El OWASP Top 10 resume las categorías de riesgo más críticas en aplicaciones web. Sirve como mapa para priorizar pruebas y controles; no es una lista exhaustiva.
| # | Categoría | Pregunta clave en un pentest |
|---|---|---|
| A01 | Broken Access Control | ¿Es posible acceder a recursos de otro usuario cambiando un ID? |
| A02 | Cryptographic Failures | ¿Viajan o se guardan datos sensibles sin cifrado adecuado? |
| A03 | Injection | ¿Llega la entrada del usuario a un intérprete (SQL, OS, LDAP) sin parametrizar? |
| A04 | Insecure Design | ¿Falta un control de negocio (límites, flujos, validaciones)? |
| A05 | Security Misconfiguration | ¿Hay paneles, errores detallados o valores por defecto expuestos? |
| A06 | Vulnerable Components | ¿Usa librerías con CVE conocidos? |
| A07 | Identification & Auth Failures | ¿Admite fuerza bruta, credenciales débiles o sesiones eternas? |
| A08 | Software & Data Integrity | ¿Confía en actualizaciones, CI/CD o datos serializados sin verificar? |
| A09 | Logging & Monitoring Failures | ¿Quedaría registrado y alertado un ataque? |
| A10 | SSRF | ¿Puede el servidor ser inducido a pedir URLs internas? |
Metodología mínima
- Reconocer: mapear rutas, parámetros y roles (proxy + navegación manual).
- Hipotetizar: asociar cada funcionalidad a categorías del Top 10.
- Probar: payloads mínimos y controlados; confirmar impacto.
- Documentar: evidencia, impacto, recomendación.
Payloads de verificación habituales
SQLi ' " OR 1=1-- ' OR '1'='1
XSS <script>alert(1)</script> <img src=x onerror=alert(1)>
Path trav. ../../../../etc/passwd
SSRF http://127.0.0.1:80/ http://169.254.169.254/latest/meta-data/