Red Team

Octubre es el Mes de la Concientización en Ciberseguridad, y Citrix acaba de darles un regalo a los atacantes. Tres zero-days en NetScaler ADC y Gateway — explotados antes de que existieran parches, encadenados para obtener acceso persistente, y agregados al catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de CISA en días. Si tu organización ejecuta un appliance NetScaler administrado por el cliente, esto no es teórico. Aquí está el desglose completo: qué pasó, cómo funcionó la cadena de ataque y qué necesitan saber los red teamers y defensores ahora mismo. ...

Las vulnerabilidades de inclusión de archivos son engañosamente simples en apariencia: convences a una aplicación de que cargue un archivo que no debería. Pero los caminos de explotación que abren van desde la divulgación de datos sensibles hasta la ejecución remota de código completa. Log poisoning, cadenas de filtros PHP, inyección en archivos de sesión, trucos con null bytes — esta clase de vulnerabilidad tiene más profundidad que la mayoría. ...

La inyección de comandos es una de las clases de vulnerabilidad más peligrosas en seguridad web. No porque sea sutil — en realidad es uno de los caminos más directos hacia el compromiso total de un sistema. Inyectas un comando de shell a través de una entrada web, el servidor lo ejecuta, y de repente estás corriendo código arbitrario en la infraestructura de alguien. OWASP ha mantenido la inyección en su Top 10 por más de una década con razón. Cuando encuentras command injection, el juego cambia. No es “puedo leer un registro que no debería”. Es “este servidor es mío”. ...

El Server-Side Request Forgery (SSRF) es una de las vulnerabilidades web más peligrosas y explotadas de los últimos cinco años. Entró en el OWASP Top 10 en 2021 y ha sido utilizada en algunas de las brechas más grandes de la historia del cloud, incluyendo la de Capital One que expuso 100 millones de registros. Si en 2026 estás haciendo pentesting de aplicaciones web o bug bounty y no estás buscando SSRF de forma sistemática, estás dejando dinero y flags sobre la mesa. ...

Cross-site request forgery es una de esas vulnerabilidades que parecen simples hasta que intentas explotarlas en una aplicación moderna. En teoría: engañar al navegador de una víctima para que realice una solicitud autenticada hacia un sitio objetivo. En la práctica: la validación de tokens CSRF, las políticas de cookies SameSite y las verificaciones de Referer lo han hecho significativamente más difícil, pero no imposible. En 2026, el CSRF puro es menos común en plataformas grandes, pero sigue apareciendo con regularidad en herramientas internas, aplicaciones empresariales heredadas, APIs construidas a medida y cualquier aplicación que implemente la protección CSRF de forma descuidada. Y cuando los tokens CSRF están presentes pero mal configurados, el bypass suele ser trivialmente sencillo. ...

El cross-site scripting lleva roto desde que existe la web. En 2026, sigue apareciendo en todas partes: SPAs modernas, aplicaciones empresariales legacy, frontends generados con IA sin codificación de salida, plataformas CMS con sanitización a medias. El XSS es el tipo de vulnerabilidad que se descarta fácilmente hasta que ves un token de sesión extraído de una aplicación bancaria o una carga útil de phishing entregada desde un dominio de confianza. ...

La inyección SQL lleva en el OWASP Top 10 desde que existe esa lista. En 2026 todavía rompe sistemas reales. Inputs mal saneados, codebases heredadas, configuraciones erróneas en ORMs — la superficie de ataque no ha desaparecido. Si acaso, el auge del código generado por IA ha introducido nuevas clases de vulnerabilidades de inyección. Esta guía cubre todo: cómo funciona el SQLi, cómo detectarlo, cómo explotarlo en todas las categorías principales, cómo usar SQLMap como arma, y cómo bypassear WAFs cuando están en el camino. ...

El pentesting de aplicaciones web es donde la mayoría de los red teamers pasan la mayor parte de sus horas facturables. También es donde ocurre una gran cantidad de brechas reales — no a través de exploits exóticos, sino a través de las mismas vulnerabilidades del OWASP Top 10 que han existido durante décadas. Esta guía cubre la metodología completa: reconocimiento, mapeo de la superficie de ataque, explotación de vulnerabilidades comunes y redacción de hallazgos. Ya sea que estés haciendo tu primer pentest web o afinando tu metodología para bug bounty, este es el proceso. ...

El OSINT es donde los compromisos de red team realmente comienzan. No cuando enciendes Metasploit. No cuando escaneas la primera subred. Antes de todo eso — haces reconocimiento. Aprendes todo lo que puedes sin tocar el objetivo. Bien ejecutado, el OSINT te dice dónde están las puertas antes de intentar abrirlas. Esta guía cubre la metodología completa: qué recopilar, qué herramientas usar, cómo mantenerte invisible mientras lo haces, y cómo convertir inteligencia bruta en un plan de ataque. ...

El Social Engineering Toolkit (SET) es una de las herramientas más importantes en el arsenal de un red teamer — y también una de las más incomprendidas. Construido específicamente para ataques de ingeniería social, no es un simple script para novatos. Usado correctamente, SET simula exactamente las cadenas de ataque que utilizan los actores de amenazas reales para comprometer organizaciones. Esta guía cubre todo: instalación, módulos de ataque, captura de credenciales, campañas de spear phishing, clonación de sitios web y las consideraciones de OPSEC que separan un engagement exitoso de una infraestructura quemada. ...