Soy un desarrollador web de pila completa, ¿cómo sumerjo mi dedo del pie en las pruebas de seguridad y penetración web?

Es bueno saber que desea formar parte del dominio de seguridad cibernética.

  • Explotar un sistema particular se conoce como seguridad ofensiva o atacante.
  • Poder detectar y reaccionar ante un ciberataque es el trabajo del equipo de respuesta a incidentes.
  • Probar aplicaciones para detectar vulnerabilidades de seguridad es el trabajo de un probador de penetración. Básicamente hay tres tipos de perfiles de prueba:
  • Para comenzar a hackear, debes comenzar desde lo básico. Lea y explore OWASP, obtendrá una idea sobre cómo construir, diseñar y probar la seguridad de las aplicaciones web y los servicios web. Lo mismo se aplica a las aplicaciones móviles también.
  • Configure un entorno de prueba para comenzar su práctica de piratería, puede usar la aplicación web Damn Vulnerable. Puede aprender y probar los desafíos paso a paso y para comprenderlos, el siguiente tutorial será útil: Cómo instalar DVWA en Fedora 14. También puede obtener tutoriales sobre el mismo en YouTube: Principiante Desafío # 1 – XSS en DVWA en Baja Seguridad
  • Una aplicación vulnerable similar es Categoría: Proyecto WebWat OWASP

Creo que definitivamente deberías leer la siguiente respuesta:

La respuesta de Ankit Giri a ¿Cuáles son los pasos para ingresar al sector de Seguridad Cibernética?

Y para conocer los lenguajes de programación que debería aprender, la respuesta de Ankit Giri a ¿Qué lenguajes de programación son los mejores para la seguridad cibernética?

Y todos los recursos, como los blogs a seguir, qué prácticas serían útiles y cuál debería ser su enfoque se menciona en esta respuesta La respuesta de Ankit Giri a ¿Dónde puedo obtener capacitación gratuita en seguridad cibernética en la India?

Para que los recursos comiencen con su aprendizaje, definitivamente debe pasar por esta respuesta: la respuesta de Ankit Shankar Giri a ¿Dónde puedo obtener capacitación gratuita en seguridad cibernética en la India?

La inyección SQL y Google Dorks son un excelente lugar para comenzar. (ambos fáciles de buscar)

Humor, pero totalmente un buen ejemplo: Las hazañas de una mamá

Hoy en día es menos común que cualquier cosa importante sea vulnerable a la inyección de SQL, pero como desarrollador de pila completa es un escenario fácil de reproducir y experimentar sin cruzar ninguna línea ética o legal.

(Cree un formulario web que pase variables de usuario no inicializadas para que se escriban en una base de datos … intente explotar su formulario para realizar operaciones de base de datos fuera de las escrituras previstas)

También puede mirar Google Dorks sin cruzar las líneas, y probablemente sirvan para darle una paranoia saludable sobre lo que desarrolla y cómo lo asegura.

Tenemos un par de excelentes recursos. Nuestra serie de blogs de prueba de pluma es realmente informativa y es un buen punto de partida.

Guía de siete partes de Varonis para pruebas de penetración

También tenemos un video curso en línea gratuito que fue desarrollado por Troy Hunt (creador del sitio web “¿He sido Pwned?”

Fundamentos de seguridad web: curso de video gratuito

Espero que ayude.

Visite el sitio de OWASP. Proyecto de seguridad de aplicaciones web abiertas. Absorba toda la información contenida dentro. Comience con el OWASP Top 10 para aplicaciones web. Descarga WebGoat y prueba todas las vulnerabilidades. Luego pase a la guía de prueba y a los documentos de principios de diseño. Explore y lea otras cosas interesantes en el sitio.

OWASP es un tesoro virtual de seguridad web y conocimiento de pruebas de lápiz. Como ya tiene una comprensión del desarrollo, su base es sólida. La seguridad es algo que se superpondrá muy bien al desarrollo.