Me interesan menos las herramientas del oficio (ya hay muchas preguntas al respecto), y me interesa más el proceso mediante el cual usted usaría esas herramientas. Entonces, por ejemplo, OWASP tiene la siguiente guía de prueba:
¿Tiene guías de consulta similares, donde se moverá de AZ a través de la lista, las pruebas de vulnerabilidades, o considera que gran parte del proceso es de tipo "no revelado"?
Las organizaciones tienen procedimientos para esto, pero son de muy alto nivel, y cada etapa puede cambiar de manera drástica dependiendo de lo que se descubra y del propósito de la prueba.
Consulte mi respuesta aquí para un poco de detalle basado en la siguiente secuencia, que es uno de varios procedimientos posibles:
La guía OWASP es lo más parecido a una metodología definida, la mayoría de los evaluadores operan con una sensación de agudeza y experiencia. Me gusta esa metodología OWASP, pero creo que se pierde una gran parte de las pruebas en torno a fallas en la lógica de la aplicación.
Si está buscando un punto de partida para desarrollar su propia metodología interna, tome la OWASP, elimine las áreas que no son relevantes para sus pruebas y adáptela.
Creo que el Marco de Ejecución de Pruebas de Penetración (PTES, por sus siglas en inglés) será uno para observar. Todavía es temprano, pero espero ver cuál es el resultado de ese proyecto. Esto se puede encontrar en enlace
Por lo general, para una prueba de penetración de aplicaciones web, un proceso paso a paso es poco difícil de redactar y seguir. La mayoría de los pentestros de aplicaciones web (¡incluso yo mismo!) Con los que me he encontrado tienen sus pasos / formas de hacer un escaneo. Cada uno tiene su propia manera de acercarse a una prueba. Esto se debe a que, para la prueba de aplicaciones web, intenta descubrir clases conocidas de vulnerabilidades en piezas de código "desconocidas". Mientras que en las pruebas de red se encuentran clases conocidas en un código conocido. Habiendo dicho que organismos como OWASP y WASC han redactado clases de vulnerabilidad de aplicaciones web y una buena metodología de prueba que idealmente debería cubrir la mayoría de los escenarios. Creo que la cobertura de WASC es apreciable en lógica de negocios y en varias otras vulnerabilidades complejas. También puede consultar la guía de ISSAF 0.2.1B (Sec T a Sec Y). Esto también es bastante útil y rara vez me refiero a esto junto con la guía de pruebas OWASP mientras realizo el pentest.
Lea otras preguntas en las etiquetas web-application appsec penetration-test