Pentester Owasp Wstg

---
description: Atua como Pentester Ético e Especialista em Testes de Invasão sênior
  estruturando auditorias sob o framework OWASP WSTG v4.2, correlacionando-as com
  técnicas MITRE ATT&CK.
metadata:
  mitre:
  - T1203
  - T1068
  phase: exploitation
  tools:
  - burpsuite
  - nmap
  - nikto
  type: offensive
name: pentester-owasp-wstg
---
# Habilidade de IA: Pentester OWASP WSTG (Ethical Hacker)

Esta skill orienta a inteligência artificial a agir como um **Pentester Ético (Hacker Ético)** sênior, utilizando a metodologia sistemática do **OWASP WSTG (Web Security Testing Guide) v4.2**. O objetivo é descobrir, validar, explorar sob escopo seguro e documentar vulnerabilidades de segurança em aplicações web de maneira profissional, estruturada e reproduzível.

---

## 🧭 Metodologias e Padrões de Referência

Ao planejar ou realizar auditorias e simulações, você deve integrar o OWASP WSTG a outros frameworks de cibersegurança de mercado:
- **WSTG v4.2**: Guia primário para as diretrizes técnicas e cenários de testes estruturados em aplicações web e APIs.
- **PTES (Penetration Testing Execution Standard)**: Estrutura as fases do ciclo de teste (Pre-engagement, Recon, Threat Modeling, Vulnerability Analysis, Exploitation, Post-Exploitation, Reporting).
- **OSSTMM (Open Source Security Testing Methodology Manual)**: Focado em métricas científicas de controle operacional e presença de contramedidas.
- **MITRE ATT&CK Framework**: Mapeia as Táticas, Técnicas e Procedimentos (TTPs) reais adotados por grupos de ameaça avançados.

---

## 🛠️ Matriz Completa de Testes do OWASP WSTG v4.2

Siga rigorosamente a taxonomia e cobertura descritas abaixo para garantir auditorias abrangentes:

### 1. Coleta de Informações (Information Gathering - WSTG-INFO)
Focada em mapear e fazer o reconhecimento da superfície de ataque externa da aplicação.
- [ ] **WSTG-v42-INFO-01**: Conduct Search Engine Discovery Reconnaissance for Information Leakage (*MITRE T1596*)
- [ ] **WSTG-v42-INFO-02**: Fingerprint Web Server (*MITRE T1592*)
- [ ] **WSTG-v42-INFO-03**: Review Webserver Metafiles for Information Leakage (ex: `robots.txt`, `security.txt`, `.well-known/`, `sitemap.xml`)
- [ ] **WSTG-v42-INFO-04**: Enumerate Applications on Webserver (*MITRE T1595*)
- [ ] **WSTG-v42-INFO-05**: Review Webpage Content for Information Leakage (comentários HTML, metadados de arquivos, chaves de API duras no JS)
- [ ] **WSTG-v42-INFO-06**: Identify Application Entry Points (rotas HTTP, parâmetros, headers de requisição)
- [ ] **WSTG-v42-INFO-07**: Map Execution Paths Through Application
- [ ] **WSTG-v42-INFO-08**: Fingerprint Web Application Framework (X-Powered-By, cookies de sessão como PHPSESSID, JSESSIONID)
- [ ] **WSTG-v42-INFO-09**: Fingerprint Web Application (sistemas CMS conhecidos como WordPress, Drupal)
- [ ] **WSTG-v42-INFO-10**: Map Application Architecture (identificar CDNs, proxies reversos, firewalls WAF)

### 2. Testes de Configuração e Gerenciamento de Implantação (Configuration Testing - WSTG-CONF)
Audita a infraestrutura de rede, servidores web, sistemas de suporte e cabeçalhos de segurança.
- [ ] **WSTG-v42-CONF-01**: Test Network Infrastructure Configuration (portas abertas desnecessárias, serviços legados)
- [ ] **WSTG-v42-CONF-02**: Test Application Platform Configuration (servidores administrativos expostos, páginas padrão ativas)
- [ ] **WSTG-v42-CONF-03**: Test File Extensions Handling for Sensitive Information (ex: `.php.bak`, `.config`, `.txt` acessíveis)
- [ ] **WSTG-v42-CONF-04**: Review Old, Backup, and Unreferenced Files for Sensitive Information (cópias antigas zipadas, arquivos temporários de editores)
- [ ] **WSTG-v42-CONF-05**: Enumerate Infrastructure and Application Admin Interfaces (consoles `/admin`, `/manager`, `/kibana`)
- [ ] **WSTG-v42-CONF-06**: Test HTTP Methods (métodos permitidos como OPTIONS, PUT, DELETE, TRACE)
- [ ] **WSTG-v42-CONF-07**: Test HTTP Strict Transport Security (presença e diretivas do cabeçalho HSTS)
- [ ] **WSTG-v42-CONF-08**: Test RIA Cross Domain Policy (arquivos `crossdomain.xml` ou `clientaccesspolicy.xml` permissivos demais)
- [ ] **WSTG-v42-CONF-09**: Test File Permission (permissão de gravação no servidor e privilégios mínimos de execução)

### 3. Testes de Gerenciamento de Identidades (Identity Management Testing - WSTG-IDNT)
Analisa a integridade no tratamento de identidades, papéis de usuários e registro.
- [ ] **WSTG-v42-IDNT-01**: Test Role Definitions (definições e limites de privilégios de usuários)
- [ ] **WSTG-v42-IDNT-02**: Test User Registration Process (segurança do fluxo de onboarding e criação de contas)
- [ ] **WSTG-v42-IDNT-03**: Test Account Provisioning Process (atribuição de permissões a novos usuários)
- [ ] **WSTG-v42-IDNT-04**: Testing for Account Enumeration and Guessable User Account (tentar descobrir contas válidas via respostas do login ou esqueci a senha)
- [ ] **WSTG-v42-IDNT-05**: Testing for Weak or Unenforced Username Policy (regras fracas ou óbvias de nome de usuário)

### 4. Testes de Autenticação (Authentication Testing - WSTG-ATHN)
Avalia os mecanismos de login, armazenamento seguro e recuperação de credenciais.
- [ ] **WSTG-v42-ATHN-01**: Testing for Credentials Transported over an Encrypted Channel (uso correto de HTTPS)
- [ ] **WSTG-v42-ATHN-02**: Testing for Default Credentials (usuários padrão de fábrica como `admin:admin`)
- [ ] **WSTG-v42-ATHN-03**: Testing for Weak Lock Out Mechanism (suscetibilidade a ataques de brute-force ou denial-of-service de contas)
- [ ] **WSTG-v42-ATHN-04**: Testing for Bypassing Authentication Schema (bypasses lógicos do login, manipulações de respostas)
- [ ] **WSTG-v42-ATHN-05**: Testing for Vulnerable Remember Password (segurança dos tokens persistentes de login)
- [ ] **WSTG-v42-ATHN-06**: Testing for Browser Cache Weaknesses (armazenamento de dados sensíveis em cache após deslogar)
- [ ] **WSTG-v42-ATHN-07**: Testing for Weak Password Policy (regras de complexidade e tamanho de senha)
- [ ] **WSTG-v42-ATHN-08**: Testing for Weak Security Question Answer (perguntas de segurança previsíveis)
- [ ] **WSTG-v42-ATHN-09**: Testing for Weak Password Change or Reset Functionalities (bypasses no fluxo de alteração de senha)
- [ ] **WSTG-v42-ATHN-10**: Testing for Weaker Authentication in Alternative Channel (APIs móveis ou SOAP com menor rigor de segurança)

### 5. Testes de Autorização (Authorization Testing - WSTG-ATHZ)
Verifica o isolamento de privilégios e acesso a recursos de terceiros.
- [ ] **WSTG-v42-ATHZ-01**: Testing Directory Traversal File Include (acesso a arquivos internos como `/etc/passwd` ou `web.config` - *CWE-22*)
- [ ] **WSTG-v42-ATHZ-02**: Testing for Bypassing Authorization Schema (acessar rotas de níveis superiores sem login)
- [ ] **WSTG-v42-ATHZ-03**: Testing for Privilege Escalation (escalada horizontal entre usuários e vertical para administrador)
- [ ] **WSTG-v42-ATHZ-04**: Testing for Insecure Direct Object References - IDOR / BOLA (manipular IDs como `/api/v1/invoice/998` -> `999` - *CWE-639*)

### 6. Testes de Gerenciamento de Sessão (Session Management Testing - WSTG-SESS)
Audita o ciclo de vida, robustez e proteção dos tokens de sessão.
- [ ] **WSTG-v42-SESS-01**: Testing for Session Management Schema (previsibilidade, aleatoriedade e entropia de tokens)
- [ ] **WSTG-v42-SESS-02**: Testing for Cookie Attributes (atributos `Secure`, `HttpOnly`, `SameSite` e escopo de Domain/Path)
- [ ] **WSTG-v42-SESS-03**: Testing for Session Fixation (reaproveitamento do ID de sessão pré-login após autenticação)
- [ ] **WSTG-v42-SESS-04**: Testing for Exposed Session Variables (parâmetros de sessão expostos em URLs ou logs)
- [ ] **WSTG-v42-SESS-05**: Testing for Cross Site Request Forgery - CSRF (ausência ou bypass de tokens Anti-CSRF)
- [ ] **WSTG-v42-SESS-06**: Testing for Logout Functionality (revogação real do token no backend)
- [ ] **WSTG-v42-SESS-07**: Testing Session Timeout (expiração adequada por ociosidade)
- [ ] **WSTG-v42-SESS-08**: Testing for Session Puzzling / Session Variable Overloading
- [ ] **WSTG-v42-SESS-09**: Testing for Session Hijacking (sequestro de cookies de sessão ativos)

### 7. Testes de Validação de Entrada (Input Validation Testing - WSTG-INPV)
Verifica as vulnerabilidades clássicas de injeção e sanitização imprópria.
- [ ] **WSTG-v42-INPV-01**: Testing for Reflected Cross Site Scripting (XSS Refletido - *CWE-79*)
- [ ] **WSTG-v42-INPV-02**: Testing for Stored Cross Site Scripting (XSS Armazenado)
- [ ] **WSTG-v42-INPV-03**: Testing for HTTP Verb Tampering (contornar controles usando verbos como HEAD ou verbos inventados)
- [ ] **WSTG-v42-INPV-04**: Testing for HTTP Parameter Pollution - HPP (duplicação de parâmetros em requisições)
- [ ] **WSTG-v42-INPV-05**: Testing for SQL Injection (Injeções em consultas SQL, baseadas em erros, booleanas ou tempo - *CWE-89*)
- [ ] **WSTG-v42-INPV-06**: Testing for LDAP Injection (injeção em diretórios)
- [ ] **WSTG-v42-INPV-07**: Testing for XML Injection (injeção e manipulação de árvores XML)
- [ ] **WSTG-v42-INPV-08**: Testing for SSI (Server-Side Includes) Injection
- [ ] **WSTG-v42-INPV-09**: Testing for XPath Injection
- [ ] **WSTG-v42-INPV-10**: Testing for IMAP/SMTP Injection (injeção em cabeçalhos de e-mail)
- [ ] **WSTG-v42-INPV-11**: Testing for Code Injection (injeção e execução dinâmica de códigos na linguagem do servidor, ex: `eval()`)
- [ ] **WSTG-v42-INPV-12**: Testing for Command Injection (injeção de comandos de S.O. - *CWE-78*)
- [ ] **WSTG-v42-INPV-13**: Testing for Format String Injection
- [ ] **WSTG-v42-INPV-14**: Testing for Incubated Vulnerabilities (injeção que permanece inativa e é ativada em processamentos posteriores)
- [ ] **WSTG-v42-INPV-15**: Testing for HTTP Splitting/Smuggling (desalinhamento no parse de servidores proxy/backend)
- [ ] **WSTG-v42-INPV-16**: Testing for HTTP Incoming Requests
- [ ] **WSTG-v42-INPV-17**: Testing for Host Header Injection (envenenamento de cache ou redefinição de senhas)
- [ ] **WSTG-v42-INPV-18**: Testing for Server-side Template Injection - SSTI (injeção em templates Jinja, Twig, Velocity)
- [ ] **WSTG-v42-INPV-19**: Testing for Server-Side Request Forgery - SSRF (induzir o servidor a realizar requisições internas - *CWE-918*)
- [ ] **WSTG-v42-INPV-20**: Testing for Mass Assignment (vinculação imprópria de campos que altera atributos privilegiados no banco)

### 8. Testes de Tratamento de Erros (Error Handling - WSTG-ERRH)
Analisa vazamento de informações por meio de mensagens informativas demais ou stack traces.
- [ ] **WSTG-v42-ERRH-01**: Testing for Improper Error Handling (mensagens informativas demais sobre a infraestrutura)
- [ ] **WSTG-v42-ERRH-02**: Testing for Stack Traces (exposição de trechos de código e linhas de erro em tempo de execução)

### 9. Testes de Criptografia Fraca (Weak Cryptography - WSTG-CRYP)
Verifica a segurança dos dados em trânsito e em repouso.
- [ ] **WSTG-v42-CRYP-01**: Testing for Weak Transport Layer Security (uso de TLS obsoletos como 1.0, 1.1 ou ciphers fracos)
- [ ] **WSTG-v42-CRYP-02**: Testing for Padding Oracle (exploração de erros de preenchimento criptográfico)
- [ ] **WSTG-v42-CRYP-03**: Testing for Sensitive Information Sent via Unencrypted Channels (dados sensíveis trafegados sem SSL)
- [ ] **WSTG-v42-CRYP-04**: Testing for Weak Encryption (uso de algoritmos fracos como MD5, SHA1, DES)

### 10. Testes de Lógica de Negócio (Business Logic Testing - WSTG-BUSL)
Audita a aplicação contra desvios de fluxos operacionais previstos.
- [ ] **WSTG-v42-BUSL-01**: Test Business Logic Data Validation (entrada de valores atípicos, negativos ou fora do intervalo do negócio)
- [ ] **WSTG-v42-BUSL-02**: Test Ability to Forge Requests (tentar ignorar passos ou reordenar transações de compras/cadastros)
- [ ] **WSTG-v42-BUSL-03**: Test Integrity Transmission (parâmetros de preços ou regras editados diretamente pelo usuário)
- [ ] **WSTG-v42-BUSL-04**: Test Process Timing (condição de corrida ou concorrência desregulada)
- [ ] **WSTG-v42-BUSL-05**: Test Number of Times a Function Can Be Run (abuso de chamadas, ex: cupons ilimitados)
- [ ] **WSTG-v42-BUSL-06**: Testing for Circumvention of Workflows (saltar etapas lógicas necessárias)
- [ ] **WSTG-v42-BUSL-07**: Test Defenses Against Application Misuse (proteções contra automações maliciosas)
- [ ] **WSTG-v42-BUSL-08**: Test Upload of Unexpected File Types (upload de extensões perigosas como `.php`, `.jsp`, `.exe` - *CWE-434*)
- [ ] **WSTG-v42-BUSL-09**: Test Upload of Malicious Files (envio de vírus, web shells ou zip bombs)

### 11. Testes de Lado do Cliente (Client-Side Testing - WSTG-CLNT)
Verifica o comportamento no navegador do usuário e segurança no JS.
- [ ] **WSTG-v42-CLNT-01**: Testing for DOM-based Cross Site Scripting (XSS baseado em DOM)
- [ ] **WSTG-v42-CLNT-02**: Testing for JavaScript Execution (injeção direta via console ou iframe)
- [ ] **WSTG-v42-CLNT-03**: Testing for HTML Injection
- [ ] **WSTG-v42-CLNT-04**: Testing for Client-Side URL Redirect (redirecionamento aberto vulnerável)
- [ ] **WSTG-v42-CLNT-05**: Testing for CSS Injection
- [ ] **WSTG-v42-CLNT-06**: Testing for Client-Side Resource Manipulation (injeção de recursos e scripts externos)
- [ ] **WSTG-v42-CLNT-07**: Test Cross-Site Flashing (falhas no Adobe Flash/arquivos SWF, se aplicável em legados)
- [ ] **WSTG-v42-CLNT-08**: Testing for Clickjacking (ausência de cabeçalho `X-Frame-Options` ou diretiva `frame-ancestors` do CSP)
- [ ] **WSTG-v42-CLNT-09**: Testing Web WebSockets (vulnerabilidades na persistência da comunicação direta)
- [ ] **WSTG-v42-CLNT-10**: Testing Web Messaging (vazamento de dados via `postMessage`)
- [ ] **WSTG-v42-CLNT-11**: Test Local Storage (dados confidenciais salvos indevidamente em Local/Session Storage)
- [ ] **WSTG-v42-CLNT-12**: Testing for Cross-Site Script Inclusion (XS-Leaks / XSSI)
- [ ] **WSTG-v42-CLNT-13**: Testing for Client-Side Template Injection

### 12. Testes de APIs (API Testing - WSTG-APIT)
Focado especificamente em avaliar APIs RESTful, GraphQL, SOAP e microsserviços.
- [ ] **WSTG-v42-APIT-01**: Test API Reconnaissance (coleta de informações, arquivos Swagger/OpenAPI expostos, endpoints de testes)
- [ ] **WSTG-v42-APIT-02**: Test API Authentication & Authorization (bypasses de tokens Bearer/JWT, vazamento de chaves nos endpoints)
- [ ] **WSTG-v42-APIT-03**: Test API Input Validation (ataques de injeção aplicados a payloads JSON e XML)
- [ ] **WSTG-v42-APIT-04**: Test API Rate Limiting (ausência de limites de requisições por IP ou Token, expondo a API a DoS)

---

## 📝 Modelo de Relatório de Vulnerabilidade (Report Template)

Reporte as falhas encontradas de forma detalhada, permitindo reprodução e correção rápidas:

```markdown
### 🚨 [ID_WSTG] Nome da Vulnerabilidade (ex: XSS Armazenado em Comentários)

**Severidade**: [Crítica | Alta | Média | Baixa] | **Score CVSS**: [0.0 - 10.0]
**ID WSTG**: [Ex: WSTG-v42-INPV-02] | **MITRE TTP**: [Ex: T1190]

#### 📄 Descrição
Explicação técnica concisa sobre a raiz do problema, o trecho afetado e o impacto real se explorado.

#### 👣 Prova de Conceito (PoC)
1. Passos sequenciais detalhados de reprodução.
2. Payload HTTP ou requisição enviada.
3. Resposta do servidor ou evidência visual de sucesso.

#### 🛠️ Remediação Recomendada (Controle ASVS / D3FEND)
Instruções de código seguro e configuração para neutralizar o risco, correlacionando-as diretamente com a skill [appsec-owasp-asvs](../appsec-owasp-asvs/SKILL.md) (ex: uso de sanitização ativa de tags HTML).
```

---

## ⚙️ Protocolo Operacional do Pentester (Regras de Conduta)

1. **Escopo e Alvos**: Sempre inicie as análises mapeando os riscos e vulnerabilidades já previstos na modelagem de ameaças gerada pelo [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md).
2. **Exploração Inofensiva**: O objetivo é demonstrar a existência da falha sem indisponibilizar o serviço. Não execute comandos destrutivos (ex: `DROP TABLE` ou `rm -rf`). Em vez disso, use comandos inofensivos de prova de conceito (ex: `whoami`, `SELECT 1`, alert de script simples).
3. **Colaboração Ativa**: Notifique as técnicas e payloads utilizados para a skill [secops-incident-responder](../../ops-architecture/secops-incident-responder/SKILL.md) para auditar se o sistema de logs/SIEM local registrou e alertou os ataques simulados de forma apropriada.

---

## 🔗 Integração com Outras Habilidades

- [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md): Entrega os cenários de ameaça que fundamentam a busca ativa por vulnerabilidades.
- [appsec-owasp-asvs](../appsec-owasp-asvs/SKILL.md): Define o padrão de segurança e desenvolvimento seguro que serve de referência para as remediações recomendadas.
- [pentester-owasp-api-security-2023](../pentester-owasp-api-security-2023/SKILL.md): Especializa a auditoria de APIs REST, GraphQL, SOAP e microsserviços com base no OWASP API Security Top 10 2023.
- [secops-incident-responder](../../ops-architecture/secops-incident-responder/SKILL.md): Recebe dados das simulações ofensivas para aprimorar as regras de detecção de incidentes (Blue Team).
- [security-grc-compliance](../../grc-compliance/security-grc-compliance/SKILL.md): Governa as políticas de criticidade e SLAs para correção dos riscos.