Las Pruebas de Penetración no pueden ser una ciencia exacta, donde una lista completa de todos los posibles problemas a ser evaluados, pueden ser definidos. Una Prueba de Penetración es solo una técnica adecuada para evaluar la seguridad de las aplicaciones web bajo ciertas circunstancias. El objetivo es recolectar todas las posibles técnicas de pruebas, explicarlas y mantener la guía actualizada. El método de Pruebas de Penetración para Aplicaciones Web de OWASP está basada en una aproximación de tipo “Caja Negra”. El Hacker Ético no conoce nada o tiene muy poca información sobre la aplicación a ser evaluada. El modelo de Pruebas consiste de:

• El Evaluador: Quién realiza las actividad de prueba
• Herramientas y Metodología: El corazón del Proyecto de Guía para Pruebas
• Aplicación: La Caja Negra a evaluar.

La prueba se divide en dos fases:

Modo Pasivo:

En este modo, el Hacker Ético intenta entender la lógica de la aplicación, y juega con la aplicación. Pueden ser utilizadas herramientas para la captura de información, por ejemplo, un proxy HTTP que observe todas las solicitudes y respuestas HTTP. Al final de esta fase, el Hacker Ético conocerá todos los puntos de acceso (puertas) de la aplicación (ejemplo, cabeceras HTTP, parámetros, cookies).

Modo Activo:

En esta fase el Hacker Ético inicia las pruebas utilizando la metodología descrita en la Guía de Pruebas OWASP.

La guía divide el conjunto de actividades a realizar en 9 categorías y 66 controles.

• Pruebas de Manejo de la Configuración
• Pruebas de la Lógica del Negocio
• Pruebas de Autenticación
• Pruebas de Autorización
• Pruebas de Manejo de la Sesión
• Pruebas de Validación de los Datos
• Pruebas de Negación de Servicio
• Pruebas de Servicios Web
• Pruebas Ajax

Fuente: https://www.owasp.org/index.php/OWASP_Testing_Guide_v3_Table_of_Contents