Pentest web: test de intrusión para webs, tiendas online y aplicaciones

Qué es un pentest web y qué encuentra que no ve un escáner

Una web o una tienda online es la puerta de la empresa que está abierta a todo el mundo, las 24 horas. Por ella pasan clientes, pedidos, datos personales y, en muchos casos, pagos. Un escáner automático detecta versiones antiguas y configuraciones evidentes, pero no razona: no entiende que un cupón se puede aplicar dos veces, que cambiando un número en la URL se ve el pedido de otro cliente o que un formulario permite subir algo que no debería. Eso lo encuentra una persona que piensa como un atacante. Eso es un pentest.

Qué probamos

Usamos como referencia la guía de pruebas de seguridad web de OWASP (WSTG) y las categorías de riesgo de OWASP Top 10, adaptadas a vuestra tecnología:

• Autenticación y sesiones. Inicio de sesión, recuperación de contraseña, fuerza bruta, gestión de cookies y cierre de sesión.
• Control de acceso. Si un usuario puede ver o modificar datos de otro, o llegar a funciones de administración sin serlo.
• Inyecciones. SQL, comandos, plantillas y scripts entre sitios (XSS) en formularios, buscadores y parámetros.
• Lógica de negocio. Carrito, precios, descuentos, cupones, stock y pasos del proceso de compra.
• Subida de ficheros y APIs. Validación de tipos, tamaños y permisos, y exposición de datos en las API.
• Configuración y componentes. Cabeceras de seguridad, TLS, ficheros expuestos, paneles accesibles y plugins o módulos con vulnerabilidades conocidas en WordPress, PrestaShop, WooCommerce u otros.

Caja negra o caja gris

En caja negra partimos solo de la URL, como lo haría un atacante externo. Es útil para saber qué ve cualquiera desde fuera. En caja gris nos dais usuarios de prueba con distintos perfiles (cliente, distribuidor, administrador) y probamos lo que hay detrás del inicio de sesión, que es donde suelen estar los fallos más graves. Para tiendas y aplicaciones con área privada solemos recomendar caja gris.

Reglas claras antes de empezar

Ningún pentest empieza sin una autorización firmada que fije alcance, dominios, direcciones, fechas, horarios y contactos de emergencia. Si es posible, probamos sobre un entorno de preproducción idéntico al real; si hay que hacerlo en producción, evitamos pruebas destructivas y acordamos franjas de menor actividad. Si el hosting es de un tercero, comprobamos con vosotros que sus condiciones lo permiten.

Dos informes y un re-test

El informe técnico describe cada vulnerabilidad con su gravedad, la evidencia, cómo reproducirla y cómo corregirla, para que vuestro desarrollador o agencia pueda actuar sin adivinar. El informe ejecutivo resume el nivel de riesgo y las prioridades para dirección. Cuando hayáis aplicado las correcciones, hacemos un re-test de los hallazgos para confirmar que están cerrados.

Si el pentest encuentra algo serio

Si aparece una vulnerabilidad crítica durante las pruebas, os avisamos en el momento, sin esperar al informe. Si la web ya muestra señales de compromiso, la tratamos con nuestro servicio de desinfección web. Para reducir riesgo de forma continua, un WAF con protección anti-DDoS delante de la web filtra buena parte de los ataques automáticos mientras se corrige el código. Y si queréis revisar el resto de la empresa, no solo la web, empezad por una auditoría de ciberseguridad.