Aprender

El hacking ético, también llamado pentesting o hacking de sombrero blanco, consiste en probar sistemas, redes y aplicaciones en busca de vulnerabilidades con permiso explícito del propietario. A diferencia de los delincuentes, a los hackers éticos se los contrata para encontrar y ayudar a corregir debilidades antes de que alguien más las explote. Las habilidades técnicas sólidas importan, pero lo que separa a un profesional de una molestia es la disciplina: autorización por escrito, respeto al alcance, protección de los hallazgos sensibles y divulgación responsable.

Antes de cualquier prueba, comprende el marco legal. La Computer Fraud and Abuse Act en EE. UU., y leyes similares en todo el mundo, penalizan el acceso no autorizado a sistemas informáticos. La autorización lo es todo. Fuentes válidas: contratos de trabajo que autorizan pruebas internas, cartas de acuerdo firmadas para pentests, reglas de programas de bug bounty que otorgan permiso sobre activos específicos, o consentimiento por escrito de los propietarios de dispositivos para investigación de hardware. Incluso con autorización, respeta el alcance: qué sistemas están dentro, cuáles están fuera y qué acciones (por ejemplo, destrucción de datos, DoS) están prohibidas. Los evaluadores profesionales usan contratos detallados y documentos de reglas de compromiso para dejar las expectativas explícitas.

La superficie de ataque es la suma de todos los puntos por donde un usuario no autorizado podría intentar entrar o extraer datos de un sistema. Las superficies de red incluyen puertos expuestos, redes inalámbricas, VPN y dispositivos de infraestructura. Las superficies de aplicación cubren apps web, APIs, apps móviles y autenticación. Las superficies humanas incluyen objetivos de ingeniería social y amenazas internas. Las superficies físicas incluyen el acceso a edificios, oportunidades de manipulación de hardware y estaciones de trabajo desbloqueadas. Las evaluaciones integrales examinan todo esto: los atacantes explotan el eslabón más débil sin importar qué más esté defendido.

Las vulnerabilidades de seguridad se agrupan en categorías comunes. La inyección (SQLi, inyección de comandos) ocurre cuando datos no confiables llegan a intérpretes. Los fallos de autenticación incluyen contraseñas débiles, MFA ausente, secuestro de sesión y credential stuffing. Los fallos de autorización permiten a los usuarios realizar acciones que no deberían. El cross-site scripting (XSS) permite a los atacantes ejecutar scripts en los navegadores de otros usuarios. Fallos criptográficos: algoritmos débiles, almacenamiento inseguro, mala validación de certificados. Las malas configuraciones de seguridad, como valores predeterminados inseguros y errores detallados, son de los fallos más comunes y más fáciles de corregir en sistemas en producción.

' OR '1'='1' -- 

La Inteligencia de Fuentes Abiertas (OSINT) es inteligencia recopilada de fuentes públicamente disponibles: registros públicos, redes sociales, noticias, publicaciones académicas, conjuntos de datos gubernamentales, metadatos de sitios web, registros DNS y páginas archivadas. El OSINT es valioso para evaluaciones, inteligencia de amenazas e investigaciones. La habilidad está en encontrar, correlacionar y analizar con eficiencia, no en acceder a información secreta. Es legal cuando se usa sobre datos públicos, aunque persisten cuestiones éticas sobre privacidad.

Los motores de búsqueda indexan miles de millones de páginas, pero la mayoría de la gente solo usa lo básico. Los operadores avanzados convierten a Google en una herramienta de reconocimiento, y combinarlos crea consultas poderosas. Los filtros de tiempo, las páginas en caché y la lógica booleana amplían aún más tu alcance.

site:edu filetype:pdf "internal use only"

intitle:"admin login" -inurl:example.com

Las plataformas de redes sociales contienen enormes cantidades de información personal y organizacional compartida libremente. Un SOCMINT eficaz requiere entender cada plataforma: LinkedIn revela empleo y estructura organizacional; Twitter/X ofrece señales en tiempo real y geoetiquetas; GitHub muestra habilidades de desarrolladores y a veces credenciales filtradas; Reddit y los foros contienen discusiones técnicas de nicho. Herramientas especializadas ayudan: Maltego visualiza grafos de relaciones, theHarvester agrega correos y subdominios, Social-Searcher rastrea menciones. Los profesionales éticos del OSINT respetan los límites de privacidad, usan datos genuinamente públicos, evitan perfiles falsos y no explotan configuraciones erróneas de privacidad.

Antes de tocar una red objetivo, recopila datos públicos de infraestructura. WHOIS revela detalles de registro. La enumeración DNS encuentra subdominios mediante registros de Certificate Transparency (crt.sh), fuerza bruta y archivos DNS pasivos (SecurityTrails). Shodan y Censys son motores de búsqueda para dispositivos expuestos en internet, y revelan servicios y versiones vulnerables en todo el mundo. La búsqueda inversa de IP encuentra dominios alojados en conjunto. ARIN y RIPE muestran asignaciones de IP. Todo esto es legal e invisible para el objetivo: solo consultas bases de datos públicas.

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Las pruebas profesionales comienzan con planificación mucho antes de cualquier trabajo técnico. La definición de alcance especifica sistemas incluidos (rangos de IP, dominios, apps), sistemas excluidos, tipos de prueba (caja negra, gris o blanca), métodos permitidos, ventanas de tiempo, criterios de éxito, protocolos de comunicación y protecciones legales. Un documento de reglas de compromiso formaliza todo esto en un contrato firmado. Un alcance mal definido lleva a malentendidos, problemas legales y evaluaciones inadecuadas.

El reconocimiento pasivo usa información públicamente disponible sin tocar los objetivos: OSINT, motores de búsqueda, ofertas de empleo que revelan pilas tecnológicas, registros DNS, versiones archivadas. El reconocimiento activo interactúa directamente: escaneos de puertos con Nmap, enumeración de servicios, spidering de aplicaciones web, mapeo de redes, banner grabbing, escaneo de vulnerabilidades. El objetivo: entender la superficie de ataque del objetivo, sus tecnologías, vulnerabilidades potenciales y controles de seguridad antes de la explotación.

nmap -sV -sC -oA recon/target 10.0.0.0/24

Tras el reconocimiento, la evaluación de vulnerabilidades identifica debilidades específicas. Las herramientas automatizadas (Nessus, OpenVAS, Qualys) revisan miles de CVEs conocidos con rapidez, pero producen falsos positivos y pasan por alto fallos de lógica de negocio. Las pruebas manuales cubren revisión de configuración, autenticación, autorización y escalada de privilegios, manejo de entradas, filtraciones en mensajes de error e implementación criptográfica. CVSS estandariza la severidad. La priorización basada en riesgo pondera el contexto de negocio: un hallazgo medio en un procesador de pagos supera a uno crítico en un servidor de desarrollo aislado.

La explotación demuestra que las vulnerabilidades son reales. Puede significar inyección SQL para extraer datos, RCE para obtener una shell, escalada de privilegios, bypass de autenticación o XSS para mostrar el compromiso de una cuenta. La post-explotación demuestra el impacto completo: movimiento lateral, escalada a privilegios de administrador, exfiltración de datos (simulada), mecanismos de persistencia, pivoting. Los evaluadores profesionales se detienen en cuanto el impacto queda demostrado, minimizan el acceso a datos reales, documentan todo y notifican al cliente de inmediato sobre hallazgos críticos.

El informe traduce los hallazgos técnicos en inteligencia de negocio. Debe incluir un resumen ejecutivo sin jerga técnica, hallazgos técnicos con pasos de reproducción y evidencia, calificaciones CVSS o de riesgo, recomendaciones de remediación y sugerencias estratégicas para la postura de seguridad general. Prioriza según el riesgo de negocio, no solo la severidad técnica. La verificación de remediación significa volver a probar después de aplicadas las correcciones, para confirmar que funcionan y que nada retrocedió. El valor de una prueba está en las mejoras que impulsa, no en las shells.

La divulgación responsable (coordinada) significa reportar problemas de forma privada al proveedor y darle tiempo razonable para parchear antes de que los detalles se hagan públicos. Protege a los usuarios, da margen a los proveedores para corregir y mantiene la confianza. Las alternativas fallan: la divulgación total ayuda primero a los atacantes, la no divulgación indefinida deja a los usuarios expuestos en silencio, y vender a compradores criminales o estatales facilita el daño. La mayoría de los investigadores y los grandes proveedores tratan la divulgación coordinada como el estándar ético.

Empieza revisando si existe una política de divulgación publicada o un archivo /.well-known/security.txt. Muchas empresas ejecutan programas de bounty en HackerOne, Bugcrowd o Intigriti. Si ninguno existe, contacta a security@<dominio>. Tu informe debe incluir una descripción clara, pasos de reproducción, una evaluación de impacto, una prueba de concepto, tus datos de contacto y una solicitud de confirmación de recepción. Usa PGP para el código de explotación. Ten paciencia y da seguimiento con cortesía tras una o dos semanas de silencio. Mantén registros detallados de toda la comunicación.

Contact: mailto:security@example.com
Expires: 2027-01-01T00:00:00.000Z
Preferred-Languages: en
Canonical: https://example.com/.well-known/security.txt

90 días desde el informe hasta la divulgación pública es la línea base habitual, ajustada según las circunstancias: más rápido si el fallo es crítico y se explota activamente, más lento para problemas arquitectónicos cuando el proveedor coopera. La divulgación pública debe advertir a los usuarios, ofrecer mitigaciones si no hay parche disponible, dar crédito a todos de forma justa y evitar más detalle de explotación del que los defensores necesitan. El objetivo es proteger a los usuarios, no castigar a los proveedores ni perseguir titulares.

Los programas de bug bounty ofrecen divulgación estructurada con recompensas. Las plataformas principales alojan programas de miles de empresas. Cada programa define su alcance, problemas excluidos (por ejemplo, self-XSS, DoS), rangos de recompensa y reglas de compromiso. Para los investigadores significan dinero, claridad legal, objetivos del mundo real y reputación. Para las empresas: cobertura continua, perspectivas diversas y buenas relaciones con la comunidad. Participar con éxito significa leer las reglas con atención, respetar el alcance, escribir informes de alta calidad y aceptar que no todo hallazgo califica.