El equipo de Zed Attack Proxy (ZAP) tiene el complemento OWASP PTK, versión 0.2.0 alpha, integrando la extensión del navegador OWASP Penetration Testing Kit (PTK) directamente en los navegadores iniciados por ZAP.

Esto agiliza las pruebas de seguridad de aplicaciones al incorporar DAST, IAST, SAST, SCA y herramientas especializadas como editores de JWT y cookies sin necesidad de configuración manual. Disponible a través del ZAP Marketplace, el complemento preinstala PTK en sesiones de Chrome, Edge y Firefox proxyficadas a través de ZAP.

Tú instalas el complemento OWASP PTK desde el Marketplace de ZAP y luego inicias un navegador compatible mediante la función de ZAP. El icono de PTK aparece inmediatamente, permitiéndote iniciar sesión en los objetivos e iniciar escaneos. ZAP gestiona la captura de tráfico, el árbol del sitio, el historial y la gestión de sesiones, mientras que PTK proporciona herramientas de prueba nativas del navegador.

El DAST de PTK permite escaneos en tiempo de ejecución durante la navegación normal: inicia el escaneo, navega por flujos clave como formularios y páginas de administración, detén el escaneo y revisa los hallazgos.

Es ideal para SPAs (aplicaciones de una sola página) que dependen de interacciones del usuario. Se recomienda ajustar las solicitudes por segundo y la concurrencia para garantizar la estabilidad en producción, con un alcance de dominio estricto para minimizar el ruido. Los hallazgos se integran con ZAP para volver a probarlos mediante herramientas de solicitudes.

El IAST monitorea el comportamiento en tiempo de ejecución del navegador, inyectando agentes durante los escaneos para obtener señales más allá del análisis de respuestas. Inicia el monitoreo, navega por rutas autenticadas y luego clasifica mutaciones del DOM y problemas de renderizado del lado del cliente.

Esto destaca en aplicaciones dependientes del estado de la interfaz, ofreciendo contexto rápido para los pentesters que permanecen dentro del flujo de trabajo del navegador.

El SAST analiza scripts en línea y externos cargados en producción, detectando sumideros y patrones sin acceso al repositorio. Ejecútalo en las páginas actuales y pivota los hallazgos a DAST/IAST para validación, especialmente útil para scripts de terceros en SPAs. El SCA revela riesgos de dependencias en aplicaciones en ejecución, revisando paquetes con el contexto de ZAP para comportamientos de carga.

El Request Builder facilita la iteración rápida: edita el tráfico desde el historial de ZAP, repite ataques, clónalo como cURL o manipula encabezados. Las herramientas de JWT decodifican tokens, modifican claims/algoritmos y prueban la aplicación de políticas como exp o HMAC débiles, repitiendo a través de ZAP para comparar diferencias en las respuestas. Las herramientas de cookies permiten editarlas, bloquearlas o exportarlas para reproducir sesiones.

Una rutina práctica comienza con el inicio de sesión en el navegador proxyficado por ZAP, seguido de DAST/IAST de PTK durante los flujos, SAST/SCA para señales estáticas y validación de JWT/cookies.

Esta combinación aprovecha ZAP como centro de proxy y PTK para pruebas específicas del navegador, mejorando la cobertura en aplicaciones web modernas. Enfatiza los escaneos activos basados en permisos y configuraciones conservadoras.

El lanzamiento, anunciado el 19 de enero de 2026, marca un hito en la sinergia ZAP-PTK, desarrollado con contribuciones de Denis Podgurskii. Los pentesters obtienen pruebas eficientes y conscientes del contexto para aplicaciones autenticadas y dinámicas.