3 herramientas gratuitas para revisar tu app

VibeFactory Security Scanner

‍
Enlace: https://vibefactory.ai/security-scanner
Que hace: Más de 150 tipos de claves y tokens que puede encontrar expuestos en tu web.

‍

SupaExplorer

Enlace: supaexplorer.com/supabase-leak-scanner
Que hace: Detecta tablas públicas, claves filtradas y almacenamiento abierto en tu proyecto de Supabase

‍

Hoppscotch

‍
Enlace: https://hoppscotch.io/
Que hace: Es una alternativa gratuita a Postman: te deja llamar directamente a cada función de tu web (endpoint) y ver qué responde, con sesión iniciada o sin ella.

‍
Inyección SQL

Te explico una prueba manual clásica para detectar si un formulario web es vulnerable a Inyección SQL.

Qué es SQL injection en términos simples: cuando escribes algo en un campo de un formulario (login, buscador,  etc.), la web normalmente coge ese texto y lo mete dentro de una instrucción que le manda a su base de datos para buscar o guardar información. Si la web no está bien programada, en vez de tratar lo que escribiste como "solo texto", lo trata como si fuera parte del código de esa instrucción. Eso permite a alguien malicioso escribir comandos que manipulen la base de datos (ver datos de otros usuarios, borrar información, saltarse el login, etc.).

Por qué la comilla simple (') es la prueba: en el lenguaje que usan las bases de datos (SQL), la comilla simple es el símbolo que marca dónde empieza y termina un trozo de texto. Si escribes una comilla suelta y la web la mete tal cual dentro de su instrucción interna, rompe la sintaxis de esa instrucción - como cerrar un paréntesis que no se había abierto.

Qué mirar después de escribirla:

• Si aparece un error (una página rota, un mensaje técnico de la base de datos, un "500 Internal Server Error", etc.): es una mala señal, indica que el campo está tratando tu texto como código y probablemente es vulnerable.
• Si la web no hace nada raro (se comporta como si hubieras escrito cualquier otra letra): es una buena señal, significa que está tratando la comilla como texto normal, no como código.

‍