Hacking ético web: escanea tu laboratorio con ZAP
Monta una tienda vulnerable a propósito en tu equipo y aprende a encontrar fallos web con ZAP para saber proteger tus propias webs.
- Level
- Advanced
- Time
- 60 min
- Format
- PDF · 2 pages
La mejor forma de entender los fallos de una web es verlos en un entorno seguro. Vas a levantar OWASP Juice Shop, una tienda creada para practicar, y analizarla con ZAP, un escáner gratuito y de código abierto. Todo ocurre dentro de tu propio ordenador.
What you need
- Un ordenador con Docker instalado
- ZAP descargado de su web oficial (zaproxy.org)
- 8 GB de RAM o más
- Hacerlo solo en tu laboratorio
Step by step
-
01
Levanta la tienda vulnerable
Arranca Juice Shop en un contenedor. Solo se publica en tu propio equipo, en el puerto 3000.
-
02
Comprueba que funciona
Abre el navegador y entra en http://localhost:3000. Deberías ver una tienda de zumos de ejemplo.
-
03
Abre ZAP y elige el escaneo
Inicia ZAP, acepta no guardar la sesión y pulsa «Automated Scan» en la pantalla de inicio.
-
04
Apunta solo a tu laboratorio
En «URL to attack» escribe http://localhost:3000 y pulsa «Attack». Nunca pongas la dirección de una web que no sea tuya.
-
05
Lee las alertas
En la pestaña «Alerts» verás fallos ordenados por riesgo: alto, medio, bajo e informativo. Cada alerta explica el problema y cómo corregirlo.
-
06
Aplícalo a lo tuyo
Usa lo aprendido para revisar tu propia web con su desarrollador: cabeceras de seguridad, formularios y versiones antiguas.
-
07
Apaga el laboratorio
Al terminar, pulsa Ctrl + C en la terminal de Docker. Con --rm el contenedor se borra solo.
Tips
Tip 1
Antes de escanear tu web real en producción, haz una copia de seguridad y avisa a tu proveedor de alojamiento.
Tip 2
Empieza por el escaneo pasivo: solo observa el tráfico y no modifica nada.
Tip 3
Si las alertas te superan, un técnico puede ayudarte a priorizar qué corregir primero.
Important: Usa ZAP solo contra tu laboratorio o webs propias con permiso por escrito. Escanear o atacar sistemas ajenos sin autorización es delito. Un escaneo activo puede llenar formularios y bases de datos de prueba, así que nunca lo lances contra una web real sin preparación.
More Security guides
Desactiva el UPnP y cierra puertas del router
Evita que los aparatos de tu casa abran puertos hacia Internet sin que tú lo sepas.
View the guide →Cierra las sesiones que no reconoces
Audita tus cuentas: mira en qué dispositivos están abiertas y echa a los que sobran.
View the guide →Pon una trampa para intrusos en tu red
Instala un señuelo (honeypot) con OpenCanary en tu propia red para enterarte si alguien intenta curiosear donde no debe.
View the guide →
Would you rather we did it for you?
No-obligation diagnosis and a fixed quote before we start. At our workshop, at a PickUp point or by remote support.
