DAST: leer un hallazgo

Un hallazgo dinámico bien documentado lleva tres cosas: la solicitud (método, dirección y parámetro afectado), la respuesta (estado, tipo de contenido y la parte del cuerpo o de las cabeceras que importa) y el indicador, es decir, qué vio la herramienta en esa respuesta para concluir que había un problema.

Para no fabricar un incidente, las herramientas usan marcas inocuas: un texto inventado que no existe en la aplicación, como una cadena con un número. Si la marca vuelve en la respuesta, se sabe que el valor enviado llegó a la página. Lo que no dice el informe dinámico es en qué archivo ni en qué línea del código está la causa.

El estado de la respuesta es la primera pista. Un 200 dice que la aplicación atendió la petición; un 302, que redirigió; un 500, que algo falló dentro del servidor. Una herramienta puede provocar un 500 al enviar un valor que la aplicación no esperaba, y si el cuerpo de ese error revela detalles internos, hay una fuga de información además del fallo.

Consulta la evidencia y localiza el hallazgo cuya respuesta fue un error interno.

Reportar «la página de búsqueda tiene un problema» no basta: el equipo necesita el parámetro exacto. La columna parametro de la tabla de hallazgos lo dice. Hay hallazgos sin parámetro, como los de cabeceras y cookies o los de acceso, porque el problema es de la respuesta o de la ruta y no de un valor enviado.

Una herramienta rara vez concluye con una sola petición. Envía varios sondeos con variaciones de la marca y observa cuántas veces vuelve sin transformar. Si vuelve en unos y en otros llega codificada, el comportamiento depende del contexto de la página o del tipo de carácter, y eso conviene anotarlo en el ticket.

La tabla sondeos recoge los seis de DA-201. Cuenta en cuántos la marca regresó sin transformar.

El informe trae dos columnas que se confunden. La severidad es lo que la herramienta cree que pesaría el problema. La confianza es cuán segura está de haber observado lo que dice. Puede haber un hallazgo de confianza alta y severidad baja, como la cookie de DA-203: la herramienta está segura de que falta el atributo, y aun así el problema pesa poco por sí solo.

Compara las dos columnas de DA-203 y de DA-204 antes de responder.