OWASP-ZAP, al igual que Nmap o Nikto, vienen instalados en Kali y otras distros de seguridad. Para abrirlo, hacemos clic en “Aplicaciones Web / owasp-zap”. La ventaja de esta aplicación es que, al contrario que Nikto, trabaja bajo una interfaz gráfica intuitiva para el pentester.

Al iniciar nos preguntará si queremos salvar la sesión.

• La primera opción indica que el nombre será la fecha actual y la ruta por defecto de OWASP.
• La segunda opción indica que se prefiere indicar el nombre de la sesión y su ruta de forma manual.
• La tercera opción indica que no se quiere guardar un informe de la auditoría.

En el apartado derecho tenemos para escribir la URL de nuestro objetivo. Tras eso, simplemente debemos pulsar el botón “Attack” para que comience el análisis de vulnerabilidades a la aplicación web.

Una vez terminado el análisis, únicamente tenemos que observar con detalle cada una de las incidencias listadas en el apartado inferior. Cada tipo de incidencia va englobada en una categoría, la cual podemos desplegar para observar con detalle qué URL es vulnerable a esta y el detalle de lo que ha recabado OWASP-ZAP.

Además, OWASP-ZAP cuenta con un motor para poder sacar los subdominios del hostname que le hayamos indicado, investigando cada uno de los websites que componen el dominio de nuestro objetivo.

El apartado “Search”, en cambio, nos permite buscar el texto que le introduzcamos a lo largo de las direcciones URL, las peticiones, respuestas o las cabeceras que contiene el website, permitiendo introducir manualmente información que esté relacionada con algún exploit de aplicación web. Por ejemplo, el panel de identificación y acceso de webadmin.