UD 7 - Pentesting de aplicaciones web

Cada unidad contendrá una serie de contenidos, resultados de aprendizaje (desglosados en criterios de evaluación), una práctica o prácticas para evaluar la adquisición de dichos criterios de evaluación y una prueba teórica para evaluar la asimilación de contenido.

Normativa que respalda la unidad

Contenidos

En esta sección se incluyen los contenidos mínimos a impartir en esta unidad, teniendo en cuenta la normativa del curso.

Bloque 5 - Ataque y defensa en entorno de pruebas, a aplicaciones web:

• Negación de credenciales en aplicaciones web.
• Recolección de información.
• Automatización de conexiones a servidores web (ejemplo: Selenium).
• Análisis de tráfico a través de proxies de intercepción.
• Búsqueda de vulnerabilidades habituales en aplicaciones web.
• Herramientas para la explotación de vulnerabilidades web.

Resultados de aprendizaje a trabajar

En esta sección se relaciona la unidad con el resultado de aprendizaje a trabajar en esta unidad, teniendo en cuenta la normativa del curso.

RA 5. Ataca y defiende en entornos de prueba, aplicaciones web consiguiendo acceso a datos o funcionalidades no autorizadas.

Criterios de evaluación

En esta sección se relaciona la unidad con los criterios de evaluación concretos, del resultado de aprendizaje a trabajar en esta unidad, teniendo en cuenta la normativa del curso.

• a) Se han identificado los distintos sistemas de autenticación web, destacando sus debilidades y fortalezas.
• b) Se ha realizado un inventario de equipos, protocolos, servicios y sistemas operativos que proporcionan el servicio de una aplicación web.
• c) Se ha analizado el flujo de las interacciones realizadas entre el navegador y la aplicación web durante su uso normal.
• d) Se han examinado manualmente aplicaciones web en busca de las vulnerabilidades más habituales.
• e) Se han usado herramientas de búsquedas y explotación de vulnerabilidades web.
• f) Se ha realizado la búsqueda y explotación de vulnerabilidades web mediante herramientas software.

Cómo impartir la unidad

Esta es la sección más interesante, y se incluye cómo trabajar la unidad, haciendo referencia a herramientas, guías, materiales y recursos, de manera individual para cada criterio.

• Criterio de evaluación b: se pueden emplear las siguientes herramientas:

  • dirb

• Criterio de evaluación c: se pueden emplear las siguientes herramientas:

  • burpsuite

• Criterio de evaluación e: se pueden emplear las siguientes herramientas:

  • nikto
  • wpscan
  • whatweb

• Criterio de evaluación f: se pueden emplear las siguientes herramientas:

  • sqlmap

Teoría

Por hacer.

Ejercicios

Por hacer.

Cómo evaluar la unidad

Práctica de la unidad

En esta sección se incluye una propuesta de práctica o prácticas con los que evaluar la unidad.

Controles de ejemplo

En esta sección se incluyen controles de ejemplo para evaluar la unidad.