Pentesting

Las vulnerabilidades de lógica de negocio son las que pasan completamente desapercibidas para los escáneres. Sin CVE, sin entrada en exploit-db, sin plantilla de Nuclei. Solo una brecha entre lo que la aplicación pretende hacer y lo que realmente hace cuando la presionas desde un ángulo inesperado. También son algunos de los hallazgos más valiosos que puedes reportar. Alto impacto en el negocio, difíciles de detectar automáticamente, y con frecuencia llevan años en producción porque nadie pensó en probarlas. ...

La deserialización insegura le ha dado RCE a atacantes en algunos de los entornos empresariales más protegidos del planeta: Apache, Jenkins, JBoss, WebLogic, Oracle y más. Un único objeto malformado puede eludir la autenticación, ejecutar código arbitrario o borrar toda la base de datos. Esta guía cubre detección, explotación, gadget chains y bypass de WAF para Java, PHP, Python y .NET en 2026. ¿Qué es la Deserialización? La serialización convierte un objeto en memoria en un formato que puede almacenarse o transmitirse: bytes, JSON, XML, binario. La deserialización invierte el proceso: toma el formato almacenado y reconstruye el objeto. ...

La inyección de plantillas del lado del servidor (SSTI, por sus siglas en inglés) es una de las vulnerabilidades web más peligrosas que vas a encontrar en un pentest. Un simple {{7*7}} en el campo correcto puede darte ejecución remota de código completa en un servidor de producción. Esta guía cubre todo: detección, fingerprinting, explotación, bypass de WAF y defensa, para todos los motores de plantillas principales en 2026. ¿Qué es SSTI? Los frameworks web usan motores de plantillas para renderizar contenido dinámico — Flask con Jinja2, aplicaciones PHP con Twig, aplicaciones Java con FreeMarker. Cuando la entrada del usuario se concatena directamente en una cadena de plantilla en lugar de pasarse como variable, el motor de plantillas la evalúa. Eso es SSTI. ...

Las vulnerabilidades de inclusión de archivos son engañosamente simples en apariencia: convences a una aplicación de que cargue un archivo que no debería. Pero los caminos de explotación que abren van desde la divulgación de datos sensibles hasta la ejecución remota de código completa. Log poisoning, cadenas de filtros PHP, inyección en archivos de sesión, trucos con null bytes — esta clase de vulnerabilidad tiene más profundidad que la mayoría. ...

La inyección de comandos es una de las clases de vulnerabilidad más peligrosas en seguridad web. No porque sea sutil — en realidad es uno de los caminos más directos hacia el compromiso total de un sistema. Inyectas un comando de shell a través de una entrada web, el servidor lo ejecuta, y de repente estás corriendo código arbitrario en la infraestructura de alguien. OWASP ha mantenido la inyección en su Top 10 por más de una década con razón. Cuando encuentras command injection, el juego cambia. No es “puedo leer un registro que no debería”. Es “este servidor es mío”. ...

La Referencia Directa a Objetos Inseguros (IDOR, por sus siglas en inglés) es consistentemente una de las vulnerabilidades de mayor impacto en aplicaciones web y APIs — y una de las más fáciles de pasar por alto en un pentest estándar si no sabes dónde buscar. No requiere payloads complejos. Sin corrupción de memoria. Sin shellcode personalizado. Encuentras un ID, lo cambias por otro, y de repente estás leyendo los datos de otra persona. O borrándolos. O tomando el control de su cuenta. ...

La inyección de XML External Entity (XXE) es una de las vulnerabilidades más peligrosas en aplicaciones web — capaz de leer archivos del servidor, desencadenar SSRF y lograr ejecución remota de código en las condiciones correctas. Lleva años en el OWASP Top 10 y sigue presente en sistemas en producción. El motivo: los desarrolladores habilitan parsers XML con procesamiento de entidades externas activado por defecto y nunca lo desactivan. Esta guía cubre detección, explotación, exfiltración de datos fuera de banda, XXE ciego y bypass de WAF — con payloads listos para usar en tu próximo pentest. ...

El Server-Side Request Forgery (SSRF) es una de las vulnerabilidades web más peligrosas y explotadas de los últimos cinco años. Entró en el OWASP Top 10 en 2021 y ha sido utilizada en algunas de las brechas más grandes de la historia del cloud, incluyendo la de Capital One que expuso 100 millones de registros. Si en 2026 estás haciendo pentesting de aplicaciones web o bug bounty y no estás buscando SSRF de forma sistemática, estás dejando dinero y flags sobre la mesa. ...

El Social Engineering Toolkit (SET) es una de las herramientas más importantes en el arsenal de un red teamer — y también una de las más incomprendidas. Construido específicamente para ataques de ingeniería social, no es un simple script para novatos. Usado correctamente, SET simula exactamente las cadenas de ataque que utilizan los actores de amenazas reales para comprometer organizaciones. Esta guía cubre todo: instalación, módulos de ataque, captura de credenciales, campañas de spear phishing, clonación de sitios web y las consideraciones de OPSEC que separan un engagement exitoso de una infraestructura quemada. ...

Una vez que tienes credenciales o una shell en un equipo, empieza el juego real: moverse por la red sin que te detecten. El movimiento lateral en Active Directory es donde la mayoría de los engagements se ganan o se pierden. Este es el playbook completo. Cada técnica. Las herramientas, los comandos, las notas de detección y las consideraciones de OPSEC que separan un engagement exitoso de uno bloqueado. ¿Qué es el Movimiento Lateral en AD? El movimiento lateral es el proceso de usar el acceso a un sistema para obtener acceso a otros. En un entorno de Active Directory, esto es especialmente poderoso porque las credenciales, los tickets y los tokens suelen ser reutilizables en todo el dominio. ...