VEGA: Nueva solución Open Source para Analisis de Vulnerabilidades en WebApps

VEGA es una plataforma de software libre diseñada para realizar y ejecutar pruebas sobre la Seguridad de las páginas WEB. Un auditor, puede utilizar VEGA durante su evaluación con objeto de encontrar / detectar vulnerabilidades, así como realizar pruebas de validación sobre las técnicas de ataque más comunes en los entorno Web, por ejemplo: SQL Injection, XSS, etc.

Características

Las principales características son:

• Capacidad de realización de Análisis de Vulnerabilidades y Crawler automático.
• Ejecución de pruebas de Accesibilidad UI.
• Capacidad de realizar un Crawler (decargar copia) del website al completo.
• Función de manipulación manual de paquetes HTTP mediante interceptación mediante Proxy (similar a Paros Proxy, ZAP, etc).
• Ataques MiTM son SSL (similar a ssltrip).
• Análisis del contenido
• Mensajes de notificación personalizables
• Modelo de datos propio
• API en Javascript personalizable para el desarrollo de complementos y extensiones personalizadas.

Precisamente, la disponibilidad de una interfaz (API) de desarrollo para creación de "módulos personalizados" convierten en la aplicación en una poderosa herramienta en las auditorías de aplicaciones web. 

Además, la herramienta se organiza por módulos de ataque, que incluye los típico de OWASP, como por ejemplo: XSS, SQL Injection, Directorio transversal, URL Injection, Detección de errores, etc.

Instalación

Al ejecutar VEGA en el sistema operativo Windows 7 64bits, se obtiene el siguiente fallo:

La solución, descargar e instalar la versión 64Bits de Java JRE.

Funcionamiento 

La herramienta VEGA descarga la página WEB (Crawler) para realizar ataques pasivos mediante script personalizado en busca de vulnerabilidades, lo interesante es que complementa esta técnica con ataques "activos" sobre el website, y posteriormente muestra los resultados obtenidos.

Su funcionamiento es muy sencillo, similar a otras herramientas de análisis de vulnerabilidades WEB, me ha sorprendido gratamente su gran calidad, rapidez en la ejecución y la presentación de los resultados (informe), así como la cantidad de información accesible, por ejemplo, el registro de actividad durante las pruebas realizadas, que muestran las peticiones (request) y las respuestas HTTP recibidas durante el mismo.

Mejor una imagen que "mil" palabras ¿no?, a continuación os dejo algunas capturas de pantalla de la herramienta en funcionamiento:

Nuevo Scan - Eligiendo los tipos de pruebas.

Captura durante la ejecución de las pruebas.

Presentación de las vulnerabilidades.

Para realizar un análisis tan solo se debe de especificar el "dominio" de prueba, y ejecutar el scanner, se puede seleccionar el tipo de pruebas (módulos) que deseas analizar, y esperamos a que se presenten los resultados.

Luego será tarea del "Experto en Seguridad" interpretar los resultados de la herramienta, pero eso es otra cuestión.

Documentación

La herramienta cuida todos los aspectos deseados incluidos la documentación, donde el fabricante tiene a nuestra disposición una interesante "Guia" de inicio, donde se explica la utilización de los "espacios de trabajo (workspace)" que utiliza la herramienta en cada análisis, e incluso descripción de los módulos de "pruebas", personalización de cookies, etc.

https://support.subgraph.com/trac/wiki/GettingStarted

Igualmente, proporciona información para la utilización de VEGA como un PROXY en la interceptación de las peticiones y respuestas HTTP durante las pruebas, para la verificación y actuaciones manuales.

https://support.subgraph.com/trac/wiki/ProxyIntro

Descarga

La descarga de la aplicación puede realizarse desde la página web del desarrollador, o desde los siguientes enlaces:


Links for binary packages built for various platforms are listed below:

• Mac OS X 32-bit Intel (sig)   
• Mac OS X 64-bit Intel (sig) 
• Linux GTK 32-bit Intel (sig) 
• Linux GTK 64-bit Intel (sig)
  Microsoft Windows 32-bit Intel (sig) 
• Microsoft Windows 64-bit Intel (sig)

Conclusiones

Las primeras pruebas han sido muy prometedoras, una herramienta ágil, personalizable y estable que seguro se hace un hueco en este sector.

Además, la BT5RC1 ya la trae instalada por defecto como una de las herramientas elegidas en esta conocida distribución de Linux para la realización de auditorías de Seguridad y Test de Penetración. 

La capacidad de extensión mediante la API, así como la función de "PROXY" para pruebas manuales, permiten disponer de una herramienta muy completa en el análisis de vulnerabilidades WEB.

!Merece la pena probarla y hacerse uno mismo con una opinión !la recomiendo¡.

Fuente | VEGA Website | (IN)Secure Magazine nº33 | Darknet.org