¿Cómo hacer un XSS reflejado en DVWA y para qué sirve aprender esta técnica de hacking web?
El hacking de aplicaciones web es uno de los servicios más demandados de la ciberseguridad, ya que permite descubrir las vulnerabilidades informáticas de este tipo de softwares. Para hacer un test de penetración en un sitio web, es necesario conocer los principales fallos de seguridad que se pueden encontrar. Para aprender a reconocerlos y cómo explotarlos como un atacante, existen herramientas como DVWA.
DVWA es una aplicación web vulnerable que fue diseñada deliberadamente de este modo, con el fin de poder practicar técnicas de hacking en ella, sin causar daño a nadie. Practicar estas técnicas en entornos web reales, sin tener la propiedad o el permiso para atacar el sitio, normalmente es ilegal. Por eso, es necesario usar entornos como DVWA para adquirir estos conocimientos.
En DVWA puedes ejecutar prácticamente cualquier ciberataque de la lista de OWASP Top 10. En este post, te explicaremos específicamente cómo hacer un ataque de cross-site scripting de tipo reflejado. Por eso, antes de enseñarte cómo hacer un XSS reflejado en DVWA, haremos un breve repaso sobre en qué consiste este ataque.
XSS reflejado en DVWA
¿Qué es un XSS reflejado?
El cross-site scripting (XSS) es un ataque que permite inyectar código en el navegador de una víctima por medio de una aplicación con vulnerabilidades. Existen tres tipos de XSS:
- XSS reflejado.
- XSS persistente.
- XSS basado en DOM.
El XSS reflejado es un tipo de ataque en el que el código malicioso se ejecuta solo en el navegador de la víctima que abre un link determinado. El XSS persistente, en cambio, le aparece a todos los usuarios que abran un sitio web, ya que se almacena directamente en las bases de datos de las páginas.
El XSS reflejado se propaga por medio de links personalizados, que contienen el código malicioso incrustado para ejecutarse en el navegador de la víctima, como lo veremos a continuación.
¿Cómo hacer un XSS reflejado en DVWA?
🔴 ¿Quieres entrar de lleno a la Ciberseguridad? 🔴
Descubre el Ciberseguridad Full Stack Bootcamp de KeepCoding. La formación más completa del mercado y con empleabilidad garantizada
👉 Prueba gratis el Bootcamp en Ciberseguridad por una semanaLo primero que debes hacer, antes de practicar un XSS reflejado en DVWA, es instalar esta aplicación en una máquina virtual con Kali Linux. Para ello, visita nuestro post sobre cómo instalar DVWA en Kali. Una vez cuentes con esta aplicación instalada, verifica en la pestaña de «Set up» que la seguridad esté configurada en «Low», es decir, lo más bajo.
Ahora, dirígete a la pestaña con el nombre «XSS (Reflected)», en donde encontrarás una entrada de datos que se llama «What is your name» y a su lado habrá un botón que dice «Submit». Si en dicha entrada escribimos nuestro nombre, «Pepe», entonces la aplicación imprime en pantalla el mensaje «Hello Pepe».
Al ver esto en una aplicación, inmediatamente debemos pensar en que hay una vulnerabilidad de XSS, ya que, al imprimir datos ingresados por el usuario en la pantalla, la aplicación podría ejecutar cualquier tipo de código JavaScript en el navegador del cliente por medio de esta entrada.
Para probar la vulnerabilidad, puedes ingresar cualquier código de JavaScript en la entrada de datos de «What is your name». Por ejemplo:
<script>alert(123)</script>
Así, le hemos dicho al navegador que nos muestre una alerta con el mensaje «123». Si al hacer clic en el botón «Submit» vemos esta alerta en pantalla, quiere decir que hemos descubierto la vulnerabilidad.
¿Cómo aprender más?
Ya hemos visto cómo realizar un ataque XSS reflejado en DVWA. Si quieres aprender más sobre los diferentes payloads que puedes usar con este ataque, en KeepCoding tenemos un curso intensivo con muchos más conocimientos e información. Si deseas convertirte en experto en apenas 7 meses, ingresa a nuestro Ciberseguridad Full Stack Bootcamp. ¡No sigas esperando y pide información para cambiar tu futuro ahora!
