¿Cuál es la mejor forma de practicar pentesting para aplicaciones web (cuadro blanco y negro) de forma gratuita?

Normalmente tú …

1. Cree una máquina virtual de lo que desea probar
2. Utilice software de prueba de penetración, seguridad de prueba de lápiz | Metasploit y otras herramientas para practicar sus procedimientos.
3. Mire muchos videos de YouTube sobre el tema para ver cómo otros hacen las pruebas
4. y no te lo tomes demasiado en serio al principio, no vas a ser una estrella de rock durante la noche. Se necesita trabajo y mucha paciencia.

Hay muchas maneras de comenzar a practicar la prueba de la pluma de forma gratuita, y decir cuál es la mejor depende en gran medida de su situación actual. Por ejemplo, si tiene amplios recursos de hardware, puede consultar VulnHub y descargar sus vulnerables mediante máquinas de diseño, seguir los escritos y desarrollar su experiencia de pruebas de penetración mientras entrena en más y más máquinas.

Hay muchas aplicaciones web gratuitas en línea que puede escanear, atacar y explotar de forma gratuita sin temor a consecuencias legales, todo lo que necesita es algunas herramientas de prueba de penetración, tiempo libre, buena conexión a Internet y mucha determinación. Puede encontrar una lista completa de esos sitios web en línea aquí y puede encontrar una lista de distribución de Linux de pruebas de penetración populares aquí.

Una de las mejores maneras de aprender sobre las pruebas de penetración de cajas blancas y negras es participar en concursos de Capture the Flag (CTF) . Muchos CTF se llevan a cabo en línea, y puede unirse a ellos de forma gratuita e independientemente de su nivel de experiencia. Puedes unirte, tratar de resolver los desafíos y aprender de los escritos de las personas, será un proceso de aprendizaje valioso para ti y te dará algunas muy buenas ideas sobre el mundo real de las pruebas de penetración. Puedes encontrar una lista de esas competiciones CTF aquí, elige una y sumérgete en ella.

Además de esas opciones y posibilidades de capacitación, necesitará estudiar mucho, ya sea artículos en línea, tutoriales, libros pesados ​​y otras posibles fuentes de información. No llegarás a ningún lado si no combinas tu entrenamiento con una buena cantidad de estudio, ya que necesitas aprender muchas cosas teóricas que te ayudan en tu entrenamiento práctico.

Hay toneladas de recursos en Internet que le permiten practicar oficialmente los pentests de aplicaciones web.

Estoy totalmente de acuerdo con la respuesta de Dave Gordon y aquí hay algunos puntos adicionales

-Puedes visitar mi blog, escribí hace mucho tiempo. Pruebas de penetración de aplicaciones web: lista de aplicaciones web vulnerables

-Mire un programa de recompensas de errores y aprenda cómo otros obtuvieron esas recompensas de errores. Intenta comprender su lógica de explotación.

-Introduzca la Plataforma de respuesta de seguridad y recompensa de errores y los programas de recompensa de errores administrados, un mejor enfoque para las pruebas de seguridad

CTFs. Busque PicoCTF y CSAW CTF.