OWASP Top 10:2021 — Referencia histórica
El OWASP Top 10 es el estándar de referencia para las vulnerabilidades más importantes en aplicaciones web. Es como la "biblia" del hacking ético web. La lista siguiente recoge la edición 2021. Para la clasificación vigente, consulta el OWASP Top 10:2025 oficial.
Broken Access Control
Cuando un usuario puede acceder a datos o funciones que no debería (ejemplo: ver otros usuarios modificando IDs en URLs).
Cryptographic Failures
Fallo al proteger datos sensibles (contraseñas, tarjetas) — se envían en texto plano o con cifrado débil.
Injection (SQLi, SSTI, Command)
Código malicioso inyectado en consultas o comandos. La SQLi es la más clásica y popular.
Insecure Design
Vulnerabilidades en el diseño de la aplicación: flujos rotos, lógica incorrecta.
Security Misconfiguration
Servidores, frameworks y configuraciones por defecto con fallos (puertos abiert, banners revelando info).
Vulnerable & Outdated Components
Usar librerías con CVEs conocidas (Log4Shell, Spring4Shel).
Identification & Authentication Failures
Autenticación rota: contraseñas por defecto, MFA bypassed, session fixation.
Software & Data Integrity Failures
Deserialización insegura, CI/CD compromise, updates sin firmar.
Security Logging & Monitoring Failures
Falta de logs, detección tardía de ataques, no alertas en tiempo real.
SSRF (Server-Side Request Forgery)
Cuando el servidor hace peticiones a lugares internos por input del usuario.
🔗 Cadena de Ataque Típica
📊 Distribución por Severidad
📚 Recursos Clave
Página oficial OWASP Top 10
La lista completa con descripción detallada de cada vulnerabilidad
Web Security Testing Guide (WSTG)
Guía completa de testing con metodologías y técnicas
PortSwigger Web Security Academy
Tutoriales gratuitos y laboratorios prácticos de web security
OWASP Cheat Sheet Series
Cheat sheets para cada tema: XSS, SQLi, CSRF, CORS, etc.
Burp Suite — Tu Arma Principal
Burp Suite es la herramienta más usada por pentesters profesionales. Funciona como proxy interceptando peticiones HTTP entre tu navegador y el servidor, permitiéndote verlas, modificarlas y reenviarlas en tiempo real.
🧰 Módulos Principales
| Módulo | Función | Uso en Pentesting |
|---|---|---|
| Proxy | Intercepta y muestra peticiones HTTP/S | Ves todo el tráfico en vivo, modificas datos antes de enviarlos |
| Repeater | Envía peticiones manualmente una a una | Pruebas payloads contra un endpoint específico (como /api/auth/register) |
| Intruder | Fuzzing y ataques de fuerza bruta | Bate URLs, headers o body con múltiples payloads automáticamente |
| Scanner | Detección automática de vulnerabilidades | Analiza la web buscando XSS, SQLi, paths comunes, etc. |
📺 Vídeos de Burp Suite
🔗 Recursos de Burp Suite
Burp Suite Documentation Oficial
Documentación completa, guías de usuario y API reference
Burp Repeater Online Demo
Prueba Burp Repeater directamente en tu navegador sin instalar nada
Web Security Academy (PortSwigger)
Laboratorios prácticos gratuitos para cada vulnerabilidad web
Burp Suite Complete Course (Playlist YouTube)
Playlist completa con todos los videos de Burp Suite para principiantes
Nmap & Enumeración de Redes
Nmap (Network Mapper) es la herramienta estándar para descubrimiento de red y auditoría de seguridad. Escanea puertos, detecta servicios, versiona software e identifica sistemas operativos.
⌨️ Comandos Esenciales de Nmap
nmap target.com
# SYN scan completo con detección de versión y OS
sudo nmap -sS -sV -O -A target.com
# Escaneo rápido de toda la red
nmap -sn -T4 192.168.1.0/24
# Escaneo de TODOS los puertos (los 65535)
sudo nmap -sS -sV -O -p- target.com
# Escaneo con scripts de vulnerabilidad
sudo nmap -sV --script vuln -oN scan_results.txt target.com
# Escaneo agresivo con los 100 puertos más comunes
sudo nmap -A --top-ports 100 -v target.com
🔄 Fases del Escaneo Nmap
NSE scripts
DNS + IP
Ping scan
TCP/UDP ports
Servicios
Fingerprinting
NSE results
🎬 Vídeos de Nmap
How Hackers Map Your Entire Network — Nmap
Reconocimiento desde cero: dispositivos, puertos abiertos, servicios y fingerprinting OS.
Publicado: 04/11/2026
Using NMAP for Security Assessments — Cisco (Technical Advocates)
Demo práctica de Nmap: host discovery, port scans, version detection, scripting y reportes.
Publicado: 17/12/2025Inyección SQL (SQLi)
La SQL Injection ocurre cuando un atacante inserta sentencias SQL maliciosas en parámetros de entrada, manipulando la consulta al servidor de base de datos. Es una de las vulnerabilidades más clásicas y poderosas.
🔀 Tipos de SQL Injection
Union-based & Error-based
La data se extrae a través del mismo canal (resultados visibles en pantalla o errores de base de datos).
Boolean & Time-based
No hay salida directa. Se infiere la data por respuestas booleanas (verdadero/falso) o delays temporales.
DNS/HTTP exfiltration
La base de datos usa mecanismos externos (DNS queries, HTTP requests) para enviar la data al atacante.
💉 Payloads Clave
' OR '1'='1
' UNION SELECT NULL, NULL --
# Extraer versión y usuario de la BD
' UNION SELECT @@version, user() --
# Enumerar tablas (MySQL)
' UNION SELECT table_name, NULL FROM information_schema.tables --
# Dumpar datos
' UNION SELECT column1, column2 FROM users --
⚙️ Automatización con SQLmap
sqlmap -u "http://target.com/page?id=1"
# Enumerar bases de datos y tablas
sqlmap -u "http://target.com/page?id=1" --dbs --tables
# Dumpar todos los datos de una tabla
sqlmap -u "http://target.com/page?id=1" -D mydb -T users --dump
# Escaneo con scripts personalizados
sqlmap -u URL --batch --random-agent --threads=5
📚 Recursos de SQL Injection
SQL Injection Cheat Sheet (PortSwigger)
Síntaxis y ejemplos prácticos para todos los DBMS: MySQL, PostgreSQL, MSSQL, Oracle.
Cheat Sheets — Injection Attacks (Cybr)
Guía gratuita de Christophe Limpalair con cheat sheets y referencias.
SQLmap GitHub (Repositorio Oficial)
El proyecto open source más popular para detección y explotación de SQLi.
Cross-Site Scripting (XSS)
XSS ocurre cuando un atacante inyecta código JavaScript malicioso en una página web, haciendo que el navegador de la víctima lo ejecute como si viniera del sitio confiable. Los tres tipos principales son:
🎭 Los Tres Tipos de XSS
Stored / Persistent XSS
El payload se guarda en el servidor (base de datos) y se muestra a todos los usuarios. Ejemplo: un comentario malicioso en un foro.
Reflected / Non-Persistent XSS
El payload se refleja en la respuesta HTTP (URL, formulario). Ejemplo: un link con script inyectado.
DOM XSS
El código se ejecuta en el navegador sin pasar por el servidor. Se inyecta mediante JavaScript (document.write, innerHTML).
📌 Vectores Comunes de Ataque
<script>alert(document.cookie)</script>
# Via evento HTML
<img src=x onerror=alert(1)>
# Via atributo
<body onload=alert('XSS')>
# Codificado URI (bypass WAF)
<IMG SRC=jAvascript:alert('test')>
# Base64 en META tag
<META HTTP-EQUIV="refresh" CONTENT="0;url=data:text/html;base64,PHNjcmlwdD5hbGVydCgndGVzdDMnKTwvc2NyaXB0Pg">
# DOM XSS (document.write)
<script>document.write(location.hash.substring(1))</script>
🛡️ Defensa Contra XSS
| Técnica | Descripción |
|---|---|
| Output Encoding | Convertir caracteres especiales a entidades HTML (< → <, > → >) |
| Input Validation | Filtrar y validar la entrada del usuario antes de usarla |
| Content Security Policy (CSP) | Restringir qué fuentes pueden ejecutar scripts en la página |
| HttpOnly Cookie Flag | Evitar que JavaScript acceda a cookies sensibles (session cookies) |
📺 Recursos y Vídeos de XSS
XSS Prevention Cheat Sheet (OWASP)
Todas las reglas de output encoding y contexto por contexto.
XSS Cheat Sheet (PortSwigger — fecha de actualización sin verificar)
Vectores de ataque para bypass WAF, con PoC para cada uno.
Cross-site Scripting (MDN Web Docs)
Explicación detallada con ejemplos de código, defensas y CSP.
XSS Attacks (OWASP Foundation)
Sintaxis alternativa, ejemplos con código JSP y defensa completa.
Cloud Security — AWS, Azure y GCP
Las nubes (AWS, Azure, GCP) tienen sus propias vulnerabilidades. IAM mal configurado, buckets S3 públicos, metadata leaks en GCP y MFA bypass en Azure son solo algunos de los problemas más comunes.
☁️ Cadena de Ataque Cloud
AWS/GCP/Azure
Permisos excesivos
S3 / Blob / GCS
IMDSv1 / GCP metadata
Docker/K8s
⚠️ Vulnerabilidades Cloud Clave
| Vulnerabilidad | Nube | Descripción |
|---|---|---|
| S3 Bucket Público | AWS | Buckets de almacenamiento accesibles sin autenticación |
| IAM Privilege Escalation | AWS | Escalar permisos para obtener acceso root/admin |
| Metadata IMDSv1 SSRF | AWS | Solicitar metadata del servidor y robar credentials temporales |
| MFA Bypass | Azure | Contornear la autenticación multifactor en Azure AD |
| GCP Service Account | GCP | Service accounts con permisos excesivos pueden controlar recursos |
| Kubernetes API Exposure | Todas | API server expuesto sin autenticación adecuada |
🎬 Vídeos de Cloud Security
Hack The Cloud — 15 Labs Hands-On (AWS/Azure/GCP)
Labs desplegables con Terraform: desafíos CTF de cloud hacking.
Publicado: 20/12/2025
Cloud Security Basics — AWS, Azure, GCP
Fundamentos de seguridad en la nube sin jerga técnica. Sesión práctica con ejemplos reales.
Publicado: 01/06/2026🔗 Recursos de Cloud Security
Otros Temas Importantes de Hacking
CORS Misconfiguration
Cuando un servidor confía en cualquier origen (Origin) para acceder a recursos protegidos. Se puede explotar desde un dominio malicioso.
Authentication & Session Management
Cookies inseguras, fixation de sesión, JWT weak secrets, MFA bypass, brute force en login.
File Upload Vulnerabilities
Ejecución de código webshell: subir archivos .php, .aspx, .html con XSS. Bypass por MIME type, extensión o contenido.
HTTP Smuggling (CL.TE / TE.CL)
Dos proxies interpretan la misma petición de forma diferente. Permite interceptar, redirigir o envenenar caches.
Race Conditions
Múltiples peticiones simultáneas rompen la lógica: usar un cupón múltiples veces, doble cobro, over-withdrawal.
GraphQL Vulnerabilities
Astroslash (query deep), Batching attacks (DDoS), Introspection leaks, Type confusion y mass assignment en mutations.
SSRF — Server-Side Request Forgery
El servidor hace peticiones a URLs controladas por el usuario: acceso a metadata AWS, escaneo de puertos internos.
Open Redirect & Clickjacking
Redirección a dominios maliciosos. Clickjacking: el usuario hace clic en un botón invisible sobre otro elemento.
CAPTCHA Bypass Patterns
6 patrones: CAPTCHA sin validar en backend, reutilización de token, bypass por método HTTP, rate limit alto.
CSP Bypass & DOM Clobbering
Bypass de Content Security Policy por vectores de atributos. DOM Clobbering: sobreescritura de variables globales del DOM.
🧰 Resumen de Herramientas
| Herramienta | Tipo | Ideal Para |
|---|---|---|
| Burp Suite | Proxy / Repeater / Intruder / Scanner | Pentesting web completo, interceptación y fuzzing |
| Nmap | Escaner de puertos y servicios | Reconocimiento, enumeración de hosts, detección OS |
| SQLmap | Automatización de SQLi | Detección y explotación automática de SQL injection |
| Metasploit | Framework de explotación | Ejecutar exploits contra servicios vulnerables |
| Hydra | Fuerza bruta | Crackeo de contraseñas (SSH, HTTP, FTP, etc.) |
| Nikto | Escáner web | Detección de vulnerabilidades en servidores web |
| Gobuster | Directorios y subdominios | Búsqueda de paths ocultos y DNS enumeration |
Metodología de Hacking Ético — Pasos Clave
🗺️ Metodología Completa
| Paso | Fase | Herramientas / Técnicas | Duración Est. |
|---|---|---|---|
| 1 | Intelligence Gathering | OSINT, WHOIS, DNS records, búsqueda de subdominios | 2-4 horas |
| 2 | Reconocimiento | Nmap, Gobuster, Subfinder, shodan.io, censys.io | 3-6 horas |
| 3 | Mapeo de Aplicación | Burp Suite Proxy, mapeo de endpoints, API discovery | 2-4 horas |
| 4 | Detección de Vulnerabilidades | Burp Scanner manual/automático, SQLmap, Nikto | 6-12 horas |
| 5 | Explotación | Burp Repeater (payloads), Metasploit, Hydra, custom scripts | 4-8 horas |
| 6 | Persistencia & Escalado | Lateral movement, privilege escalation, webshell | 2-4 horas |
| 7 | Reporte & Evidencia | Screenshots, PoC videos, análisis de riesgo, recomendaciones | 4-8 horas |
⏱️ Tiempo Total Estimado (Proyecto Medio)
Total: ~2-3 semanas para un pentest completo (20 días laborables)