Pruebas de Seguridad en Clientes Pesados
ACCIÓN REQUERIDA (léase y ejecútese inmediatamente)
AHORA: Leer../field-journal/precedent-pentest.mdAHORA: Confirmar que el objetivo es un cliente pesado de escritorio (GUI de Win/macOS/Linux o servicio acompañante), no una aplicación web puraAHORA: Inicializar el caso; registrar la fuente del paquete de instalación y las cuentas de prueba en el alcanceSIGUIENTE: Herramientas (proxy Burp ascendente, monitoreo de procesos, herramientas de ingeniería inversa)ACTUAR: Mapa de límites de confianza → superficie local → superficie de red → actualización/cadena de suministro
Escenarios de Aplicación
- Clientes con arquitectura C/S, Electron/Qt/.NET WinForms/WPF
- Almacenamiento/credenciales locales, IPC, named pipes
- Investigación de omisión de validación forzada del lado del cliente (autorizada)
- Canales de actualización automática y verificación de firmas de código
Flujo de Trabajo
1. Establecer Límites
□ Árbol de procesos, subprocesos, controladores/servicios
□ Puertos de escucha y dominios de salida
□ Rutas locales sensibles: %APPDATA%, Keychain, registro
2. Superficie de Ataque Local
□ Configuración en texto claro, claves codificadas, interruptores de depuración
□ Secuestro de DLL/orden de búsqueda (Windows)
□ Archivos de base de datos (SQLite) permisos y cifrado
□ IPC: ¿Quién puede conectarse? ¿Se requiere autenticación?
3. Superficie de Red
□ Proxy del sistema / TLS personalizado de la aplicación
□ Fijación de certificados → combinar metodología mobile/js o Frida
□ Escalado de privilegios en API: interfaces de administración ocultas en el cliente
4. Verificación Mediante Ingeniería Inversa
□ .NET → dotnet-reverse; nativo → ida/ghidra; Electron → asar + js-reverse
Cadena de Herramientas
| Herramienta | Uso |
|---|---|
| Process Monitor / API Monitor | Comportamiento |
| Burp / mitmproxy | Tráfico |
| dnSpy / IDA / Ghidra | Ingeniería inversa |
| Sysinternals | Superficie de Windows |
| asar / nexe detection | Electron |
Referencias
references/thick-client-checklist.md../dotnet-reverse/../ida-reverse/../js-reverse/../api-security/
Contexto de Ruta
Ascendente: MASTER R32
Descendente: Protocolo puro protocol-reverse; Actualización de cadena de suministro supply-chain-security
Autocomprobación de Finalización de Tarea
- ¿Se ha dibujado el mapa de límites de confianza?
- ¿Se han cubierto tanto la superficie local como la de red?
- ¿Checklist?