Escaneo Web autenticado
Esta guía proporciona un tutorial paso a paso sobre cómo ejecutar un escaneo web autenticado utilizando Ostorlab.
1. Haga clic en el icono del menú a la izquierda
2. Navegue a la sección "Scanning" en el menú
3. Haga clic en la opción "New Scan"
4. Haga clic en "Web App"
Elija la opción "Web App" de los tipos de escaneo disponibles.
5. Haga clic en "Continue"
6. Especifique las URL o dominios de destino
Especifique las URL o dominios de destino. Puede ingresar varias URL o dominios introduciendo cada uno en una nueva línea.
7. Haga clic en "Continue"
8. Seleccione la opción "Full Web Scan"
9. Haga clic en "Continue"
10. Opcionalmente configure ajustes de escaneo avanzados
Esta sección le permite configurar ajustes de escaneo avanzados opcionales, como el QPS para establecer el número máximo de consultas por segundo. Puede establecer un proxy y una expresión regular (regex) de filtro de URL.
11. Haga clic en "Continue"
Haga clic en el botón "Continue" para proceder a configurar las credenciales de prueba (test credentials).
12. Seleccione una o más credenciales de prueba predefinidas
Este paso le permite seleccionar una o más credenciales de prueba (test credentials) predefinidas o agregar nuevas. Las credenciales de prueba aumentan la cobertura del análisis dinámico.
13. Haga clic en "Test Credentials"
También puede agregar credenciales de prueba directamente haciendo clic en el botón "Test Credentials".
14. Agregar una credencial de prueba
Los tipos compatibles son:
- Login & Password
- Basic Authentication
- Credit card
- Phone Number
- Address
- Certificates
- Script: Le permite cargar un script de puppeteer. Esto puede ser muy útil para habilitar flujos de autenticación complejos o interacciones complejas como el proceso de pago (checkout).
- Custom credentials: Para campos de formulario personalizados como nombre de usuario, contraseña y nombre de dominio.
- HTTP Header: Le permite proporcionar encabezados (headers) como Authorization, User-Agent, etc.
Por ejemplo, para agregar un "Login & Password", seleccione la opción "Login & Password" en el menú de credenciales de prueba.
Ingrese el usuario, la contraseña y la URL
Ingrese el usuario, la contraseña y la URL. La credencial de prueba se agregará al escaneo una vez que haga clic en Submit.
15. Proporcionar un User-Agent personalizado
El encabezado de solicitud HTTP User-Agent permite a los servidores identificar la aplicación, el proveedor y/o la versión del agente de usuario que realiza la solicitud.
Ostorlab utiliza un agente de usuario al escanear aplicaciones web. Sin embargo, en ocasiones, los usuarios pueden desear proporcionar su agente de usuario preferido para que se utilice durante el escaneo. Para hacerlo, simplemente agregue una credencial de prueba de tipo Encabezado HTTP.
- Opcionalmente, introduzca una etiqueta para identificar fácilmente esta credencial de prueba, por ejemplo, "Agente de Usuario Personalizado".
- En el campo name, introduzca User-Agent.
- En el campo value, introduzca su agente de usuario preferido, por ejemplo,
Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36.
Al ejecutar un escaneo web autenticado, puede seleccionar esta credencial de prueba en el paso "Set scan credentials" y la aplicación web se escaneará utilizando el agente de usuario personalizado.
16. Haga clic en "Submit"
Haga clic en el botón "Submit" para crear el escaneo.
17. Haga clic en "Show"
Se creará el escaneo web. Puede hacer clic en "Show" en la alerta para ir a la lista de escaneos.
En esta guía, ha aprendido cómo ejecutar un escaneo web autenticado utilizando Ostorlab. Las instrucciones cubrieron la configuración de los ajustes de escaneo, la adición de URL y dominios, y la autenticación con credenciales de inicio de sesión. Siguiendo estos pasos, puede asegurar un escaneo web exhaustivo y seguro para sus aplicaciones.