Pruebas de seguridad de web y API

Preparación

• Pasa el navegador por un proxy de interceptación (Burp, ZAP) para ver, reenviar y modificar cada solicitud.
• Crea al menos dos cuentas de prueba con el mismo nivel de privilegio y una de nivel superior si el alcance lo permite. Los bugs de autorización se encuentran comparando cuentas.
• Mapea la aplicación: páginas, rutas de la API, parámetros, roles, cargas de archivos, integraciones. El esquema de la API (OpenAPI) es un regalo cuando existe.
• Anota qué solicitudes están autenticadas y cómo: cookie, bearer token, clave de API.

Una lista de verificación de pruebas

• Control de acceso: reenvía las solicitudes de la cuenta A con el token de la cuenta B; cambia ids; llama rutas de admin como usuario normal; prueba métodos que la interfaz nunca usa.
• Autenticación y sesión: rate limiting en el inicio de sesión y el restablecimiento, expiración y rotación de sesión, flags de cookie, validación de token.
• Inyección: envía caracteres y tipos inesperados a cada parámetro, encabezados y campos JSON, y observa errores o cambios de comportamiento.
• Lógica de negocio: salta pasos, repite pasos, cambia cantidades y precios, dispara dos solicitudes al mismo tiempo (race condition).
• Configuración incorrecta: errores detallados, endpoints de depuración, listado de directorios, CORS permisivo, encabezados ausentes.
• Manejo de archivos: verificaciones de tipo y tamaño, manejo de rutas, dónde se almacenan y se sirven las cargas.

Ejemplo: una verificación de autorización con dos cuentas

import requests

BASE = "https://api.example.com/v2"
A = {"Authorization": "Bearer <token del tester-a>"}
B = {"Authorization": "Bearer <token del tester-b>"}

# objetos que posee la cuenta A (listados con el token de la propia A)
ids = [o["id"] for o in requests.get(f"{BASE}/invoices", headers=A, timeout=10).json()]

for oid in ids:
    r = requests.get(f"{BASE}/invoices/{oid}", headers=B, timeout=10)
    verdict = "VULNERABLE" if r.status_code == 200 else "ok"
    print(f"{oid}: B -> {r.status_code} {verdict}")

ffuf -u https://app.example.com/FUZZ -w common-paths.txt -rate 10 -mc 200,204,301,302,401,403 -o ffuf.json

Prueba las APIs de forma deliberada

• La autorización a nivel de objeto (BOLA) y a nivel de función son los hallazgos más comunes en APIs.
• Mass assignment: envía campos extra (role, isAdmin, price) que el cliente nunca envía.
• Exposición excesiva de datos: la API devuelve objetos completos y la interfaz oculta campos; lee la respuesta en bruto.
• Límites de tasa y de recursos en operaciones costosas.
• Deriva de versiones: versiones antiguas de la API y rutas no documentadas que carecen de los controles de las nuevas.
• Mantente dentro de las reglas de compromiso: prueba con datos de prueba, evita llamadas destructivas y mantén baja la tasa de solicitudes.