Cadena de ataque completa contra infraestructura AWS: bucket S3 público → fuga de .git → SSRF+RCE en PHP → robo de credenciales IMDSv1 → enumeración IAM y descubrimiento de confianza cross-account. Con guardrails de mitigación (SCP, IAM, detección).
Cadena de ataque contra infraestructura Azure: subdominio expuesto → fuga de .git → SSRF+RCE → robo de JWT vía IMDS (Metadata:true) → enumeración de RBAC y Entra ID vía Management y Graph API. Con guardrails de mitigación.
Cadena de ataque contra infraestructura GCP: service account key filtrada en un repo público → acceso gcloud → SSRF+RCE en VM → robo de token OAuth2 vía metadata (Metadata-Flavor: Google) → enumeración de IAM y GCS. Con guardrails de mitigación.
El patrón único de explotación cloud y sus tres dialectos: SSRF + Metadata Service → credenciales temporales → enumeración. Comparativa de headers IMDS, formatos de credenciales, IAM/RBAC y APIs de gestión, con la defensa común a los tres proveedores.
Catálogo organizado de laboratorios vulnerables y plataformas CTF para practicar explotación web, API security y testing de aplicaciones.
Enumeración de usuarios abusando de la discrepancia entre las respuestas 'Invalid username' e 'Incorrect password' del endpoint POST /login.
Robo de la cookie stay-logged-in (base64(user:md5(password))) de carlos mediante XSS almacenado en comentarios y cracking offline del hash MD5.
Envenenamiento del flujo de reset de contraseña inyectando la cabecera X-Forwarded-Host para que el token temporal se envíe al exploit server del atacante.
Fuerza bruta de la contraseña de carlos a través del endpoint /my-account/change-password, eludiendo el rate limit de /login mediante un oráculo de respuesta.
Bypass del rate limit de /login enviando un array JSON en el campo password: cada elemento se evalúa como un intento independiente dentro de una única request.
Bypass del segundo factor navegando directamente a /my-account?id=carlos: el MFA es un paso de navegación y no un requisito de autorización del backend.
Reutilización de un token de reset propio para restablecer la contraseña de carlos modificando el campo username: el backend no vincula el token al usuario.
Enumeración de usuarios por una diferencia mínima en la respuesta de login: con punto o sin punto en 'Invalid username or password'.
Enumeración de usuarios por side-channel de timing: el login con usuario válido y contraseña larga tarda >3s; bypass del rate limit con X-Forwarded-For.
Bypass del bloqueo por IP intercalando credenciales correctas entre intentos fallidos para resetear el contador de rate limit y forzar la contraseña de carlos.
Enumeración de usuarios forzando el bloqueo de cuentas con 5 intentos fallidos: la respuesta de bloqueo solo aparece para cuentas existentes.
Bypass de 2FA manipulando la cookie verify hacia carlos y brute-forcing el código MFA de 4 dígitos sin rate limit.
Fuerza bruta de la cookie persistente stay-logged-in, cuyo formato base64(user:md5(password)) permite probar todo el wordlist como cookies precalculadas.
Explotación de una configuración CORS insegura que refleja cualquier origen: robo de la API key del administrador mediante origin reflection con credenciales.
Explotación de una whitelist CORS que confía en el origen 'null': robo de la API key del administrador vía iframe sandboxed que serializa el origin como null.
Ejecución de código vía directiva AngularJS ng-app cuando los angle brackets están codificados: el sandbox de AngularJS se elude con una expresión constructor.constructor('alert(1)')().
Explotación de un sink document.write dentro de un elemento select: break out del tag <select> con el parámetro storeId para inyectar un img onerror.
Explotación de un sink document.write en el tracking de búsquedas: el parámetro search se concatena sin sanitización en un tag <img>, permitiendo cerrar el atributo e inyectar un script.
Explotación de un sink innerHTML en la búsqueda del blog: el parámetro search se asigna al DOM sin sanitización y un img onerror dispara alert(document.domain).
Abuso de un sink jQuery .attr('href') controlado por location.search: el parámetro returnPath se inyecta como javascript:alert(document.cookie) en el enlace Back.
Inyección DOM XSS a través del evento hashchange: el selector jQuery $('section.blog-list h2:contains(...)') evalúa location.hash y permite construir un payload de dos valores que ejecuta print().
Bypass de codificación HTML en un contexto JavaScript: dentro de una string, cerrar la comilla simple y comentar el resto ejecuta alert(1) sin necesidad de angle brackets.
Bypass de HTML-encoding de angle brackets dentro de un atributo: cerrar la comilla e inyectar autofocus onfocus ejecuta alert(document.domain) sin usar < ni >.
Cambio de email sin ninguna defensa CSRF: un formulario auto-submit alojado en el exploit server muta el email de la víctima aprovechando la cookie de sesión.
Bypass de protección CSRF cambiando el método HTTP: el servidor solo valida el token en POST, por lo que un formulario GET auto-submit cambia el email de la víctima.
XSS persistente en el chat en vivo vía manipulación de mensajes WebSocket: el servidor no sanitiza el contenido y el agente de soporte renderiza el payload como HTML.
Bypass de protección CSRF mediante clickjacking: un iframe transparente superpuesto a un señuelo hace que la víctima elimine su cuenta haciendo clic donde no cree.
Bypass del frame buster con el atributo sandbox: un iframe sin allow-scripts neutraliza el script anti-framing y permite clickjacking para cambiar el email.
Clickjacking combinado con prefill de formulario: la página de cuenta rellena el campo email desde un parámetro URL y un iframe transparente engaña al usuario a enviar el cambio.
Cadena clickjacking + DOM XSS: el nombre de feedback se inyecta vía innerHTML, se pre-rellena desde la URL y ClickBandit orquesta el clic que dispara print().
Bypass de autenticación abusando del flujo OAuth implícito: la app cliente confía en el email enviado a /authenticate sin vincularlo al access token, permitiendo suplantar la identidad de carlos.
CSRF en el flujo de vinculación de perfil OAuth: ausencia del parámetro state permite forzar al admin a vincular el perfil social del atacante mediante un iframe con el code de oauth-linking.
OpenID Dynamic Client Registration SSRF: el campo logo_uri de POST /reg es fetcheado por el proveedor OAuth, permitiendo leer el metadata IAM de la nube en 169.254.169.254.
Robo de access tokens OAuth mediante open redirect: bypass del whitelist de redirect_uri con path traversal hacia /post/next?path= y captura del token en el fragment de la URL en el exploit server.
Derivación de la clave pública RSA a partir de dos JWTs firmados con sig2n para forjar un token de administrador mediante algorithm confusion RS256→HS256.
Algorithm confusion RS256→HS256 explotando la clave pública RSA expuesta en /jwks.json: reutilización del material público como secreto HMAC para firmar un token de administrador.
Alg none attack sobre un servidor que verifica la firma de forma incorrecta: alternar alg None/nOne/none y forjar un token de administrador con jwt_tool.
Bypass de autenticación forjando un JWT cuyo header jku (RFC 7515 §4.1.2) apunta a un JWK Set controlado por el atacante. El verificador descarga la clave sin allowlist de origen: el atacante firma como administrator y la firma valida.
jwk header injection: el servidor usa la clave de verificación embebida en el propio token (parámetro jwk) sin validar su origen, permitiendo firmar tokens con una clave RSA propia.
kid path traversal: el servidor lee la clave de verificación del filesystem usando el valor del header kid, permitiendo apuntar a /dev/null y firmar con el secreto vacío.
Bypass de autenticación por firma no verificada: el servidor no valida la firma de los JWTs, por lo que basta con modificar el claim sub (jwt_tool, base64 manual o jwtear) para acceder a /admin.
Brute force de la clave de firma HS256 con hashcat (-m 16500) y rockyou: recuperado el secreto 'secret1', se firma un token de administrador con JWT Editor y se elimina a carlos.
Explotación de una race condition de límite con single-packet attack: la validación del cupón se hace antes del uso, permitiendo aplicar el mismo descuento múltiples veces en paralelo.
Cadena de race condition multi-endpoint: comprar gift cards en paralelo antes de que el checkout consolide el balance, acumulando crédito sin límite mediante una ventana de carrera entre endpoints.
Race condition de un solo endpoint: dos solicitudes de cambio de email en paralelo compiten por el único registro pendiente y el token de una dirección termina en el correo de la otra, permitiendo apropiarse de la invitación de admin.
Race condition time-sensitive sobre el reset de contraseña: eludir el session lock de PHP con sesiones distintas hace que dos requests en paralelo compartan el mismo token, apropiándose del reset de carlos.
Explotación de una race condition de construcción parcial: entre la inserción del usuario y la asignación de su token de confirmación existe un null que se puede capturar enviando /confirm?token[]= en paralelo al registro.
Escalada de privilegios por modificación de un objeto PHP serializado en la cookie de sesión: voltear el flag admin de b:0 a b:1 concede acceso administrativo.
Flaw de lógica de negocio: el precio se envía como parámetro del cliente. Añadir al carrito con price=1 compra el l33t leather jacket por 1 dólar.
Escalada horizontal (IDOR) en la página de cuenta: el endpoint usa el parámetro id directamente para resolver el perfil, exponiendo la API key de otros usuarios.
Escalada vertical por mass assignment: el endpoint de actualización de perfil acepta un campo roleid no declarado en la UI, elevando al usuario a roleid 2 para acceder al panel admin.
Bypass de filtro SSRF con whitelist de dominio usando el patrón userinfo '@': la URL se normaliza en el cliente y resuelve a localhost dentro de la whitelist.
Web cache deception vía normalización de la caché: el cache server resuelve una secuencia de path traversal mientras el origin usa # como delimitador, cacheando la respuesta de /my-account.
Web cache deception con reglas de caché exact-match: ; y ? actúan como delimitadores y el cache server resuelve path traversal, cacheando /my-account bajo /robots.txt.
Web cache deception vía normalización del origin: el cache cachea todo lo que empieza por /resources mientras el origin resuelve traversal y sirve /my-account, guardando la API key en la caché.
Web cache deception con delimitadores de path: ; convierte /my-account en un asset estático .js para la caché mientras el origin sigue sirviendo la página de cuenta, cacheando la API key de carlos.
Web cache deception por path mapping: las rutas que terminan en .js se cachean (max-age=30) aunque el origin las sirva como páginas dinámicas; se captura la API key de carlos cacheando /my-account.
Password reset poisoning vía Host header: el enlace de reset se construye con el Host de la request, redirigiendo el token hacia el servidor del atacante para tomar la cuenta de carlos.
Bypass de autenticación por Host header: la app decide el privilegio según el valor de Host, por lo que /admin con Host: localhost otorga acceso y permite eliminar a carlos.
Inyección de comandos en el stock checker: el campo storeId se concatena en un shell command y &&whoami revela el usuario del proceso, confirmando RCE sin filtrado.
Exfiltración blind de la password de administrator en Oracle forzando errores condicionales por división por cero (TO_CHAR(1/0)) a través de la cookie TrackingId.
Extracción blind de la password de administrator usando el mensaje 'Welcome back!' como oráculo booleano en la cookie TrackingId, con information_schema y SUBSTRING.
Exfiltración time-based de la password de administrator en PostgreSQL usando pg_sleep condicional dentro de CASE WHEN en la cookie TrackingId.
Determinación de la aridad de una query inyectable con dos técnicas: ORDER BY incremental (error 500) y UNION SELECT NULL hasta encontrar el número de columnas sin error.
Segundo paso del UNION attack: identificar qué columna acepta datos string sustituyendo NULL por un literal, y de paso fingerprinting de PostgreSQL vía version().
Drenaje completo de la tabla users en PostgreSQL con UNION-based SQLi: pg_database, information_schema.tables y columns, y volcado de username/password.
Exfiltración de múltiples valores en una única columna string con UNION-based SQLi: concatenación || en PostgreSQL para volcar username y password de users.
Enumeración de credenciales con UNION-based SQLi en Oracle: all_tables + all_tab_columns para descubrir la tabla USERS_DFPWCC y drenar el contenido con concatenación ||.
Enumeración completa del esquema con UNION-based SQLi en el filtro de categoría: information_schema.columns para descubrir la tabla users y extraer credenciales.
Fingerprinting del motor de base de datos en MySQL y Microsoft SQL Server mediante UNION-based SQLi en el filtro de categoría, usando la función version().
Fingerprinting de la versión de Oracle con UNION-based SQLi usando v$version: la vista de la instancia expone el banner del motor en la columna de salida.
UNION-based SQLi detrás de un WAF: el filtro de stock parsea XML y un WAF bloquea palabras clave, pero la codificación en hexadecimal entities evita la detección.
Cadena XXE→SSRF contra el endpoint de metadata de EC2: la entidad externa hace que el servidor consulte 169.254.169.254 y refleje las credenciales IAM en la respuesta.
Exfiltración blind de /etc/passwd repurposando la DTD local /usr/share/yelp/dtd/docbookx.dtd: redefinición de la parameter entity ISOamso para forzar un error de ruta inexistente.
Intro clásico a XXE: entidad externa general con file:///etc/passwd inyectada en el cuerpo XML del Check stock, con el contenido reflejado en la respuesta.
Exfiltración blind de /etc/hostname con XXE: DTD malicioso alojado en el exploit server y canal OOB hacia Burp Collaborator mediante parameter entities.
Cadena de compromiso del dominio warfare.corp: command injection en web pública → credenciales en /etc/passwd y bookmarks de Firefox → pivote con ligolo-ng → dump LSA → compromiso del child DC → Golden Ticket con extra-SID sobre el dominio padre. Con guardrails de mitigación.
Cadena de compromiso del dominio ent.corp: SSRF con file:// en Flask → credenciales en claro → SSH → escalada vía sudo vi (GTFOBins) → pivot desde Docker y logs → elFinder expuesto → sync_user con DCSync → Pass-the-Hash sobre el DC. Con guardrails de mitigación.
Deobfuscación de un packer 'p,a,c,k,e,d' para extraer una API key oculta: enumeración de JS, análisis de eval() obfuscado y replicación del flujo HTTP.
Resolución del problema Guess the Word de LeetCode usando el algoritmo Minimax con poda de candidatos. Una demostración práctica de teoría de juegos aplicada a la búsqueda de palabras secretas.
Análisis de ingeniería del problema Building H2O: semáforos por canal para control de admisión y barrera reutilizable con generaciones sobre sync.Cond. Trade-offs frente a WaitGroup y framework para sincronización de grupos en Go.