Escaneo Web autenticado
Esta guía proporciona un tutorial paso a paso sobre cómo ejecutar un escaneo web autenticado utilizando Ostorlab.
1. Haga clic en "New Scan"
Haga clic en el icono "New Scan" de la barra superior.
2. Haga clic en "Web App"
Elija la opción "Web App" de los tipos de activos disponibles.
3. Especifique las URL o dominios de destino
Ingrese las URL o dominios a escanear, cada uno en una línea distinta, y luego haga clic en "Continue". El paso "Extra Context" que sigue es opcional: haga clic de nuevo en "Continue" para omitirlo.
4. Seleccione la opción "Full Web Scan"
Seleccione el perfil "Full Web Scan" y luego haga clic en "Continue". Un perfil con un candado y un botón "Unlock Profile" no está incluido en el plan de su organización; "Unlock Profile" abre la página de planes.
5. Seleccione o agregue credenciales de prueba
El paso "Test Credentials" le permite seleccionar una o más credenciales de prueba (test credentials) predefinidas o agregar nuevas. Las credenciales de prueba aumentan la cobertura del análisis dinámico. Para agregar una nueva, haga clic en "+ Test Credentials".
6. Agregar una credencial de prueba
Los tipos compatibles son:
- Login & Password: una combinación de nombre de usuario y contraseña.
- Custom Credentials: pares clave-valor personalizados, asociados semánticamente durante las pruebas, para campos de formulario personalizados como nombre de usuario, contraseña y nombre de dominio.
- 2FA SMS, 2FA Email, 2FA TOTP y 2FA Manual: autenticación de dos factores. Consulte 2FA para escaneos autenticados.
- Basic Authentication: el esquema de autenticación HTTP Basic.
- Script: Le permite cargar un script de puppeteer. Esto puede ser muy útil para habilitar flujos de autenticación complejos o interacciones complejas como el proceso de pago (checkout).
- Certificate: un certificado de cliente TLS.
- HTTP Headers: Le permite proporcionar encabezados (headers) como Authorization, User-Agent, etc.
Por ejemplo, para agregar un "Login & Password", seleccione la opción "Login & Password" en el menú de credenciales de prueba.
Ingrese el usuario, la contraseña y la URL
Ingrese el usuario, la contraseña y la URL de la página de inicio de sesión. La etiqueta y el rol son opcionales. La credencial de prueba se guarda y se agrega al escaneo una vez que haga clic en Start scan.
7. Proporcionar un User-Agent personalizado
El encabezado de solicitud HTTP User-Agent permite a los servidores identificar la aplicación, el proveedor y/o la versión del agente de usuario que realiza la solicitud.
Ostorlab utiliza un agente de usuario al escanear aplicaciones web. Sin embargo, en ocasiones, los usuarios pueden desear proporcionar su agente de usuario preferido para que se utilice durante el escaneo. Para hacerlo, simplemente agregue una credencial de prueba de tipo Encabezado HTTP.
- Opcionalmente, introduzca una etiqueta para identificar fácilmente esta credencial de prueba, por ejemplo, "Agente de Usuario Personalizado".
- En el campo name, introduzca User-Agent.
- En el campo value, introduzca su agente de usuario preferido, por ejemplo,
Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36.
Al ejecutar un escaneo web autenticado, puede seleccionar esta credencial de prueba en el paso "Set scan credentials" y la aplicación web se escaneará utilizando el agente de usuario personalizado.
8. Opcionalmente configure los demás pasos
Los pasos "SBOM Files", "Advanced Settings", "Custom Checks" y "Tags" son opcionales. Los ajustes avanzados incluyen el QPS (número máximo de consultas por segundo), un proxy y una expresión regular (regex) de filtro de URL.
9. Haga clic en "Start scan"
Haga clic en el botón "Start scan" para crear el escaneo.
10. Abra sus escaneos
La página del escaneo se abre con el mensaje "Scan created". Para seguir el escaneo, haga clic en el icono "Scans" de la barra superior. El escaneo aparece en la tabla de escaneos: primero queda en cola y luego se ejecuta.
En esta guía, ha aprendido cómo ejecutar un escaneo web autenticado utilizando Ostorlab. Las instrucciones cubrieron la configuración de los ajustes de escaneo, la adición de URL y dominios, y la autenticación con credenciales de inicio de sesión. Siguiendo estos pasos, puede asegurar un escaneo web exhaustivo y seguro para sus aplicaciones.