w3af (Web Application Attack and Audit Framework) es una herramienta open source de auditoría que permite detectar vulnerabilidades web y explotarlas. Es bastante sencilla de utilizar y muy útil para automatizar diferentes análisis en un sólo proceso.
Básicamente se trabaja con 4 pestañas, en Configuración del análisis se indica el objetivo y se seleccionan los plugins o escáneres que se desean utilizar; en Log se puede ver el estado del proceso; en Resultados las vulnerabilidades detectadas con lujo de detalles (SQL Injection, Cross Site Scripting, Full Path Disclosure, File Inclusion, etc); y finalmente desde la pestaña Exploit se pueden explotar estos fallos.
Si deseas entender un poco más el alcance de este tipo de herramientas te recomiendo leer este artículo de Infosec Resources (en inglés), se muestra a modo de ejemplo como una vulnerabilidad sql injection detectada con w3af, permite obtener las contraseñas de un blog en WordPress.
Por supuesto, w3af no busca ser un programa de haking malintencionado, si bien parece que con unos simples clics se puede hacer de todo, es necesario tener ciertos conocimientos y ganas de entender lo que sucede para poder sacarle provecho.
El proyecto nació en el año 2006 de la mano de Andrés Riancho, fundador de la empresa de seguridad Bonsai, y hoy cuenta con el apoyo de toda la comunidad de especialistas en seguridad web.
Descarga: w3af.sourceforge.net/#download
Se puede instalar en Windows (ver demo de instalación) y Linux (apt-get install w3af), si tienes Backtrack puedes ejecutar la interfaz gráfica desde /pentest/web/w3af ./w3af_gui
Si se van a poner a jugar con ella, les recomiendo hacerlo en un entorno controlado, es la mejor forma de testearla, experimentar y aprender :)
Ver también:
Scanner de vulnerabilidades en WordPress y ataque por fuerza bruta.
SP Toolkit, un kit de phishing para educar a los usuarios con ataques reales.