Nikto para escanear vulnerabilidades web

Nikto es un escáner de vulnerabilidades web de código abierto, una herramienta que revisa automáticamente un servidor web y comprueba, contra una amplia base de datos de problemas conocidos, si el servidor presenta alguno de ellos. Está orientado sobre todo a los problemas a nivel de servidor y de configuración, y busca cosas como archivos y directorios peligrosos que quedaron accesibles, por ejemplo scripts de ejemplo, paneles de administración o copias de seguridad, configuraciones inseguras del servidor, versiones de software desactualizadas que tienen fallos ya documentados públicamente, y cabeceras de seguridad HTTP que deberían estar presentes y no lo están. Su valor legítimo es servir como una primera revisión rápida de un servidor propio: en pocos minutos señala los problemas obvios y conocidos que no deberían estar ahí, lo que lo convierte en un buen punto de partida para reforzar la seguridad de un sitio. Es importante entender sus límites: Nikto detecta lo conocido y documentado, no descubre vulnerabilidades nuevas ni fallos de lógica de negocio, por lo que es una primera pasada útil pero no sustituye a una auditoría de seguridad completa. Su empleo está restringido a servidores propios, laboratorios o pruebas autorizadas.

Nikto detecta principalmente cuatro grandes categorías de problemas, todos ellos a nivel de servidor y configuración y todos previamente conocidos y documentados. La primera son los archivos y directorios peligrosos, es decir recursos que están accesibles y no deberían estarlo, como scripts de ejemplo que vinieron con el software y quedaron instalados, paneles de administración expuestos, copias de seguridad, archivos temporales y otros restos que revelan información o abren puertas. La segunda son las configuraciones inseguras del servidor web, como opciones que están activadas y que resultan peligrosas, métodos innecesarios habilitados o permisos indebidos. La tercera son las versiones de software desactualizadas, ya que Nikto identifica la versión del servidor y de sus componentes y avisa cuando corresponden a versiones con fallos de seguridad ya documentados y publicados, que se corrigen actualizando. La cuarta son las cabeceras de seguridad ausentes, es decir cabeceras HTTP que un sitio bien configurado debería enviar para proteger al navegador del usuario frente a ciertos ataques y que, al faltar, dejan esa protección sin activar. En conjunto, Nikto es especialmente bueno detectando el tipo de descuidos y omisiones que se cuelan al desplegar o mantener un servidor, que son a la vez muy comunes y relativamente fáciles de corregir una vez identificados.

La herramienta es legal, pero escanear con ella un servidor web ajeno sin autorización no lo es y puede constituir un delito. Además, en el caso de Nikto hay una particularidad que conviene tener muy presente: la herramienta es deliberadamente ruidosa, es decir, no hace ningún esfuerzo por ocultar su actividad, sino que envía una gran cantidad de peticiones fácilmente identificables y aparece de inmediato en los registros del servidor objetivo. Esto significa que un escaneo no autorizado no solo es ilegal, sino que además es muy fácil de detectar y de atribuir. Por eso Nikto solo debe utilizarse sobre servidores web de tu propiedad, en entornos de laboratorio y competencias de tipo CTF preparadas para practicar, o sobre sistemas que audites con autorización explícita y un alcance claramente definido. Incluso con autorización, cuando se escanea un entorno de producción conviene planificar y coordinar la ejecución, porque el ruido y la carga que genera pueden interferir con la operación normal o disparar alertas de seguridad. Como con todas las herramientas de seguridad de doble uso, lo que distingue una revisión legítima de una actividad ilegal es la autorización previa y la intención con la que se emplea.

No, y esta es una de las confusiones más importantes que conviene evitar. Un informe de Nikto sin hallazgos significa únicamente que el servidor no presenta ninguno de los problemas conocidos y documentados que Nikto comprueba, lo cual es una buena noticia pero está muy lejos de garantizar que el sitio sea seguro en su conjunto. Nikto tiene límites claros por diseño: solo detecta lo conocido, es decir, fallos, archivos, versiones y configuraciones ya catalogados en su base de datos, y no es capaz de descubrir vulnerabilidades nuevas o específicas de tu aplicación, ni fallos en la lógica de negocio, ni problemas de autorización, ni cadenas de errores que solo se manifiestan combinando varios pasos. Todo eso queda fuera de su alcance. Por tanto, un informe limpio debe interpretarse como que se ha superado una primera pasada rápida que descarta los problemas más obvios y comunes, pero no como un certificado de seguridad. Una evaluación seria requiere complementar Nikto con otras herramientas y, sobre todo, con revisión manual por parte de personas con experiencia, guiándose por marcos como el OWASP Top 10 y la metodología de pruebas de seguridad web, que cubren precisamente los riesgos que un escáner automático de problemas conocidos no puede detectar por sí solo.

La buena noticia es que la gran mayoría de los hallazgos de Nikto se corrigen con tres acciones sencillas y bien definidas, precisamente porque se trata de problemas conocidos y de configuración. La primera es actualizar el software: como muchos hallazgos corresponden a versiones desactualizadas del servidor o de sus componentes que tienen fallos ya documentados, aplicar los parches y actualizaciones disponibles resuelve la causa de raíz, y esta es la medida más frecuentemente necesaria. La segunda es quitar lo que sobra: eliminar del servidor los scripts de ejemplo, los paneles innecesarios, las copias de seguridad, los archivos temporales y cualquier recurso que esté accesible sin necesidad, ya que todo eso amplía la superficie expuesta sin aportar nada. La tercera es configurar bien el servidor, lo que incluye añadir las cabeceras de seguridad HTTP que estén ausentes para proteger al navegador del usuario y desactivar las opciones y métodos inseguros que no se utilicen. Para decidir el orden en que abordar los hallazgos conviene priorizar según su gravedad, apoyándose en el OWASP Top 10 para situar cada problema en su contexto de riesgo. Y hay que recordar que corregir lo que Nikto encuentra elimina los problemas conocidos, pero no exime de una revisión de seguridad más profunda para el resto.

Nikto es ruidoso porque su diseño prioriza la exhaustividad y la rapidez de la comprobación por encima del sigilo, y esto responde a su propósito original: ser una herramienta de revisión rápida y honesta sobre servidores propios o autorizados, no una herramienta pensada para pasar desapercibida ante las defensas de un objetivo. Para comprobar su amplia base de datos de problemas conocidos, Nikto envía una gran cantidad de peticiones al servidor, muchas de ellas dirigidas a rutas y archivos que probablemente no existen, lo que genera un patrón de tráfico muy característico y un elevado número de respuestas de recurso no encontrado en los registros, de modo que cualquier sistema de monitorización lo detecta enseguida. Esta característica tiene dos consecuencias prácticas. Por un lado, refuerza la importancia de usarlo solo con autorización, porque un escaneo no autorizado quedará registrado y será fácilmente atribuible. Por otro lado, obliga a planificar su uso cuando se ejecuta contra entornos de producción, coordinándolo con los responsables para que el ruido no dispare falsas alarmas ni la carga afecte al servicio. Si se necesitara una evaluación más discreta, se recurriría a otras técnicas y herramientas, pero para el caso de uso habitual de Nikto, que es revisar rápidamente la propia infraestructura, el ruido no es un problema sino simplemente una consecuencia de hacer muchas comprobaciones a fondo.