abierto disponibles en el mercado.

He aquí una rápida comparación entre SAST y DAST.