En el contexto de la protección de la aplicación basada en la web, hay un montón de material que analiza las mejores prácticas para las pruebas de penetración (formación de equipos tanto rojos como azules).
Recientemente, me interesé más en cómo las implementaciones de seguridad resisten a un atacante que ya ha comprometido un sistema a través de cualquier vector relacionado con una aplicación web (inyección de SQL, XSS, shellshock, etc.); es decir, estoy interesado en un escenario posterior al compromiso.
Sin embargo, una búsqueda rápida no reveló una gran cantidad de material útil, ni siquiera habla de las mejores prácticas. Por lo tanto, estoy creando pruebas a lo mejor de mi conocimiento y creencia, pero me gustaría asegurarme de no haber perdido aspectos importantes.
¿Podría proporcionar alguna información sobre las pruebas posteriores al compromiso, en el contexto de la seguridad de la aplicación web?