Plantilla de informe de pentesting web - XSS y SQL Injection

Plantilla de informe de pentesting web - XSS y SQL Injection

Plantilla importada desde Inbox.

1. Historial de versiones

Versión Fecha Autor Descripción del cambio
v1.0 07-07-2025 Hackgemini Versión inicial

2. Resumen ejecutivo

Durante el período comprendido entre el 01-07-2025 y el 07-07-2025 se llevó a cabo una prueba de penetración sobre el servidor web público test.site perteneciente a Ejemplo Corporacion:contentReference[oaicite:0]{index=0}.
El objetivo fue identificar vulnerabilidades que pudieran comprometer la confidencialidad, integridad y disponibilidad del activo evaluado. El entorno analizado se limitó al aplicativo web productivo expuesto a Internet.

Tabla de síntesis de hallazgos
| ID | Descripción breve | Criticidad (CVSS) | Prioridad de remediación |
|---------|-------------------------------------------|-------------------|--------------------------|
| WEB-001 | XSS reflejado en parámetro search | 6.1 (Media) | Alta |
| WEB-002 | SQL Injection en proceso de autenticación | 8.9 (Alta) | Alta |

3. Introducción

3.1 Alcance

  • Activo incluido: test.site (servidor web público):contentReference[oaicite:1]{index=1}
  • Entornos excluidos: [Requiere de mas info]
  • Direcciones IP / dominios adicionales: [Requiere de mas info]

3.2 Metodología

  • Modelo de prueba: [Requiere de mas info]
  • Marcos y estándares: OWASP, MITRE ATT&CK, NIST SP 800-115 [Requiere de mas info para confirmar]
  • Fases aplicadas: Planificación, Reconocimiento, Mapeo, Explotación, Análisis, Reporte y Remediación.

3.3 Limitaciones

[Requiere de mas info]

4. Hallazgos

Cada hallazgo se presenta con su ID, criticidad, CVSS, prioridad, CWE, descripción, pasos de reproducción y recomendaciones de mitigación.

4.1 XSS reflejado en parámetro search

Criticidad: Media CVSS: 6.1 Prioridad: Alta
CWE: [Requiere de mas info]

4.1.1 Descripción

Se identificó la posibilidad de inyectar código JavaScript malicioso a través del parámetro search, permitiendo la ejecución de scripts en el navegador de los usuarios y el robo potencial de credenciales de sesión:contentReference[oaicite:2]{index=2}.

4.1.2 Pasos para reproducir

  • Acceder a [https://test.site/search?query=<script>alert(1)</script>](https://test.site/search?query= "https://test.site/search?query=%3cscript%3ealert(1)%3c/script%3e")
  • Observar la ejecución inmediata del script.
  • Repetir con distintas cargas XSS para confirmar el impacto.
    (Figura X: ventana alert mostrada en el navegador).

4.1.3 Mitigación

  • Validar y sanear todas las entradas de usuario.
  • Aplicar escapado de caracteres en la salida HTML.
  • Implementar políticas de Content-Security-Policy restrictivas.

4.2 SQL Injection en proceso de autenticación

Criticidad: Alta CVSS: 8.9 Prioridad: Alta
CWE: [Requiere de mas info]

4.2.1 Descripción

El parámetro de contraseña del portal de autenticación permite la inyección de sentencias SQL, posibilitando acceder o modificar datos confidenciales sin autorización:contentReference[oaicite:3]{index=3}.

4.2.2 Pasos para reproducir

  • Navegar a [http://portal.acme.com/login.](http://portal.acme.com/login`. "http://portal.acme.com/login%60.")
  • Introducir un payload del tipo ' OR '1'='1 en el campo password.
  • Observar la respuesta del servidor revelando información interna de la base de datos.
    (Figura Y: mensaje de error SQL evidenciando la vulnerabilidad).

4.2.3 Mitigación

  • Utilizar consultas parametrizadas o prepared statements.
  • Implementar controles de validación/escape sobre entradas de usuario.
  • Restringir mensajes de error detallados en producción.

5. Apéndices

5.1 Metodología de valoración de vulnerabilidades

Se aplica la fórmula Riesgo = Impacto × Probabilidad para determinar la prioridad de remediación. Los valores de impacto y probabilidad se calibran conforme a CVSS v3.1 y al contexto de negocio.

5.2 Prioridad de implementación

Prioridad Descripción Tiempo objetivo
Crítica Compromiso directo del sistema < 24 h
Alta Alto impacto o elevada probabilidad < 7 días
Media Impacto moderado < 30 días
Baja Bajo impacto/probabilidad < 90 días
Info Sin riesgo directo A discreción

5.3 Lista de comprobación de seguridad

  • Validación de entradas y salidas.
  • Gestión de sesiones y tokens.
  • Configuración de cabeceras HTTP seguras.
  • Uso de cifrado TLS actualizado.
  • Protección frente a inyección y XSS.

5.4 Herramientas de evaluación

Herramienta Descripción Propósito
[Requiere de mas info]

5.5 Lista de siglas

Sigla Significado
XSS Cross-Site Scripting
SQLi SQL Injection
CSP Content Security Policy
[Requiere de mas info]

5.6 Hallazgos informativos detallados

No se registraron hallazgos de tipo "Info" o el número total fue inferior a 10.

Themes