w3af (Web Application Attack and Audit Framework) es un entorno completo y de código abierto diseñado para la evaluación de vulnerabilidades y pruebas de intrusión en aplicaciones web. Desarrollado por Andrés Riancho y mantenido por la comunidad, combina multitud de plugins para descubrir, explotar y reportar fallos en aplicaciones HTTP/HTTPS en un flujo integrado y reproducible.
¿Qué ofrece w3af?
- Un conjunto de plugins para reconocimiento, explotación, inyección, fuzzing y auditoría.
- Interfaz gráfica (GTK) para uso interactivo y un modo consola/CLI para automatización.
- API REST que permite orquestar escaneos desde otras herramientas o integrarlos en pipelines.
- Integración con Metasploit y capacidades para ejecutar payloads y proxys a través de hosts comprometidos.
- Soporte para falsos positivos/negativos, perfiles preconfigurados y personalización avanzada de pruebas.
Componentes principales
- Plugins de crawling y detección de superficies de ataque.
- Plugins de auditoría para XSS, SQLi, CSRF, LFI/RFI, desbordamientos en formularios y otros vectores web.
- Fuzzers y generadores de payloads.
- Módulos de autenticación (Basic, NTLM, formularios) y manejo de cookies/headers.
- Módulo REST API para exponer funcionalidades de w3af a aplicaciones externas y CI.
Casos de uso típicos
- Pentesting de aplicaciones web: desde pruebas rápidas de reconocimiento hasta auditorías profundas y explotación.
- Evaluación de APIs REST: escaneo a partir de OpenAPI/Swagger o importando peticiones HTTP.
- Integración en CI/CD: ejecución de escaneos automáticos en pipelines de testing (con contenedores o agentes dedicados).
- Investigación y formación: laboratorios y ejercicios de seguridad aplicados.
Instalación y plataformas soportadas
w3af proporciona documentación detallada para varias vías de instalación:
- Instalación directa en sistemas Linux con dependencias (Python, librerías nativas).
- Uso en Kali Linux, donde puede venir preinstalado o ser fácil de añadir.
- Ejecución mediante Docker, recomendada para entornos aislados o reproducibles.
- Instalación en macOS y entornos con virtualenv para mantener dependencias aisladas.
La documentación oficial incluye guías para instalación avanzada, actualización, resolución de problemas y uso dentro de contenedores.
Uso: GUI, consola y automatización
- Interfaz GTK: ideal para auditorías interactivas. Permite configurar plugins, lanzar escaneos y explorar resultados gráficamente.
- Consola/CLI: para operativa rápida, scripting y uso en servidores.
- Scripts de automatización: w3af admite secuencias de comandos para orquestar flujos de prueba repetibles.
- REST API: arranca un servicio que expone recursos como
/scans/,/kb/,/traffic/y permite integración con otras plataformas.
Buenas prácticas y recomendaciones
- Preparar perfiles según el objetivo (scan rápido, exhaustivo, pruebas destructivas o no destructivas).
- Gestionar autenticación correctamente (formularios, NTLM, cookies) para escanear áreas autenticadas.
- Usar entornos aislados (Docker/VM) para evitar impacto en sistemas productivos.
- Revisar y filtrar resultados para minimizar falsos positivos y priorizar hallazgos según riesgo.
- Actualizar regularmente: el proyecto recibe parches y mejoras continuas; mantenerse en la rama adecuada mejora cobertura y estabilidad.
Limitaciones y precauciones legales
- w3af es una herramienta poderosa: su uso debe ceñirse a acuerdos explícitos (autoridad para testear) y a la legalidad vigente.
- En entornos de producción, conviene ejecutar escaneos fuera de horas críticas y con backups y planes de contingencia.
- Las pruebas de explotación pueden provocar efectos colaterales (cargas, borrado de datos); documenta y controla el alcance.
Recursos y dónde empezar
- Github del proyecto (código, issues, contribuciones y releases).
- Documentación oficial (guías de instalación, GUI, REST API, ejemplos, perfiles y troubleshooting).
- Canales comunitarios: listas de correo, IRC y redes sociales para soporte e intercambio.
En resumen: w3af es una plataforma madura y versátil para auditorías de seguridad web. Su combinación de plugins, GUI, REST API y opciones de despliegue (incluido Docker) lo hace adecuado tanto para pentesters profesionales como para equipos de seguridad integrados en el ciclo de desarrollo. Sin embargo, su potencia exige responsabilidad: siempre operar con permisos y respetando el impacto operativo.
Fuente oficial
- w3af — Web Application Attack and Audit Framework (repositorio y documentación): https://github.com/andresriancho/w3af
