1. Introdu

Apuntes

1. Introducción al Hacking Web (Atacante) – Mentalidad del Malo • El objetivo NO es “proteger”, es romper la aplicación lo más rápido posible para conseguir: acceso no autorizado, datos sensibles, ejecución de código remoto (RCE), escalada de privilegios, pivoteo a la red interna o exfiltración masiva. • Pensamiento atacante: “¿Qué pasa si cambio este parámetro? ¿Y si fuerzo este error? ¿Y si encadeno 3 fallos pequeños?” • Tipos de aplicaciones que más atacamos en 2026: o Web clásicas (PHP, Java, .NET, Python/Django/Flask) o SPA (React/Vue/Angular + API) o APIs REST/GraphQL/gRPC o Aplicaciones serverless (AWS Lambda, Azure Functions) o Microservicios en Kubernetes o Apps con WebSockets / real-time • Ventaja del atacante: solo necesitas un navegador + Burp + Kali y un solo fallo = control total. 2. Metodología Completa de Pentesting Web (Fases Atacante) Fase 1 – Reconocimiento Pasivo • Google Dorks avanzados: site:target.com filetype:sql, inurl:admin inurl:php, intitle:"index of" "backup". • Shodan/Censys: busca puertos 80/443 con banners vulnerables. • GitHub/GitLab leaks: busca “target.com” + “password”, “api_key”. • WHOIS, DNS dump (dnsdumpster, crt.sh), subdominios (Amass, ...