Este documento describe cómo realizar un análisis de vulnerabilidades en un sitio web utilizando la herramienta Nikto. Explica cómo instalar Nikto y ActivePerl, y luego ejecutar Nikto para escanear vulnerabilidades en el sitio web itsanjuan.edu.mx. Identifica algunas vulnerabilidades encontradas y sus soluciones potenciales de acuerdo con la base de datos OSVDB. Concluye que conocer herramientas de análisis de vulnerabilidades permite prevenir ataques y corregir problemas para evitar pérdidas de inform

1. Av. Tecnológico No. 2, Col. Centro, C.P. 76800
San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123
www.itsanjuan.edu.mx
TECNOLÓGICO NACIONAL DE MÉXICO
Instituto Tecnológico de San Juan del Río
Instituto Tecnológico de San Juan del Río
PRÁCTICA 2:
Análisis de un sitio WEB
P R E S E N T A:
Ruiz Arrazola María del Carmen 12590149
P R O F E S O R (A):
Rojo López Ariopajita
San Juan del Río, Qro., Abril de 2015

2. Av. Tecnológico No. 2, Col. Centro, C.P. 76800
San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123
www.itsanjuan.edu.mx
Práctica No. 2
Análisis de un sitio WEB
 Objetivos
Al completar este laboratorio, el participante será capaz de:
 Efectuar análisis de vulnerabilidades en un sitio Web.
 Efectuar la auditoria SSL de su Certificado Digital.
 Instalar y configurar un servidor Apache.
 Instalar y configurar la plataforma de desarrollo PHP.
 Instalar y configurar la herramienta de haking BeeF (Browser Explitation Framework).
Introducción:
Análisis de Vulnerabilidades Web
En este ejercicio se instalará y ejecutará el software Nikto, para efectuar un scanningde las
vulnerabilidades en servidores web.
 Material y equipo necesario
 1Computadora con Windows server
 2 nodos o clientes conectados en la red
 Metodología
Paso 1. Instalación de ActivePerl.

3. Av. Tecnológico No. 2, Col. Centro, C.P. 76800
San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123
www.itsanjuan.edu.mx
TECNOLÓGICO NACIONAL DE MÉXICO
Instituto Tecnológico de San Juan del Río
a. Inicie su equipo en Windows. Ejecute ActivePerl-5.10.1.1006-MSWin32-x86-291086.msi
desde su USB, aceptando todas las opciones por default.
Paso 2. Instalación, Actualización |y prueba de Nikto.
a. Descomprima el archivo nikto-current.tar.gz, hacia el directorio c:hacknikto-2.1.0
b. Use wordpad para editar el archivo de texto nikto.conf ubicado en el directorio principal de
nikto:
PLUGINDIR=C:/hack/nikto-2.1.0/plugins
DOCDIR=C:/hack/nikto-2.1.0/docs
TEMPLATEDIR=C:/hack/nikto-2.1.0/templates
Asegúrese de remover el símbolo # (comentario) al inicio de las tres líneas y guarde el archivo.

4. Av. Tecnológico No. 2, Col. Centro, C.P. 76800
San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123
www.itsanjuan.edu.mx
TECNOLÓGICO NACIONAL DE MÉXICO
Instituto Tecnológico de San Juan del Río
c. Verifique que su IP local es dinámica asignada por DHCP para que pueda conectarse a Internet.
ipconfig /all
d. Abra una consola de comandos en el directorio c:hacknikto-2.1.0. Ejecute nikto para que
actualice en línea la lista de vulnerabilidades que puede detectar:
perl nikto.pl –update
e. Ejecute de nuevo Nikto, para que efectúe el análisis de vulnerabilidades del sitio web:
perl nikto.pl –h www.itsanjuan.edu.mx

5. Av. Tecnológico No. 2, Col. Centro, C.P. 76800
San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123
www.itsanjuan.edu.mx
TECNOLÓGICO NACIONAL DE MÉXICO
Instituto Tecnológico de San Juan del Río
f. Al concluir, investigue el número de referencia OSVDB que aparece en las vulnerabilidades,
para identificar el nivel de riesgo y como solucionarlo: http://osvdb.org/
Busque el número en el campo “OSVDB ID Lookup” de la página web anterior. Tome sólo dos o
tres vulnerabilidades de ejemplo.
OSVDB 3092: Puede contener información sensible que puede ser divulgada a usuarios remotos
autenticados, o la ayuda en los ataques más específicos.
Solución: Si el archivo o directorio contiene información sensible, eliminar los archivos del
servidor web o contraseña protegerlos.
OSVDB 3093: Se ha encontrado en los registros después de los servidores web han sido objeto
de ataques de fuentes y software desconocidos.
Solución: Si el archivo o directorio contiene información sensible , eliminar los archivos del
servidor web o contraseña protegerlos. Si los programas CGI contienen exploits, eliminar los
archivos o corregir la vulnerabilidad.
OSVDB 3761: El servidor web TCLHttpd contiene un recorrido defecto directorio que puede dar lugar a una
divulgación no autorizada de información. El problema se produce cuando se produce una solicitud de listado de
directorio, que revelará el contenido del directorio que resulta en una pérdida de confidencialidad.
Solución: Edite el httpdthread.tcl y comentando el directorio opción lista. Además, es aconsejable desactivar los
siguientes módulos para evitar Cross Site Scripting: Estado, de depuración, de correo y de administración.
Reflexión
a. Consideras importante conocer herramientas para análisis de vulnerabilidades.
¿Por qué?
Es de suma importancia conocer cada una de las vulnerabilidades de un sitio
web ya que de esta manera podemos prevenir posibles ataques lo cual puede
dar como consecuencia la fuga de información, por ello es debido estar
actualizando constantemente el software de seguridad para evitar dichas
pérdidas.
Al igual que el software de la página es aconsejable dar mantenimiento debido
al hardware para evitar posibles caídas lógicas de la pagina, ya que en

6. Av. Tecnológico No. 2, Col. Centro, C.P. 76800
San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123
www.itsanjuan.edu.mx
TECNOLÓGICO NACIONAL DE MÉXICO
Instituto Tecnológico de San Juan del Río
ocasiones se le pone más atención al software y olvidamos que el hardware
también es importante.
 Conclusiones
Al conocer una herramienta de este tipo permite a un diseñador de páginas
web, analizar el sitio creado para corregir posibles vulnerabilidades y evitar
perdida de información.