Encontrar vulnerabilidades web con Vega

Resistir un ataque de un hacker motivado es una de las responsabilidades más importantes que un administrador de sistemas debe asumir. Esto es especialmente cierto en el caso de los sitios web que pueden contener información confidencial de los clientes y un gran volumen de usuarios. Por lo tanto, es importante que el administrador de sistemas tome medidas proactivas para encontrar y corregir las vulnerabilidades de sus sitios web

Una herramienta que puede ayudar a hacer esto es Vega Vulnerability Scanner, una herramienta gráfica de auditoría web gratuita y de código abierto desarrollada por la empresa de seguridad Subgraph.

Esta herramienta contiene varias características interesantes como un escáner proxy, pero nos centraremos en el aspecto de las pruebas de seguridad automatizadas que pueden ayudarnos a encontrar y validar la inyección de SQL, la secuencia de comandos en sitios cruzados (XSS), la información confidencial revelada inadvertidamente y muchas otras vulnerabilidades.

Existen escáneres de aplicaciones web similares a los de Vega. El escáner Burp Suite de Portswigger y el escáner de seguridad de Netsparker son dos escáneres de alta calidad para vulnerabilidades, pero el escáner de Vega puede realizar muchas de las mismas tareas sin coste alguno.

El escáner de Vega hace que encontrar y comprender la gravedad de las vulnerabilidades de las aplicaciones web sea sencillo, ya que muestra de forma clara y concisa los recursos útiles en cada análisis.

Vega kali

Vega Kali es una herramienta de escaneo de vulnerabilidades web que se utiliza para encontrar y explotar debilidades en aplicaciones web. Es una de las herramientas más populares y efectivas en el campo de la seguridad cibernética. Con su interfaz intuitiva y potentes capacidades de escaneo, Vega Kali es una opción ideal para los profesionales de la seguridad que buscan identificar y solucionar vulnerabilidades en sus aplicaciones web.

Una de las características más destacadas de Vega Kali es su capacidad para realizar escaneos de seguridad de forma automatizada. Esto significa que la herramienta puede examinar una aplicación web en busca de vulnerabilidades sin necesidad de intervención manual. Esto ahorra tiempo y esfuerzo a los profesionales de la seguridad, permitiéndoles identificar rápidamente las debilidades y tomar medidas para solucionarlas.

Otra característica destacada de Vega Kali es su capacidad para encontrar una amplia gama de vulnerabilidades web. La herramienta utiliza una variedad de técnicas de escaneo para identificar posibles puntos débiles en una aplicación web, como inyecciones SQL, cross-site scripting (XSS), inyecciones de comandos, entre otros. Esto permite a los profesionales de la seguridad abordar múltiples vulnerabilidades y proteger eficazmente sus aplicaciones web.

Además, Vega Kali también ofrece la posibilidad de realizar pruebas de penetración en aplicaciones web. Esto implica intentar explotar las vulnerabilidades identificadas para evaluar la efectividad de las medidas de seguridad existentes. Esta función es especialmente útil para los profesionales de la seguridad que desean probar la resistencia de sus aplicaciones web y garantizar que estén protegidas contra ataques cibernéticos.

En resumen, Vega Kali es una herramienta poderosa y completa para encontrar vulnerabilidades web. Su capacidad automatizada de escaneo, amplia cobertura de vulnerabilidades y funcionalidad de pruebas de penetración la convierten en una opción ideal para los profesionales de la seguridad. Al utilizar esta herramienta, los expertos en seguridad pueden identificar rápidamente los puntos débiles en sus aplicaciones web y tomar medidas para protegerlas de posibles ataques cibernéticos.

Paso 1 Instale Vega: vega install kali

Dado que Vega Vulnerability Scanner suele estar preinstalado en la mayoría de las versiones de Kali Linux, debería poder hacerlo si está utilizando un sistema Kali. Si no está seguro de si su configuración de Kali ya lo tiene, puede ejecutar el comando apt-get que se muestra a continuación en una terminal. Obtendrá un mensaje diciendo que ya está instalado si lo tiene, y si no lo tiene, lo instalará por usted.

apt-get update && apt-get install vega

Si utiliza la distribución de penetración BlackArch, puede instalar Vega Vulnerability Scanner con el siguiente comando. BlackArch no utiliza el gestor de paquetes de APT, así que usaremos Pacman. No voy a repasar ningún otro detalle en los siguientes pasos que cubren el uso de BlackArch, pero es un proceso similar, así que no debería ser muy difícil para ti seguirlo.

pacman -S vega

Paso 2 Iniciar Vega Web Scanner

En Kali Linux, las herramientas se clasifican automáticamente en categorías, así que haga clic en «Applications» (Aplicaciones), luego sobre la categoría «Web Application Analysis» (Análisis de Aplicaciones Web) y haga clic en «Vega» (Vega). Dependiendo de si está usando algo como XFCE, una versión ligera de Kali, el menú Aplicaciones puede parecer un poco diferente. También puede buscar «Vega» en la pantalla «Mostrar aplicaciones».

Paso 3 Configurar Vega web scanner

Después de iniciar una aplicación por primera vez, me gusta ver las preferencias y opciones disponibles. En la esquina superior izquierda, haga clic en el menú «Ventana» y, a continuación, vea las «Preferencias», que le explicaré en los dos pasos siguientes.

Solicitudes HTTP Proxy Vega

Si prefiere anonimizar sus escaneos Vega y proxyar todas las conexiones, marque la opción «Activar proxy SOCKS» en General, e introduzca una dirección y un puerto proxy. Si está usando Tor, introduzca la dirección y el puerto Tor por defecto (127.0.0.0.1:9050). Esto ayudará a ocultar el origen de sus escaneos. De lo contrario, si utiliza un servicio proxy gratuito o premium, elija la dirección y el puerto que prefiera.

Usar el Agente(user-agent) de Usuario de Tor en wega scanner kali linux

Si decide proxyar los escaneos de Vega sobre Tor, también puede considerar cambiar el user-agent de Vega por el user-agent del Navegador Tor. Esto le ayudará a acceder a algunos (pero no a todos) sitios web que bloquean las peticiones HTTP de Tor.

Para modificar el user-agent de Vega, haga clic en la categoría «Scanner» e introduzca el user-agent de Tor Browser junto a User-Agent. A continuación, haga clic en «Aplicar» y «Aceptar» para guardar los cambios. A continuación se muestra el usuario-agente actual del Navegador Tor a partir de febrero de 2018.

Mozilla/5.0 (Windows NT 6.1; rv:52.0) Gecko/20100101 Firefox/52.0

El usuario-agente (user-agent) del Navegador Tor cambiará con cada actualización importante del Navegador Tor. Para encontrar el último user-agent, abra un Tor Browser actualizado e ingrese about:config en la barra de URL. Si aparece una ventana emergente de advertencia, seleccione «Acepto el riesgo» y, a continuación, escriba useragent.override en la barra de búsqueda.

Al hacer doble clic en la entrada que aparece, aparecerá una ventana emergente que le permitirá copiar la cadena de agente de usuario. Alternativamente, también puede hacer clic con el botón derecho del ratón y seleccionar «Copiar» en el valor.

Peticiones HTTP moderadas – vega browser

Otra cosa en el menú Escáner que puede querer modificar es la opción Número máximo de peticiones por segundo para enviar. Por defecto, el software está configurado a 25 peticiones por segundo.

Dependiendo del escenario, esto puede ser demasiadas o muy pocas solicitudes por segundo. Asumiendo que tiene permiso para escanear un sitio web con Vega, diez solicitudes por segundo es probablemente un buen punto de partida. Con sitios que usted posee, 100 solicitudes por segundo podría ser más apropiado. Depende totalmente de ti.

Conclusiones de Vega Scanner Kali linux

Vega puede ser una buena alternativa a escáneres de pago. No da los mismos resultados pero es una excelente herramienta presente en Kali y qué nos puede ayudar para encontrar nuestras vulnerabilidades web.

Pruébalo y nos cuentas que te ha parecido.

Puede interesarte también detectar vulnerabilidades web con metasploit

Nuestro últimos artículos los puedes encontrar aquí:

• La guia completa: ¿Qué es el naming en diseño?
• ¿Qué es un briefing?
• ¿Qué es el SEO y ejemplos?
• Marketing Digital: Descifrando el Mundo de las Estrategias en Línea
• Entendiendo el ROAS: ¿Qué es y Cómo Calcularlo para Optimizar tus Campañas de Marketing?
• Guía Completa: ¿Qué se Necesita para Hacer Dropshipping con Éxito?
• Cómo Hacer un Embudo de Ventas Efectivo: Una Guía Completa
• Cómo Saber con Qué Está Hecha una Web
• Maximizando la Eficiencia con el Comando «docker -h»: Una Guía Detallada
• Navegando por la Normativa de Cookies: Guía Completa para el Cumplimiento