Web Penetration Testing with Kali Linux, 2nd Edition

Guía metodológica y técnica de Juned Ahmed Ansari, publicada por Packt Publishing a finales de 2015 en su segunda edición, orientada a la auditoría, análisis y explotación de vulnerabilidades en aplicaciones web empleando las herramientas integradas en Kali Linux 2.0 (Sana). Está diseñada para analistas de seguridad, evaluadores de penetración de redes que desean especializarse en la capa aplicativo-web y desarrolladores web de nivel intermedio que conocen el funcionamiento del protocolo HTTP/HTTPS, la arquitectura cliente-servidor y lenguajes web habituales como PHP, JavaScript y SQL.

El temario aborda el ciclo integral de una prueba de intrusión web siguiendo las pautas de OWASP y el marco PTES: desde la definición de reglas de compromiso (RoE) y el montaje de un laboratorio virtualizado con aplicaciones intencionadamente vulnerables (DVWA y Mutillidae), hasta el reconocimiento y huella digital con Nmap, WhatWeb, Nikto y DirBuster. Posteriormente, instruye en la detección y explotación de los fallos más críticos del OWASP Top 10: inyecciones SQL (manuales y asistidas por sqlmap), Cross-Site Scripting (XSS reflejado, almacenado y DOM) enlazado con el Browser Exploitation Framework (BeEF), Cross-Site Request Forgery (CSRF), ataques a mecanismos de autenticación y sesiones con Hydra y Burp Suite (incluyendo módulos como Intruder y Repeater), y revisión de implementaciones criptográficas en SSL/TLS. Asimismo, enseña a ejecutar escaneos automatizados con OWASP ZAP y w3af, integrando ataques de ingeniería social y del lado del cliente mediante SET (Social Engineering Toolkit) y Metasploit.

El libro destaca por guiar la práctica sobre entornos controlados y reproducibles, lo que ayuda al lector a entender la anatomía de las peticiones y respuestas HTTP antes de activar herramientas automatizadas. Su principal limitación temporal es la referencia a Kali Linux 2.0 y a versiones anteriores de la suite Burp Suite, además de no cubrir vectores contemporáneos como GraphQL, WebSockets o arquitecturas serverless en la nube. Con todo, conforma una base sólida para adquirir destreza en metodologías de auditoría web y preparar certificaciones prácticas del área ofensiva.