Hacking Web

La deserialización insegura le ha dado RCE a atacantes en algunos de los entornos empresariales más protegidos del planeta: Apache, Jenkins, JBoss, WebLogic, Oracle y más. Un único objeto malformado puede eludir la autenticación, ejecutar código arbitrario o borrar toda la base de datos. Esta guía cubre detección, explotación, gadget chains y bypass de WAF para Java, PHP, Python y .NET en 2026. ¿Qué es la Deserialización? La serialización convierte un objeto en memoria en un formato que puede almacenarse o transmitirse: bytes, JSON, XML, binario. La deserialización invierte el proceso: toma el formato almacenado y reconstruye el objeto. ...

La inyección de plantillas del lado del servidor (SSTI, por sus siglas en inglés) es una de las vulnerabilidades web más peligrosas que vas a encontrar en un pentest. Un simple {{7*7}} en el campo correcto puede darte ejecución remota de código completa en un servidor de producción. Esta guía cubre todo: detección, fingerprinting, explotación, bypass de WAF y defensa, para todos los motores de plantillas principales en 2026. ¿Qué es SSTI? Los frameworks web usan motores de plantillas para renderizar contenido dinámico — Flask con Jinja2, aplicaciones PHP con Twig, aplicaciones Java con FreeMarker. Cuando la entrada del usuario se concatena directamente en una cadena de plantilla en lugar de pasarse como variable, el motor de plantillas la evalúa. Eso es SSTI. ...

El pentesting de aplicaciones web es donde la mayoría de los red teamers pasan la mayor parte de sus horas facturables. También es donde ocurre una gran cantidad de brechas reales — no a través de exploits exóticos, sino a través de las mismas vulnerabilidades del OWASP Top 10 que han existido durante décadas. Esta guía cubre la metodología completa: reconocimiento, mapeo de la superficie de ataque, explotación de vulnerabilidades comunes y redacción de hallazgos. Ya sea que estés haciendo tu primer pentest web o afinando tu metodología para bug bounty, este es el proceso. ...