Introducción

página · metodología

Metodología general

Flujo base que sigo antes de entrar al detalle de cada tipo de vulnerabilidad.

1. 01 Reconocimiento y mapeo de superficie (subdominios, endpoints, tecnologías).
2. 02 Identificación de puntos de entrada (parámetros, headers, cookies, uploads).
3. 03 Pruebas dirigidas por tipo de vulnerabilidad (ver secciones siguientes).
4. 04 Validación de impacto real y documentación del hallazgo.

página · evasión

Evasión de WAF

La evasión de WAF es un área amplia dentro de las pruebas de seguridad y depende considerablemente de la tecnología utilizada, las reglas configuradas y la arquitectura de cada aplicación. Actualmente, encontrarse con un WAF durante una auditoría es algo muy común, por lo que un payload bloqueado no significa necesariamente que la vulnerabilidad no exista. Entre las soluciones WAF más utilizadas actualmente se encuentra Cloudflare, ampliamente implementado para proteger aplicaciones y APIs frente a diferentes tipos de ataques. Sin embargo, la eficacia de un WAF no depende únicamente de las capacidades del producto, sino también de cómo ha sido configurado e integrado en la aplicación. Por esta razón, cuando durante una auditoría se consigue superar una protección de Cloudflare, no significa necesariamente que el WAF esté mal desarrollado ni que exista una vulnerabilidad en la propia plataforma. En muchos casos, el origen está en una configuración incorrecta o incompleta realizada por los desarrolladores o administradores: reglas demasiado permisivas, excepciones innecesarias o políticas que no contemplan determinados escenarios. Un WAF correctamente configurado puede reducir considerablemente la superficie de ataque, pero no sustituye la seguridad de la aplicación ni corrige por sí mismo una vulnerabilidad existente.

página · vulnerabilidad

Cross-Site Scripting (XSS)

Checklist de pruebas manuales antes de descartar un parámetro.

• Identificar todos los puntos donde la entrada se refleja en la respuesta.
• Determinar el contexto de reflejo: HTML, atributo, JavaScript, URL.
• Probar con caracteres de control simples y observar si se escapan o no.
• Revisar cabeceras CSP y si permiten unsafe-inline o dominios laxos.
• Confirmar el impacto (alert, robo de cookie no-HttpOnly, redirección) antes de reportar.

payload base de prueba

página · vulnerabilidad

SQL Injection

Checklist de pruebas manuales por parámetro sospechoso.

• Probar comillas simples/dobles y observar errores o cambios de comportamiento.
• Comparar respuestas ante condiciones verdaderas vs. falsas (boolean-based).
• Si no hay diferencia visible, probar retardo temporal controlado (time-based).
• Confirmar el motor de base de datos antes de continuar con la extracción.
• Documentar el impacto real (lectura de datos) de forma controlada, sin modificar información.

prueba booleana básica

página · vulnerabilidad

SSRF

Checklist de pruebas manuales cuando la app hace peticiones salientes a partir de una URL controlada por el usuario.

• Identificar cualquier campo que reciba una URL, callback o webhook.
• Confirmar la petición saliente con un servicio de captura externo antes de escalar.
• Evaluar si es posible alcanzar rangos internos o metadatos del proveedor cloud.
• Revisar si la respuesta se refleja al usuario (blind vs. no blind).

página · vulnerabilidad

IDOR / Control de acceso

Checklist de pruebas manuales sobre identificadores y permisos.

• Mapear todos los endpoints que reciben un ID (numérico, UUID, hash predecible).
• Probar acceso con una cuenta de menor privilegio a recursos de otra cuenta.
• Verificar el control de acceso tanto en lectura como en escritura/eliminación.