Ethical Hacker & Bug Bounty Hunter

Matías Ramírez Tudela

Analista de Ciberseguridad · La Florida, Santiago, Chile

Ver Hallazgos Contactar

llévate la suite al celu // descargar apk

Total en recompensas US$16.800 11 reportes · 4 plataformas

Scroll para explorar

01 — Historia

Mi camino en el ethical hacking comenzó por la curiosidad de entender cómo funcionan los sistemas por dentro y el desafío de encontrar fallas donde otros ven seguridad. Lo que empezó como un interés autodidacta se transformó en una disciplina diaria buscando hallazgos críticos en plataformas internacionales. Hoy me dedico a proteger el ecosistema digital identificando vectores de ataque complejos antes de que puedan ser explotados.

0Divulgaciones verificadas

0Plataformas activas

0Hallazgos críticos

$16.8K+En recompensas

02 — Capacidades

001

Pentesting Web & API

Auditoría de endpoints REST y GraphQL, elusión de controles de acceso (BOLA/IDOR), lógica de negocio, Subdomain Takeover y manipulación de flujos de pago.

002

Seguridad Cloud & Redes

Identificación de activos expuestos, Firebase unauthenticated, recon de infraestructura y bypass de Cloudflare/WAF.

003

Mobile Security — Android

Análisis estático y dinámico de APKs, ingeniería inversa con Jadx/Frida y detección de almacenamiento inseguro de credenciales.

004

Recon & Automatización

Scripts propios para reconocimiento masivo, filtrado de subdominios y escaneo activo a escala sin comprometer la estabilidad del objetivo.

Toolbox

OS & Entornos

Kali LinuxTermuxDebian

Proxies

Burp Suite ProfessionalOWASP ZAP

Recon & Fuzzing

SubfinderKatanaFfufHttpxNmapAmassAssetFinder

Explotación

NucleiSqlmapDalfoxGhauriJadxFrida

Plataformas

HackerOneBugcrowdIntigriti

03 — Inteligencia

OSINT — Open Source Intelligence Tool v2.4

root@tudelasec ~/osint #

Solo para uso en targets autorizados — bug bounty activos

04 — WAF Bypass Engine

tudelasec ~/modulos ☠ man waflab

ClaseWAF Bypass & Fingerprinting

Arsenal70 payloads · 12 fases

Fingerprint15 firmas de WAF + playbook por vendor

Primitivasmapa por clase (SQLi · XSS · CMD)

Perfiltudelasec_waf_profile (memoria por host)

Bustudelasec_findings_bus · WAF LAB v3.2

QUÉ HACE

Motor de bypass de WAF que aprende del propio target: primero FINGERPRINT (15 firmas — Cloudflare, Akamai, Imperva, ModSecurity, AWS WAF, F5, Sucuri…) con estrategia sugerida por vendor; después el MAPA DE PRIMITIVAS dispara sondas canary ANTES de quemar oleadas — aprende qué encodings y tampers pasan y reordena el arsenal ganadores-primero. Las TAMPER CHAINS combinan los tampers que pasaron (pares + triple) sobre los payloads bloqueados a pelo, y la RAW INJECTION manda los payloads con % crudo SIN re-codificar (el encodeURIComponent los mataba).

CÓMO SE USA — PASO A PASO

Scope + Gate: registrá el host del target en SCOPES (consola: wlAddScope("dominio.cl") o panel SCOPES del Engine Bay) y tildá el GATE. Sin ambos, no arranca.
URL: pegá el target (con o sin param) y dispará GOD MODE.
Lee el fingerprint: te dice QUÉ WAF te frena y con QUÉ estrategia atacarlo (playbook por vendor).
Oleadas: los 70 payloads viajan por múltiples canales; los que atraviesan se marcan BYPASS.
Confirmación: las técnicas que atraviesan rondas seguidas quedan CONFIRMADAS — la lista final "TÉCNICAS QUE ATRAVIESAN ESTE WAF" es tu arma.
Perfil: las técnicas ganadoras se guardan por host — la segunda corrida arranca más fuerte.

CÓMO SE EXPLOTA

El resultado directo para tu reporte: cuando BASILISK / SPHINX / VENOM se coman un 403, aplicá la técnica ganadora de este lab (encoding, tamper chain, comentario inline, raw del %, smuggling, javascript: URI, GQL introspection) al payload de tu vector real y volvé a dispararlo. Bypass confirmado + payload funcional = hallazgo reportable con evidencia. El EXPORT JSON te da el arsenal completo y las técnicas confirmadas para adjuntar al writeup.

⚖ HONESTIDAD: bypass medido request a request, nada se afirma sin confirmación. Cero daño: payloads de detección, jamás destructivos. Marker único por corrida.

☠ waf_lab GOD MODE v3.2 OVERDRIVE — 70 payloads · 12 fases · fingerprint 15 WAFs · mapa de primitivas · tamper chains · GENETIC FORGE (cruza ganadoras) · raw injection · camo headers · confirmación 12 rondas · perfil persistente

🛡 PANEL SCOPES (Engine Bay):

GATE: confirmo que el target es mío / un lab / scope firmado de bug bounty — payloads de detección, nada destructivo. Además el host debe estar en SCOPES (tudelasec_scopes) o el motor no arranca: registro desde la consola con wlAddScope("victima.cl") o desde el panel SCOPES del Engine Bay.

// GOD MODE v3.2 OVERDRIVE: fingerprint (15 firmas) → mapa de primitivas (aprende qué pasa el filtro ANTES de quemar oleadas) → recon 70 payloads → encoding adaptativo → tampers sqlmap-style → TAMPER CHAINS (hasta cuádruple) → GENETIC FORGE (cruza enc×tamper×exotic de lo que YA ganó) → 20 exóticos sobre TODO el arsenal → 12 canales ×24 payloads → 6 verbos ×24 → padding 1-128KB → CONFIRMACIÓN 12 RONDAS (12/12 confirmado, 8-11 probable). Los payloads con % viajan RAW al wire + headers de camuflaje + reintento + pool 12. Perfil persistente por host. Cero falsos positivos. Cero simulación.

FASE	OLEADA	PAYLOAD	STATUS	MUTACIÓN	INYECCIÓN	VEREDICTO

05 — VENOM XSS Engine

tudelasec ~/modulos ☠ man venom

ClaseXSS ctx-aware adaptativo

Vectores4 clases: GET · POST · headers · PATH

Discovery×60 + extractor + harvest de forms

Arsenal93 breakouts priorizados adaptativos

Forge16×12 = 192 mutaciones que el navegador decodifica

Confirmación12 rondas verbatim

Exploit×8 clases montadas sobre el winner

Perfiltudelasec_xss_profile (memoria por host)

QUÉ HACE

Le pasás un URL y VENOM caza XSS solo: P0.5 EXTRACTOR saca los params de la URL, P0.6 HARVEST cosecha forms y links con query, P1 VECTOR SWEEP barre las 4 clases de vector y gana la que MÁS refleja. Clasifica el contexto del marker (P2 multi-sink), fingerprintea el sanitizer (P3) y dispara el arsenal de 93 breakouts priorizado por lo que el fingerprint dejó pasar (P4, POOL 16 hilos). Si nada entra a pelo, la MUTATION FORGE arma 192 variantes (entity-dec/hex/named/mixed, ent-double con probe de materialización server-side…) que el NAVEGADOR decodifica al parsear. Confirmación 12/12 verbatim = ☠ EJECUTABLE.

CÓMO SE USA — PASO A PASO

Scope + Gate (siempre) → pegá el URL; el param es opcional (vacío / "auto" = modo AUTO, el motor encuentra los params solo).
Reporte: bloque discovery (urlParams, endpoints, vectores probados/reflectantes), contexto ganador, payload confirmado.
P1.2 PERSISTENCIA: si el marker queda pegado tras un GET limpio → STORED XSS PROBABLE (se publica al bus).
EXPLOIT MODE ×8: script-exec, cookie-read, session-read, key-capture, dom-overlay, cookie-write, fetch-exfil, exfil-beacon — montadas sobre la técnica ganadora incluida la mutación. Las funciones marcador son INEXISTENTES: aunque corran, solo ReferenceError. Prueba sin daño.
P7 DOM SCAN: 14 patrones de sinks DOM → DOM XSS POTENCIAL honesto (nunca confirmado).

CÓMO SE EXPLOTA

El vector ganador + payload confirmado 12/12 es tu PoC: documentalo con screenshot del exploit mode y reportalo. En stored probable, mostrá la persistencia del marker (GET limpio que sigue cantando). La MEMORIA del perfil prioriza los payloads ya confirmados — la segunda corrida en el mismo host pega más rápido.

⚖ HONESTIDAD: REFLEJA ≠ ejecutable — solo verbatim 12/12 se afirma. Blind no se reporta como explotado. Worker proxy integrado (oculto); override solo por consola: localStorage.setItem("tudelasec_worker","https://...")

☠ venom XSS ENGINE v3.3 ANNIHILATOR — pasás el URL y VENOM caza por 4 CLASES de vector: param GET · param POST (harvest de forms con method) · HEADERS reflectores (Referer / User-Agent / X-Forwarded-For) · PATH-inyección · P0.5 EXTRACTOR de params de la URL · P0.6 HARVEST de endpoints · discovery ×60 · P1.2 PERSISTENCIA (stored XSS probable) · multi-contexto (TODAS las ocurrencias) · arsenal ×93 con priorización adaptativa + MEMORIA del perfil por host · mutation forge 16×12 · POOL 16 · confirmación 12 rondas verbatim (top 6) · EXPLOIT MODE ×8 clases (multi-vector) · DOM sink scan

GATE: confirmo que el target es mío / un lab / scope firmado de bug bounty — payloads de detección con marker único, nada destructivo. Además el host debe estar en SCOPES (tudelasec_scopes) o el motor no arranca: registro desde la consola con wlAddScope("victima.cl") o desde el panel SCOPES del Engine Bay.

// VENOM v3.3 ANNIHILATOR: EXTRACTOR de params de la URL → HARVEST de endpoints (forms GET/POST + links) → VECTOR SWEEP ×4 clases (params GET/POST + discovery ×60 + PATH + headers Referer/UA/XFF — gana el que MÁS refleja) → PERSISTENCIA (stored XSS probable) → MULTI-CONTEXTO (todas las ocurrencias del marker) → fingerprint → arsenal 93 adaptativo + MEMORIA del perfil (POOL 16) → MULTI-VECTOR exploitation → mutation forge 16×12 → confirmación 12 rondas verbatim (top 6) → EXPLOIT MODE ×8 clases sobre cada vector confirmado (funciones marcador INEXISTENTES: aunque corran, ReferenceError y cero efecto; beacons a .invalid: no resuelven, cero exfil) → DOM sink scan. VERBATIM en el HTML = ejecutable en navegador (verificación estructural, no ejecución). Sin reflejo = BLIND y no se afirma nada. Cero daño. Cero simulación.

FASE	SONDA	CONTEXTO	PAYLOAD	STATUS	SANITIZACIÓN	VEREDICTO

06 — SIREN Open Redirect Engine

tudelasec ~/modulos ☠ man siren

ClaseOpen Redirect

Diccionario×240 params redirect-prone

Vectoresparams + PATH ×4 + VECTOR REFERER

Batería×64 bypass (51 con disfraz wl:1)

Confirmación5/5 verbatim

Forge×14 tampers anti-WAF

EscaladaP5.2 disfraz + HPP ×2 + evasión mínima P5.3

Perfiltudelasec_redirect_profile

QUÉ HACE

Caza open redirects por TODAS las clases de vector: params propios + dicc ×240 + PATH-inyección ×4 + VECTOR REFERER (endpoints que "vuelven a la página anterior" cantan igual que por param). La BATERÍA DE BYPASS ×64 arma 51 sintaxis con disfraz (at-trick, dot-trick, enc-once/enc-twice, scheme-splitting, HTML-entities, BOM U+FEFF, NUL-prefix, mixed-case, tab-host, at-nul, port-trick…) + 13 limpias. Clasificador: Location al canary = REDIRECT · verbatim en meta-refresh/js-redirect = REFLEJA · 3xx sin Location · blind-kill con diferencial benigno.

CÓMO SE EXPLOTA — SEVERIDADES

Sintaxis con disfraz (wl:1) → WHITELIST BYPASS: la validación EXISTE y la atravesaste — severidad mayor para el reporte.
Sintaxis limpias → REDIRECT SIMPLE.
P5.2 ESCALADA DE DISFRAZ: si solo entraron limpias, fuerza @-trick / dot-trick / enc-once × forge ×14 sobre el confirmado para SUBIR la severidad.
P5.3 EVASIÓN MÍNIMA: rankea el payload MÁS CORTO que sigue entrando 5/5 — el que va al writeup.
HPP ×2: probá benigno→canary y canary→benigno (dos params, dos órdenes).
P5.4 DOM SCAN: sinks location.href/replace/assign alimentados por location.search/hash → DOM OPEN REDIRECT POTENCIAL con la línea JS como evidencia.

⚖ HONESTIDAD: canary en .invalid (RFC 2606) — NO resuelve, cero phishing real. 3xx sin Location o blind = PROBABLE ("requiere verificación manual"), jamás CONFIRMADO. Export JSON con sintaxis ganadora + evasión + flag referer por confirmado.

🧭 SIREN OPEN REDIRECT ENGINE v4.0 LETAL — pasás el URL y SIREN caza open redirect por TODAS las clases de vector: params de la URL (extractor) · params cosechados (harvest de forms GET/POST + links) · DICCIONARIO ×240 redirect-prone · PATH-INYECCIÓN ×4 (//canary, https://canary, %2F%2Fcanary y https:/canary pegados al path) · BATERÍA DE BYPASS ×64 (absolutos · relativos · /\ · \/ · \\ · /// · //// · scheme-single https:/evil · http:// · scheme-rel https:evil · https:///evil · https:////evil · https:\\evil · https:\/\/evil · @-trick · @-creds · @-backslash · @-encoded · @-REVERSO canary\\@victima · @-port victima:80@canary · @-slash-enc victima%2F@canary · @-double-enc victima%40@canary · #-trick · dot-trick · dot-encoded · query-trick · query-host · path-trick · enc-once/enc-mixed/enc-scheme/enc-twice/enc-backslash/enc-mix-bs URL-ENCODEADOS · tab/nl/cr-scheme · lead-space · space-scheme · CRLF-prefix · tab-prefix · FULLWIDTH ／／canary · https bare · mixed-case HTtPs:// · NUL-prefix %00 · NUL-scheme · at-nul · dot-double · port-trick :8080 · ftp-abs · lead-dot .// · url-in-url segundo-orden · HTML-entities / · quote-prefix · NBSP U+00A0 · BOM U+FEFF · colon-enc · slash-enc-host · wide-space U+3000 · tab-host) · TAMPER FORGE ×14 (encodings · case · ws · NUL · U+00AD · U+2215 · U+2044 · RTL U+202E) · CONFIRMACIÓN 5/5 verbatim (Location header / meta-refresh / js-redirect) · EXPLOIT MODE con severidad (WHITELIST BYPASS vs REDIRECT SIMPLE) + ESCALADA DE DISFRAZ (disfraces × forge si solo entró limpio) + HPP ×2 órdenes + VECTOR REFERER (sonda en el header Referer: endpoints que redirigen "de vuelta" cantan igual que por param) + P5.3 EVASIÓN MÍNIMA (rankea el payload más corto que sigue entrando 5/5) + P5.4 DOM SCAN (sinks location.href/replace/assign/window.open alimentados por search/hash/URLSearchParams/referrer — POTENCIAL honesto, nunca CONFIRMADO) · canary .invalid que NO resuelve (cero daño, cero phishing real)

GATE: confirmo que el target es mío / un lab / scope firmado de bug bounty — el canary apunta a .invalid (RFC 2606, NO resuelve): cero daño, cero phishing real. Además el host debe estar en SCOPES (tudelasec_scopes) o el motor no arranca: registro desde la consola con wlAddScope("victima.cl") o desde el panel SCOPES del Engine Bay.

// SIREN v4.0 LETAL: EXTRACTOR de params de la URL → HARVEST de endpoints (forms GET/POST + links) → VECTOR SWEEP ×240+ con canary protocol-relative + PATH-INYECCIÓN ×4 + VECTOR REFERER (canary en el header) → BATERÍA DE BYPASS ×64 (absolutos, relativos, backslash, scheme-splitting, @/#/dot/@-reverso/@-port/fullwidth-tricks, URL-ENCODEADOS ×6, tab/nl/cr/space en el scheme, CRLF) → CONFIRMACIÓN 5/5 verbatim (Location header / meta-refresh / js-redirect — sin evidencia verbatim = PROBABLE, no confirmado) → TAMPER FORGE ×14 (encoding / case / ws / NUL / unicode U+00AD-U+2215-U+2044-U+202E) → EXPLOIT MODE (severidad WHITELIST BYPASS vs REDIRECT SIMPLE) → ESCALADA DE DISFRAZ (si solo entró limpio: disfraces @/dot/enc × forge para subir la severidad) + HPP ×2 órdenes + P5.3 EVASIÓN MÍNIMA (payload más corto que aún entra 5/5) + P5.4 DOM SCAN (estático: POTENCIAL honesto) → veredicto + export + bus. Canary .invalid: NO resuelve (cero daño). Cero simulación.

FASE	VECTOR	SONDA	STATUS	EVIDENCIA	VEREDICTO

07 — BASILISK SQLi Engine

tudelasec ~/modulos ☠ man basilisk

ClaseSQL Injection — auditoría de ACCESO a DB

Arsenal×96 rutas SQLi-prone + dicc ×300

Reconrobots.txt + sitemap.xml del propio target

Vectoresparams + headers ×7 + PATH REST + JSON-API

Bateríasbooleana ×24 · time ×16 · forge ×24

LecturaMETADATA + COUNTs — cero dump

Confirmación3/3 verbatim / diferencial / delay

Perfiltudelasec_sqli_profile

QUÉ HACE

Encuentra los puntos de inyección SQL y finge el DBMS leyendo solo METADATA: version(), database(), user(), hostname, datadir, OS, puerto + COUNTs (tablas del schema, esquemas, tablas calientes "juicy", privilegios, nivel SUPER). Fases: P0 baseline → P0.5/P0.6 extractor+harvest → P0.7 ENDPOINT ARSENAL ×96 (login · search · productos · news · api · descargas · reservas…) → P0.8 RECON-ROBOTS (rutas REALES que el propio sitio declara en robots.txt/sitemap.xml — recon gratuito) → P1 sweep (params propios + VECTOR HEADERS ×7 incl. X-Forwarded-For + dicc ×300 + PATH-VICTIMS en segmentos REST /producto/1) → P2 error confirm 3/3 → P3 CONTEXT-FINGERPRINT (quoted vs pelada, reordena la batería) → booleana ×24 / time-based ×16 con umbral = baseline+4000ms → P4.6 JSON-API PROBE (/api · /wp-json · /graphql) → P5 EXPLOIT MODE (updatexml/extractvalue con FLOOR(RAND) fallback, lecturas char a char) → P6.1 TARJETAS DE DETALLE por hallazgo.

CÓMO SE EXPLOTA

Cada hallazgo trae severidad (ERROR DISCLOSURE / BOOLEAN BLIND / TIME-BASED BLIND), DBMS fingido, vector (GET/POST/header/path/JSON), sintaxis ganadora, payload y evidencia completa. El ARSENAL encuentra puntos que nadie barre; el VECTOR HEADER confirma por X-Forwarded-For (clase que casi ningún scanner prueba); el PATH inyecta directo en /producto/1. La metadata leída (versión + SO + puerto + tablas) es la superficie para tu writeup: DBMS + versión + nivel de privilegios = severidad justificada. Export JSON + bus con metadata incluida.

⚖ CERO DAÑO por diseño: cero UNION SELECT, cero dump de tablas, cero filas leídas (solo COUNTs), cero stacked destructivos. Intermitente = PROBABLE, jamás CONFIRMADO. Panel interno 📖 CÓMO FUNCIONA con endpoints categorizados por exposición a DB.

🐍 ABRIR DOSSIER DE AMMIT · ARSENAL, FASES Y LÍMITES

🐍 BASILISK SQLi ENGINE v5.2 AMMIT OMEGA — pasás el URL (param opcional, vacío/auto = modo AUTO) y BASILISK caza SQLi por TODAS las clases de vector: params de la URL (extractor) · params cosechados (harvest de forms GET/POST + links) · ENDPOINT ARSENAL ×96 rutas típicas SQLi-prone (/login · /search.php?q= · /product.php?id= · /news.php?id= · /viewtopic.php · /admin · /api/users · /propiedad · /paciente · /tracking — GET limpio, solo las vivas) · DICCIONARIO ×300 SQLi-prone (id · cat · page · user · search · sort …) · VECTOR HEADERS ×7 (X-Forwarded-For · X-Real-IP · X-Client-IP · Referer · User-Agent · Cookie · Forwarded — apps que loguean o consultan por headers) · RECON-ROBOTS (robots.txt + sitemap.xml del objetivo — rutas REALES que el propio sitio declara) · PATH-VICTIMS (segmentos numéricos de la URL REST /producto/1 — inyección por PATH, la clase que casi ningún scanner barre) → P0.7 · P0.8 → P1 VECTOR SWEEP con SONDA MARCADA ('BSQnnn — quote único con marcador: ERROR = mensaje de error de la DB en el cuerpo → FINGERPRINT DBMS ×5 (MySQL · PostgreSQL · MSSQL · Oracle · SQLite), REFLEJA = marcador reflejado) → P2 ERROR CONFIRM 3/3 verbatim + P3.0 CONTEXT-FINGERPRINT (la sonda decide: quoted vs numeric — ordena la batería solo) + P3 BATERÍA BOOLEANA ×24 sintaxis (single/double-quote · parens ×2 · numeric · OR ×2 · LIKE · RLIKE · BETWEEN · NOT · XOR ×2 · LT ×2 · GT · IF · INSTR · CASE · HAVING) con DIFERENCIAL 1=1 vs 1=2 confirmación 3/3 → P4 TIME-BASED HONESTO: latencia base = MEDIANA de 5 GET limpios · umbral baseline+4000ms · batería ×16 por DBMS (SLEEP ×3 · IF-SLEEP · GET_LOCK · BENCHMARK ×2 · pg_sleep ×2 · pg-CASE · WAITFOR ×2 · IF-WAITFOR · dbms_pipe · Oracle CONNECT-BY · SQLite heavy-query) confirmación 3/3 → P4.5 TAMPER FORGE ×24 (enc-once/enc-twice/unicode · case-mixed · tab/nl-space · comment-split · inline-comment · NUL ×2 · hash · enc-eq · plus-space · url-full · backslash-quote · comment-space · vt-space · tab/nl-inner · case-full · double-url · utf16-all · crlf-space) → P4.6 JSON-API PROBE (POST {"id":"'BSQ"} JSON body a /api · wp-json · graphql — la clase que casi ningún scanner prueba) → P5 EXPLOIT MODE NO DESTRUCTIVO: VERSION-ECHO + DATABASE-ECHO + USER-ECHO (updatexml/extractvalue/FLOOR MySQL · cast-int PostgreSQL · CONVERT MSSQL — version()/database()/user() VERBATIM) + HOSTNAME/DATADIR/OS/PORT-ECHO (recon de infra y SO) + TBLC/SCHEMAC/JUICY-ECHO (COUNT de tablas del schema, de esquemas y de tablas CALIENTES user/admin/pass — superficie de ataque) + PRIV-PROBE nivel DBA/SUPER (COUNT legible de mysql.user/pg_roles/sys.sql_logins — CERO filas) + LECTURA BOOLEANA carácter a carácter (version() cap 12 + database() cap 16 + user() cap 24 + tabcount cap 4) + SLEEP ESCALONADO (3s vs 7s — control fino del delay). HONESTIDAD BRUTAL: cero UNION, cero dump de tablas, cero stacked destructivos (stacked SOLO delay read-only pg_sleep/WAITFOR), cero INTO OUTFILE — solo se lee METADATA: version() + database() + user() + hostname + datadir + SO + puerto + COUNTs (privilegios · tablas · esquemas · tablas calientes); PROBABLE ≠ CONFIRMADO jamás

GATE: confirmo que el target es mío / un lab / scope firmado de bug bounty — BASILISK dispara payloads de DETECCIÓN (quote · boolean · delay) y lee a lo sumo METADATA version() + database() + user() + hostname/datadir/SO/puerto y COUNTs (privilegios · tablas · esquemas · tablas calientes): cero UNION, cero dump, cero destructivos. Además el host debe estar en SCOPES (tudelasec_scopes) o el motor no arranca: registro desde la consola con wlAddScope("victima.cl") o desde el panel SCOPES del Engine Bay.

📖 BASILISK v5.2 AMMIT OMEGA — MANUAL COMPLETO: cómo funciona · cómo se usa · a qué endpoint disparar

🧭 Cómo usarlo (paso a paso)

Scope primero: registrá el dominio con wlAddScope("victima.cl") desde la consola (o el panel SCOPES del Engine Bay). Sin scope en tudelasec_scopes, BASILISK no dispara NI un request.
GATE: tildá el checkbox: confirmás que el target es tuyo / un lab / scope firmado de bug bounty.
Target: pegá el URL como venga (con o sin https://, con o sin params). Ej: victima.cl/producto?id=1.
Param (OPCIONAL): si ya sabés que el hoyo está en id, escribilo y va con PRIORIDAD. En auto/vacío, modo AUTO: BASILISK caza solo (extractor + harvest + arsenal ×96 + diccionario ×300).
🐍 SOLTAR A AMMIT: corre solo de punta a punta: baseline → caza → confirmación 3/3 → exploit no destructivo → reporte JSON + perfil + bus.

⚙️ Las fases (qué hace y por qué)

P0 baseline: GET limpio ×5 → mediana de latencia = umbral del time-based (baseline+4000ms). Sin baseline no hay corrida.
P0.5 extractor / P0.6 harvest: los params de tu URL + forms (GET/POST con sus inputs) y links con query del mismo host se vuelven vectores.
P0.7 ENDPOINT ARSENAL ×96: GET limpio sobre 96 rutas típicas SQLi-prone — solo las que responden 200/no-404 entran a la caza (cap 8 vivas).
P0.8 RECON-ROBOTS: lee robots.txt + sitemap.xml del objetivo — hasta 8 rutas REALES que el propio sitio declara entran al sweep (GET limpio, solo 200 vivo). Recon gratuito y honesto.
P1.5 PATH-VICTIMS: segmentos NUMÉRICOS de la URL (REST tipo /producto/1) se vuelven vectores — la sonda reemplaza el segmento y entra por el PATH: la clase que casi ningún scanner barre. Mismo estándar: ERROR 3/3 verbatim o diferencial booleano 3/3.
P1 vector sweep: sonda marcada 'BSQxxx por vector — params, endpoints cosechados, arsenal y VECTOR HEADERS ×7 (X-Forwarded-For · X-Real-IP · X-Client-IP · Referer · User-Agent · Cookie · Forwarded — headers que la app loguea o mete a la DB) (POOL 24, cap 260). Mensaje de error de DB en el cuerpo = ERROR + fingerprint DBMS ×5 (MySQL · PostgreSQL · MSSQL · Oracle · SQLite); marcador reflejado = REFLEJA.
P2 error confirm: el error de DB debe repetirse verbatim 3/3 rondas.
P3.0 context-fingerprint: la sonda viaja QUOTED (string) o PELADA (numeric) → ordena la batería y las lecturas usan el prefijo correcto (con o sin quote).
P3 batería booleana ×24: single-quote · double-quote · paren-quote · paren-double · numeric · or-quote · or-numeric · or-paren · LIKE ×2 · RLIKE · BETWEEN · NOT · XOR ×2 · LT ×2 · GT · IF · INSTR · CASE · HAVING — diferencial TRUE (1=1) vs FALSE (1=2) estable 3/3, con normalización anti-falso-positivo.
P4 time-based honesto: delays SOLO sobre params propios/candidatos · batería ×16 (SLEEP ×3 · subquery-SLEEP · IF-SLEEP · GET_LOCK · BENCHMARK ×2 · pg_sleep ×2 · pg-CASE · WAITFOR ×2 · IF-WAITFOR · dbms_pipe · Oracle CONNECT-BY · SQLite heavy-query) · delay ≥ baseline+4000ms 3/3 · stacked SOLO delay read-only.
P4.5 tamper forge ×24: si el WAF mató todo: enc-once/enc-twice/unicode · case-mixed · tab/nl-space · comment-split · inline-comment · NUL-prefix/null-inner · hash · plus-space · enc-eq · mixed-enc · url-full · backslash-quote · comment-space (/**/) · vt-space (%0B) · tab-inner · nl-inner · case-full · double-url · utf16-all · crlf-space — mismo estándar 3/3.
P4.6 JSON-API PROBE: si nada entró y hay endpoints /api · /wp-json · /graphql vivos: POST {"id":"'BSQ"} con Content-Type application/json — la inyección viaja en el CUERPO JSON (JSON body), la clase que casi ningún scanner prueba → ERROR → confirm 3/3 → P5 por el vector JSON.
P5 EXPLOIT MODE (no destructivo): version() · database() · user() VERBATIM (updatexml/extractvalue/FLOOR MySQL · cast PostgreSQL · CONVERT MSSQL) + hostname, datadir, SO y puerto (recon de infra) + COUNT de tablas del schema + COUNT de esquemas del servidor + COUNT de tablas CALIENTES (nombres tipo user/admin/pass — superficie caliente) + PRIV-PROBE nivel DBA y SUPER (COUNT de mysql.user/pg_roles/sys.sql_logins y Super_priv del usuario actual) + lectura booleana char a char (version cap 12 · database cap 16 · user cap 24 · tabcount cap 4) + SLEEP escalonado 3s/7s (control fino del delay).
P6 veredicto: resumen + tarjetas de detalle por hallazgo + export JSON auto-descarga + perfil por host + bus de hallazgos.

🗄️ A qué endpoint disparar — los que MÁS exponen base de datos

🥇 Oro puro (query dinámica por id — SELECT directo a la DB): /product.php?id= · /producto.php?id= · /products.php?id= · /item.php?id= · /detail.php?id= · /detalle.php?id= · /view.php?id= · /show.php?id= · /download.php?id= · /descarga.php?id= · /archivo.php?id= · /file.php?id= · /print.php?id= · /invoice.php?id= · /order.php?id= · /pedido.php?id= · /cart.php?id= · /shop.php?id= · /compra.php?id= · /ticket.php?id= · /reserva.php?id= · /booking.php?id=

📰 Contenido dinámico (los clásicos de siempre): /news.php?id= · /noticia.php?id= · /article.php?id= · /articulo.php?id= · /post.php?id= · /story.php?id= · /viewtopic.php?t= · /thread.php?id= · /topic.php?id= · /forum.php?f= · /comment.php?id= · /galeria.php?id= · /evento.php?id= · /libro.php?id= · /faq.php?id=

🔎 Búsqueda (LIKE / ORDER BY / LIMIT — oro para blind): /search.php?q= · /search?q= · /buscar.php?q= · /buscar?q= · /find.php?q=

🗂️ Categorías y páginas (ORDER BY / paginación): /category.php?id= · /categoria.php?id= · /cat.php?id= · /page.php?id= · /content.php?id= · /info.php?id= · /reporte.php?id= · /documento.php?id=

👤 Usuarios y perfiles (JOIN a la tabla users casi seguro): /user.php?id= · /usuario.php?id= · /profile.php?id= · /perfil.php?id= · /member.php?id= · /account.php?id= · /admin · /admin.php?id=

🔐 Login (boolean blind directo sobre la query de credenciales — nunca reportes auth bypass sin evidencia): /login · /login.php

🔌 API (JSON que sale de un SELECT): /api/users · /api/v1/users · /wp-json/wp/v2/users

🏡 Inmobiliaria y vehículos (query por id de propiedad/auto — JOIN casi seguro a tablas de contacto): /propiedad.php?id= · /inmueble.php?id= · /auto.php?id= · /vehiculo.php?id= · /anuncio.php?id=

🏥 Salud y trámites (citas · expedientes · turnos — datos sensibles detrás): /paciente.php?id= · /cita.php?id= · /turno.php?id= · /expediente.php?id= · /matricula.php?id= · /inscripcion.php?id= · /alumno.php?id=

📦 Tracking y envíos (lookup por número — blind con LIKE de otro planeta): /seguimiento.php?id= · /tracking.php?id= · /rastreo.php?id= · /envio.php?id= · /paquete.php?id= · /guia.php?id=

🎬 Multimedia y cursos (fichas · videos · recetas · reservas): /ficha.php?id= · /pelicula.php?id= · /video.php?id= · /receta.php?id= · /curso.php?id= · /carrera.php?id= · /habitacion.php?id= · /vuelo.php?id=

💸 Facturación (si cae, es el santo grial): /factura.php?id= · /boleta.php?id=

Consejo de cazador: ¿tienda? → producto/detalle/pedido. ¿Blog/CMS? → news/viewtopic/page. ¿Tiene API? → /api/users. ¿No sabés nada? → param en auto y el AMMIT barre solo: extractor + harvest + arsenal + headers + diccionario ×300.

📊 Cómo leer los resultados

CONFIRMADO = evidencia estable 3/3 (error de DB verbatim · diferencial booleano · delay ≥ umbral). Severidades: ERROR DISCLOSURE · BOOLEAN BLIND · TIME-BASED BLIND.
PROBABLE = señal intermitente (menos de 3/3) — NO se reporta: requiere verificación manual. PROBABLE ≠ CONFIRMADO, jamás.
NO SQLI = cero error, cero reflejo, cero diferencial, cero delay sobre umbral.
Metadata leída = version() · database() · user() · hostname · datadir · SO · puerto · COUNT de tablas del schema · COUNT de esquemas · COUNT de tablas calientes · COUNT de privilegios (nivel DBA si el usuario lee mysql.user / pg_roles / sys.sql_logins · nivel SUPER si Super_priv=Y).
Tarjetas de detalle = un bloque por hallazgo con vector, param, payload ganador, evidencia completa y toda la metadata: eso es lo que va al reporte JSON y al bus.

🛡️ Honestidad y límites (a propósito)

CERO UNION SELECT · cero dump de tablas · cero filas leídas · cero stacked destructivos · cero INTO OUTFILE · cero escritura. Stacked SOLO delay read-only (pg_sleep / WAITFOR DELAY).
La única lectura de datos es METADATA: version(), database(), user(), hostname, datadir, SO, puerto y COUNTs (privilegios · tablas · esquemas · tablas calientes).
CONFIRMADO exige 3/3 rondas estables; intermitente = PROBABLE. Cero simulación: si el motor no lo vio, no lo dice.
Transporte scanner-proxy v11 integrado con camo headers + reintento. Override por consola: localStorage.setItem("tudelasec_worker","https://...").
Perfil por host en tudelasec_sqli_profile — la segunda corrida arranca con lo aprendido. Hallazgos al bus tudelasec_findings_bus (los ve el WAR ROOM).

// BASILISK v5.2 AMMIT OMEGA: EXTRACTOR de params de la URL → HARVEST de endpoints (forms GET/POST + links) → P0.7 ENDPOINT ARSENAL ×96 (rutas típicas SQLi-prone: login · search · productos · news · foros · admin · api · descargas · reservas) → P0.8 RECON-ROBOTS (robots.txt + sitemap.xml — rutas REALES del propio sitio) → VECTOR SWEEP ×300+ (params + headers ×7 + PATH-VICTIMS segmentos de URL) con SONDA MARCADA ('BSQn — quote con marcador único: ERROR de DB = fingerprint ×5 DBMS, marcador reflejado = REFLEJA) → P2 ERROR CONFIRM 3/3 verbatim → P3.0 CONTEXT-FINGERPRINT (sonda quoted o pelada → ordena la batería) → P3 BATERÍA BOOLEANA ×24 (single/double-quote · parens ×2 · numeric · OR ×2 · LIKE ×2 · RLIKE · BETWEEN · NOT · XOR ×2 · LT ×2 · GT · IF · INSTR · CASE · HAVING — diferencial 1=1 vs 1=2, 3/3 rondas) → P4 TIME-BASED HONESTO (latencia base = mediana de 5 GET limpios, umbral +4000ms, batería ×16 SLEEP/IF-SLEEP/GET_LOCK/BENCHMARK/pg_sleep/pg-CASE/WAITFOR/IF-WAITFOR/dbms_pipe/CONNECT-BY/SQLite-heavy, 3/3 rondas — sin evidencia estable = PROBABLE, no confirmado) → P4.5 TAMPER FORGE ×24 (encodings ×3 · case ×2 · comment-split · comment-space · NUL ×2 · backslash · unicode · url-full · double-url · utf16 · vt/crlf) → P4.6 JSON-API PROBE (POST JSON {"id":"'BSQ"} a /api · wp-json · graphql) → P5 EXPLOIT MODE no destructivo (version()/database()/user()-echo + hostname/datadir-echo + COUNT tablas/esquemas + priv-probe DBA verbatim · lectura booleana version() cap 12 + database() cap 16 + user() cap 24 + tabcount cap 4 · SLEEP escalonado 3s/7s) → veredicto + export + perfil + bus. Cero UNION, cero dump, cero filas, cero stacked destructivos: solo metadata version()/database()/user()/hostname/datadir/SO/puerto + COUNTs (privilegios · tablas · esquemas · tablas calientes). Cero simulación.

FASE	VECTOR	SONDA	STATUS	EVIDENCIA	VEREDICTO

08 — Tech Fingerprint & Audit

Fingerprint y auditoría de un sitio: tecnologías con versión y la última disponible, cabeceras de seguridad, cookies, archivos expuestos (.git, .env) y una nota de 0 a 100. Cada consulta sale por el Worker.

Confirmo autorización para analizar el objetivo que ingrese.

Buscar archivos expuestos (robots, sitemap, security.txt, .git, .env)

Listo. Ingresá la URL y pulsá INVOCAR.

09 — Cloud Attack Surface

🌩 nimbus cloud reaper v3 reaper xtreme — aws · azure · gcp · firebase · shopify · k8s/docker/registry · metadata ssrf (39 endpoints) · cname takeover (38 servicios) · multi-cloud enum (do/oci/alibaba/wasabi/linode/scaleway/ibm) · creds leak hunt · cosecha de llaves · 11 oleadas

// ingresa el dominio del target y presiona DESATAR NIMBUS — 15 oleadas cloud reales: fingerprint multi-provider (30) + cosecha de llaves → S3 (regiones+ACL+perms) / Azure / GCP/Firebase enum → Shopify attack surface → metadata SSRF (39 endpoints x params reflejados) → K8s/Docker/Registry → CNAME takeover via DoH (38 servicios) → multi-cloud enum (DO/OCI/Alibaba/Wasabi/Linode/Scaleway/IBM) → cloud creds leak hunt (.env/serviceAccount/tfstate/dumps) → reporte JSON + PDF. Todo HTTP real via el Worker proxy, cero simulación.

OLEADA	FASE	PROBE	STATUS	VEREDICTO

49 — HARPY API Exploit Engine

v5.0 RED TEAM EDITION · módulo 49 · explotación exclusiva de APIs: OWASP API Security Top 10 (2023) completo + los 79 ataques (blind vía OOB incluidos) — BOLA/IDOR · mass assignment · JWT · auth · GraphQL · SSRF · inyecciones · admin surfaces · inventory · business flows. Con RECON AUTO: pegás la URL y el motor la IDENTIFICA (framework · versión · propósito · auth · superficie) antes de desatar los vectores.

MÓDULO 49 · 123 VECTORES · 14 FAMILIAS + 8 SUPERFICIES NUEVAS (WS·gRPC·UPLOADS·DESER·TOKENS·PAYMENT·LLM·CACHE) + INTELIGENCIA (PRIORITY QUEUE · ADAPTIVE · BUDGETS · CVE) · OWASP API 1-10

⚡ Modo AUTO — un solo campo: pegá la URL de la API y HARPY hace todo el resto

⚙ CONFIG MANUAL (opcional — tokens, paths y headers custom: el modo AUTO los descubre solo)

Target API (base URL — con o sin path: los vectores se disparan sobre él y sobre los paths extra)

Token A (Bearer/JWT propio — opcional)

Token B (2ª cuenta — CONFIRMA BOLA cruzado)

Paths extra a atacar (separados por coma — endpoints con IDs, profile, orders, admin…)

Headers custom (JSON — opcional: X-API-Key, cookies…)

Agresividad

Pool (concurrencia — adaptativo: baja solo con 429/WAF)

OOB server (interactsh self-hosted — vacío = OOB off)

Sampling cap (endpoints descubiertos)

GATE: confirmo que el target es mío / un lab / scope firmado de bug bounty. Además el host debe estar en tudelasec_scopes o el motor no arranca: wlAddScope("api.victima.cl") desde la consola o el panel SCOPES del Engine Bay. Los probes de SSRF apuntan a metadatos internos read-only y a loopback — nunca exfiltran, nunca escriben. Nada destructivo se dispara: DELETE/mutations van con payloads marcados y solo si el endpoint ya responde.

Vectores del catálogo

123

Probes disparados

☠ Confirmados

⚠ Probables

◈ requires_dynamic

ETA / velocidad

—

WAF

—

⛓ CADENAS DE EXPLOTACIÓN

🎯 PRIORITY QUEUE — score/reason por vector (L2.1)

📉 DEGRADADOS POR HONESTIDAD 3/3

🎯 PARAMS DESCUBIERTOS

🗺 ENDPOINTS DESCUBIERTOS

📡 OOB SESSIONS

🕰 BASELINE DIFF

honestidad: CONFIRMADO solo con evidencia verbatim 3/3 FORZADA POR CÓDIGO (HPY_promote: status+headers+body + sin soft-404/SPA/WAF — los degradados se listan con motivo) · sin firma = PROBABLE · OOB off por default (tudelasec_oob → interactsh self-hosted) · pool adaptativo: 429/WAF bajan concurrencia y respetan Retry-After · multi-account y business logic solo en RED TEAM con gate adicional · lo no disparable desde navegador (request smuggling, host-header poisoning, web-cache deception) va requires_dynamic con payload + verifyCmd para Burp/curl — cero simulación, cero inflado. Time-based (sleep/pg_sleep) bloqueado por el supervisor del proxy → ese vector es de BASILISK desde red propia. · perfil por host en tudelasec_harpy_profile · hallazgos al bus tudelasec_findings_bus (WAR ROOM) · transporte scanner-proxy v11 con fallback same-origin · 100% vanilla JS sin dependencias. Los vectores de recursos (rate-limit/pagination/bulk/race) disparan ráfagas acotadas (≤40 requests) · exports: JSON · SARIF 2.1.0 · CycloneDX 1.5 SBOM · informe HTML imprimible: en programas anti-spam (NASA VDP) usar pool 4 y modo PASIVO.

10 — Proxy & Repeater

Mini-navegador con historial HTTP completo: request y response en crudo, Repeater, Intruder, comparador, decoder, mapa del objetivo y análisis. Todo sale por el Worker (scanner-proxy). Solo ve lo que pedís desde aquí, nunca el tráfico de otras pestañas.

PETICIONES0

OK 2xx/3xx0

ERRORES0

HOSTS0

LATENCIA MEDIA—

Confirmo autorización expresa para probar los objetivos que ingrese.

Headers, body, SCOPE y recursos

Cargar recursos de la página (JS, CSS, imágenes y endpoints hallados en el JS) · máx. 40 · genera el HTTP HISTORY

Listo. Ingresá una URL y enviá.

Request tal como se construyó. El Worker agrega por su cuenta User-Agent y Accept-Encoding, que no se ven aquí.

Sin petición seleccionada.

sin respuesta seleccionada

Vista renderizada de la respuesta seleccionada. CSS y JS salen del historial (lo que el Worker ya trajo). Imágenes y fuentes no cargan en esta vista. Sin red: la página no puede salir a internet desde aquí.

Sin respuesta seleccionada.

Headers (Clave: valor, una por línea) Body Ctrl+Enter reenvía

Base · marcá cada posición a fuzzear con §…§ (lo que va dentro es el valor original del baseline)

Payloads de detección · uno por línea (máx. 60)

Concurrencia

○ sin instancia

Lanzá una instancia para navegar.

Todo el tráfico sale por el Worker y queda en el HISTORIAL. Los recursos externos no cargan directo en el visor: el Worker los pide y aparecen abajo. Los fetch de la página se reenvían por el Worker; los XHR solo se registran (no devuelven datos a la página).

Seleccioná una fila del historial para ver sus datos RAW.

RAW REQUEST

Sin petición seleccionada.

RAW RESPONSE

Sin respuesta seleccionada.

(resultado)

11 — Kernel Static Audit

🧿 taint radar — kernel/paranoide · SAST heurístico TR-01…TR-06 · taint DOM · multi-lenguaje · scoring 0–100

ORIGEN · código local pegado en el editor

// pegá el código y presiona AUDITAR — política KERNEL/PARANOIDE: todo dato externo es TAINTED hasta demostrar lo contrario

HALLAZGO	REGLA ID	SEVERIDAD	CONTEXTO AFECTADO	LÍNEA	REMEDIACIÓN

12 — Credential Leaks

☢ breach radar v4.1 — credenciales filtradas · XposedOrNot vía scanner-proxy con BLINDAJE anti-proxy-caído (2 reintentos + 1 intento DIRECTO: la app NUNCA se muere porque un proxy duerma) · timeline de exposición · plan de endurecimiento automático · postura MX/SPF/DMARC de dominios · MODO CONTRASEÑA v4 (3 FUENTES): corpus SHA-1 Pwned Passwords ~850M + corpus NTLM de dumps de Active Directory + top mundial local con leet-speak · k-anonymity: la clave NUNCA viaja · entropía + tiempo de crackeo estimado · export JSON

// pegá un correo y CAZA: la API gratuita de XposedOrNot dice si apareció en filtraciones y en qué bases — o un dominio para su postura de correo. ABAJO: modo contraseña v4 contra 3 FUENTES (SHA-1 ~850M · NTLM/Active Directory · top mundial local) — tu clave jamás sale del navegador

BREACH	FECHA	REGISTROS	DATOS EXPUESTOS	VERIFICADA	RIESGO

13 — Email Spoofing & DNS Auditor

BreachRadar · módulo activo

EMAIL SPOOFING & DNS AUDITOR

Auditoría pasiva de postura DNS y autenticación de correo (SPF · DMARC · DKIM · DNSSEC · MTA-STS). 100% client-side vía DNS-over-HTTPS.

Security Score

—

◎

EN ESPERA

Ingresá un dominio y ejecutá la auditoría para evaluar si permite suplantación de identidad (email spoofing).

breachradar@dns-auditor — scanner-proxy v11.0

// scanner-proxy v11.0 listo. Esperando objetivo…

14 — API Choreography

Motor de ingeniería inversa de flujos: pegá un HAR (DevTools → Network → Export HAR) o elegí un flujo de ejemplo. NEXUS reconstruye la coreografía de APIs, detecta qué token viaja de una llamada a la siguiente, decodifica JWTs y marca las debilidades. 100% en tu navegador.

▚ flujos de ejemplo

root@tudelasec ~/nexus ☠ man nexus

[*] NEXUS — Motor de Ingeniería Inversa de Flujos de API

Reconstruye la coreografía de una app: qué llama a qué, en qué orden, qué token viaja de una llamada a la siguiente, y dónde están las debilidades. Todo corre en tu navegador — ningún dato sale de tu equipo.

── CÓMO SE USA ──

1 En DevTools → pestaña Network → clic derecho → Save all as HAR (ideal: filtrá por Fetch/XHR primero para un archivo liviano).

2 Tocá 📂 SUBIR HAR o arrastrá el archivo al cuadro. También podés usar los flujos de ejemplo de arriba.

3 NEXUS filtra el ruido (imágenes/CSS/JS) y desglosa el mapa completo abajo.

── QUÉ SIGNIFICA CADA PARTE ──

VEREDICTO / SCORE nota A–F y puntaje 0–100 de la postura de seguridad del flujo. Baja con cada hallazgo según su gravedad.

MAPA DE SERVICIOS todos los hosts del flujo. 1st=tu dominio, 3rd=terceros. Avisa cuando el flujo cruza una frontera de confianza (manda datos a otro dominio).

DIAGRAMA DE SECUENCIA cada flecha es una request (método + ruta + status). Las líneas punteadas verdes marcan un dato que nace en una llamada y se reutiliza en otra. ▶ reproducir re-anima el trazado.

CADENA DE DERIVACIÓN en prosa: qué hace cada paso, qué emite 🔑, qué usa ⛓ y a qué paso deriva. Es el "esta función crea X y deriva a esta otra".

CICLO DE VIDA DE TOKENS por cada secreto: dónde nace, dónde se consume, su vida (exp del JWT) y su exposición (en URL, a terceros, si es JWT).

INVENTARIO DE ENDPOINTS tabla de rutas únicas: método, host (1st/3rd), tipo de auth y cuántas veces se llamó.

DATOS SENSIBLES lo que la app expone en claro: emails, passwords, tarjetas (validadas por Luhn), JWTs, API keys, IPs internas.

DEBILIDADES cada hallazgo con severidad + tag OWASP API Top 10 + CWE. Clic en un paso del diagrama abre el INSPECTOR con request/response, tokens y relaciones.

REPORTE PDF exporta todo en 4 secciones: pasos, cadena de derivación, ciclo de tokens y debilidades.

── QUÉ DETECTA EL MOTOR ──

Secreto en la URL · JWT alg:none / HMAC / vida larga · token enviado a terceros · webhook sin firma · price-tampering (monto del cliente) · IDOR (ids secuenciales) · OAuth sin state · CORS permisivo con credenciales · cookies sin HttpOnly/Secure/SameSite · HTTP en texto plano · credenciales/tarjeta en la respuesta · Basic Auth · introspección GraphQL · errores verbosos · faltan headers de seguridad · session fixation · PII hacia terceros.

[+] 100% client-side · usalo solo sobre tráfico que tengas autorización de analizar.

⛓ DIAGRAMA DE SECUENCIA · las líneas punteadas verdes = datos que se propagan entre llamadas

15 — NEXUS Active

⚔ Robustez de API · pruebas activas

NEXUS Active

Módulo de pruebas de robustez de endpoints HTTP, de propósito general y 100% client-side. Configurá una request y NEXUS genera variantes programáticas — baseline, replay, mutación de parámetros, sustitución de identificadores y concurrencia — con consola de resultados, comparación contra baseline, exportación a cURL y veredicto por categoría (siempre como candidato a verificar).

⚠ Uso responsable. Esta herramienta envía peticiones reales al endpoint que configures. Úsala solo contra objetivos propios, laboratorios o programas con autorización expresa (de cualquier sector). Ejecutar pruebas activas contra sistemas de terceros sin permiso es ilegal. La ejecución requiere tu confirmación explícita. Confirmo que tengo autorización expresa para probar el endpoint configurado y asumo la responsabilidad del uso.

▸ CÓMO SE USA · guía paso a paso

Qué hace: toma una request real que vos definís y la repite con variantes: replay (¿se duplica una acción?), mutación de campos (¿acepta valores inválidos?), sustitución de IDs (¿accede a recursos ajenos?) y concurrencia (¿hay race conditions?). Compara cada respuesta contra el baseline y da veredictos que son hipótesis a verificar, no hallazgos.

Autorizá. Marcá la casilla de uso responsable. Sin eso, los botones quedan desactivados.
Endpoint. Usá un endpoint tuyo (staging, laboratorio o programa autorizado). Ejemplo: https://staging.tuapp.com/api/transferencias. Escribí la URL completa, incluido el path.
Headers. Una por línea. Si la API pide sesión, pegá Authorization: Bearer TU_TOKEN de una cuenta de prueba.
Body. JSON con los campos que querés probar, p. ej. {"monto": 1000, "id": 1}. También podés cargarlo desde un archivo .json con el botón de archivo.
Ruta. Vía Worker (recomendado) pasa la request por tu scanner-proxy, así no hay bloqueo de CORS y ves el status real. Directo lo envía desde el navegador; si el servidor no permite CORS, la respuesta queda ilegible.
Baseline primero. Pulsá ▶ Baseline. Si la columna Status muestra un número, la conexión funciona. Todas las demás pruebas se comparan contra esa fila.
Pruebas. Replay: N copias de la misma request. Mutación: prueba 12 valores inválidos por campo. IDs: prueba IDs +1, −1, 0 y 1 (usá dos cuentas tuyas para confirmar acceso cruzado). Concurrencia: N requests simultáneas. Activá "ráfaga" para que sean en paralelo.
Verificá. Cada veredicto dice "candidato a verificar". Confirmá a mano con la respuesta cruda o con el export cURL en Burp.

Demo rápida: botón ⚡ Cargar demo. Usa httpbin.org, un servicio público de pruebas que devuelve lo que enviás. Sirve para ver el flujo sin tocar nada tuyo.

Desde GASR: el botón ⇡ Enviar a NEXUS Active toma el objetivo del buscador y lo deja como https://objetivo/. No ejecuta nada; completá el path y autorizá.

① Request

Endpoints importados desde NEXUS Flow Reverse (elegí uno)

Método

URL del endpoint

Headers (uno por línea — Clave: Valor)

Body (JSON)

Ruta de envío

📂 Cargar body desde archivo

② Plan de pruebas

Replay/Concurrencia N: ráfaga (paralelo)

ℹ Si el target restringe CORS, el navegador no podrá leer la respuesta — usá el export cURL para reposicionar el plan en Burp o terminal.

Listo. 1) Pegá la URL del endpoint de prueba. 2) Marcá la autorización arriba. 3) Elegí una prueba.

▚ consola de resultados0 pruebas

#	Categoría	Variante	Status	Latencia	Tamaño	Δ vs baseline
Sin pruebas todavía — configurá la request, confirmá autorización y ejecutá el baseline.

16 — Global Asset Recon

🛰 Superficie de ataque global · inteligencia de activos

GLOBAL ASSET RECON // Netlas · LeakIX · Censys · Shodan

Buscador de infraestructura global sobre datos públicos ya indexados. Consultá un dominio o IP contra varios motores de inteligencia de activos en paralelo — puertos, ASN, geolocalización, banners, certificados, CVEs y servicios mal configurados — enrutado por tu Cloudflare Worker (claves protegidas en el backend).

PAÍS FILTRO PANELES

▸ CÓMO BUSCAR · paneles, puertos y filtros

Base: CL = hosts expuestos en Chile. Sin filtro devuelve todo lo indexado, así que conviene acotar.
Filtro de puerto: CL port:3306 busca MySQL expuesto. Los chips de FILTRO reemplazan el filtro del mismo tipo.
Varios filtros: se separan con espacio, p. ej. CL port:9200 port:5601.
Paneles típicos: Kibana 5601, Grafana 3000, Elastic 9200, Jenkins 8080, web/paneles 80 y 443. Un panel encontrado no es una invitación: solo analizá lo que sea tuyo o esté autorizado.
Rojo = riesgo: puertos de bases de datos, RDP, Docker, Redis y similares se marcan en rojo en las tarjetas.
Sin resultados: probá otro país, quitá filtros, o revisá en el JSON crudo de cada tarjeta. Censys, FOFA y Hunter necesitan key en el Worker.

en espera

THREAT ASSESSMENT

0IPs únicas

0puertos

0puertos de riesgo

0CVEs

0fugas

SCORE

—

Ingresá un objetivo y pulsá ADQUIRIR — los motores responden en paralelo, cada tarjeta se renderiza apenas llega y el log registra cada evento.

ℹ Recon pasivo sobre datos públicos ya indexados por terceros. Las consultas se enrutan por tu Worker para evitar CORS y mantener las claves fuera del cliente. Si una fuente falla o da timeout, el resto sigue. El threat score es una heurística para priorizar revisión manual, no un veredicto.

17 — Mail Security Audit

✉ mail reaper v3 — spoofing defense · SPF/DMARC/DKIM/MTA-STS/TLS-RPT/BIMI por DoH (13 vectores) · misalignment · display-name spoofing · homoglyphs · reply-to mismatch · CRLF saneada — ⚠ SIMULACIÓN EDUCATIVA: cero SMTP, no se envía NADA

// simulá el mail de spoofing — el REAPER consulta la política REAL del dominio (SPF/DMARC/DKIM por DNS) y dictamina si el spoof ENTREGA, CUARENTENA o BLOQUEA

// vista previa de cabeceras acá

VECTOR	EVIDENCIA	IMPACTO	VEREDICTO

☠ phishing simulator — 28 plantillas de ataques reales documentadas (BEC · quishing QR · sextorsión · gift card · factura · helpdesk · WhatsApp · paneles admin: cPanel · phpMyAdmin · WordPress · MikroTik · VPN · Entra · Workspace · NAS) · cada bandera roja desarmada y explicada · un clic lo manda al MOTOR de análisis — ⚠ ENTRENAMIENTO: los dominios no existen, los links no son clicables, el SIMULATOR por sí solo no envía NADA — el envío real es OPT-IN con REAPER SEND (API propia + autorización escrita, abajo)

// elegí una plantilla arriba — el SIMULATOR desarma el mail attack real y te enseña CADA bandera roja que un phisher usa

✏ PLANTILLA EDITABLE — modificá la plantilla en vivo y mirá cómo cambia el mail renderizado (entrenamiento: así se construye un phishing, y así se detecta)

📤 REAPER SEND — envío REAL de la simulación a UNA casilla AUTORIZADA vía TU Cloudflare Worker · contrato: POST {key,to,from,subject,body} → JSON {ok:true} · tope 3 envíos/día

⚠ SOLO targets AUTORIZADOS por escrito — usar esto contra una casilla ajena sin autorización es DELITO en Chile (Ley 19.223, arts. 2-4: intrusión informática). Máximo 3 envíos por día por navegador. Todo envío queda REGISTRADO (auditoría con fecha y destinatario).

DECLARO que el destinatario AUTORIZÓ por escrito recibir esta simulación de phishing

BANDERA ROJA	POR QUÉ ES SEÑAL	CÓMO DETECTARLO TÚ

18 — SPHINX RCE Engine v2.1

tudelasec ~/modulos ☠ man sphinx

Command injection + SSTI con confirmación 3/3 verbatim. 18 separadores × 3 contextos (plain/dq-break/sq-break) + TAMPER FORGE ×8 para WAFs + OS fingerprint ×6 read-only + SSTI ×9 sintaxis (probe = multiplicación única: CONFIRMADO solo si el PRODUCTO aparece y la expresión cruda NO) + time-based honesto con baseline + JSON-API probe. Guard anti-reflejo en 3 formas: REFLEJA ≠ ejecución. CERO DAÑO: solo echo de markers + recon read-only.

ClaseCommand Injection + SSTI

Separadores×18 (incl. CRLF cmd /c y b64-decode)

Contextosplain / dq-break / sq-break

SSTI×9 motores de plantilla

OS recon×6 fingerprints (whoami, id, uname, %OS%…)

Time-based×7 con diferencial benigno

Forge×8 tampers anti-WAF

Confirmación3/3 verbatim + guard anti-reflejo ×3 formas

QUÉ HACE

Command injection de verdad: 18 separadores (punto y coma, pipe, ampamp, backtick, caret-amp ^&, pre-encoded %3B/%26&%26/%7C/%0A para double-decoders, b64-decode echo base64 -d sh, CRLF "recho"+M para cmd /c de Windows) × 3 contextos (plain, dq-break, sq-break). El GUARD ANTI-REFLEJO revisa el input en TRES formas (crudo + urlencoded + plus-encoded): una página 404 que muestra la URL refleja el marker CODIFICADO y eso NO es RCE. SSTI ×9 motores (Jinja/Twig/Liquid, Freemarker/Mako, ERB/EJS, Ruby EL, Django, Velocity, Smarty, Thymeleaf) con multiplicación ÚNICA por corrida: CONFIRMADO solo si el PRODUCTO aparece en el cuerpo Y la expresión cruda NO — evaluada ≠ reflejada.

CÓMO SE EXPLOTA

☠ RCE CONFIRMADO = el marker aparece PELADO en el cuerpo, SIN la cadena "echo MARK" — severidad CRITICAL con el separador ganador documentado.
P4 OS FINGERPRINT (read-only): whoami / id / hostname / uname -a / ver / echo %OS% → diferencial Windows_NT = sabés el SO del servidor para el reporte.
P5 SSTI: el motor de plantillas que cantó te da el gadget exacto a explotar (Jinja ≠ Smarty ≠ Thymeleaf).
P2.5 TAMPER FORGE ×8 (quote-split, brace-expansion {echo,M}, comment-split…) SOLO si el WAF frenó el paso 2.
P6 TIME-BASED como último recurso honesto: delay ≥ baseline+4000ms 3/3 + diferencial benigno. Sin diferencial = falso positivo de latencia.
JSON-API PROBE: POST {"q":";echo MARK"} con Content-Type application/json — la clase que casi ningún scanner prueba.

⚖ HONESTIDAD BRUTAL: REFLEJA ≠ ejecución — jamás se reporta. CERO DAÑO: solo echo de markers + recon read-only (whoami/id/%OS%), cero escritura, cero descargas, cero reverse shells.

GATE — confirmo que el target es mío / lab / scope firmado. Sin GATE no hay disparo.

FASE	VECTOR	SONDA	STATUS	EVIDENCIA	VEREDICTO

Scopes: tudelasec_scopes (wlAddScope / panel SCOPES del Engine Bay) · perfil: tudelasec_cmd_profile · bus: SPHINX·RCE · export: spx_cmd_<host>.json · veredictos: ☠ RCE CONFIRMADO / ☠ SSTI CONFIRMADO / ⚠ RCE BLIND (time-based) / PROBABLE / NO RCE.

19 — CHIMERA SSRF Engine v1.5

tudelasec ~/modulos ☠ man chimera

SSRF con 3 cabezas en modo ULTIMA: canary error-oracle (el server delata su propio fetch con su mensaje de DNS — blind OOB sin collaborator) · loopback battery ×21 formas ×20 puertos (incluye 127/8-block 127.255.255.254 y IPv6-any [::] — un filtro que valide strings jamás los frena) con banners internos ×21 (Actuator, Redis, Consul, Docker Engine API, Kubelet, Elasticsearch, Grafana, Kubernetes API, Prometheus, etcd, RabbitMQ, Docker Registry, Jupyter, MinIO, Portainer, Werkzeug Debug (5555 — debug console = RCE), WebLogic Admin (7001), Tomcat Manager (8443 TLS)…) + hosts de contenedor (host.docker.internal, kubernetes.default.svc) — los banners cluster-critical (Docker API, Kubelet, Kubernetes API, etcd, Registry, Portainer, MinIO, Jupyter, Actuator, Werkzeug Debug, WebLogic Admin) se reportan CRITICAL: superficie de toma de control del clúster · cloud metadata MULTI-CLOUD ×10 read-only: AWS + AWS-IPv6 (fd00:ec2::254) + GCP + Azure + Alibaba + DigitalOcean + OpenStack + Oracle (Bearer Oracle) + Hetzner, headers correctos por cloud, cero dump de credenciales IAM + IMDSv2 RECON (token endpoint PUT-only detectado = metadata viva tras el bloqueo v1, chaining NO ejecutado) + EGRESS PROBE (example.com responde contenido → el fetcher sale a internet completo: SSRF de ida Y vuelta, no solo intranet) + REDIRECT PIVOT ×10 (open-redirect del propio sitio como trampolín hacia metadata/Actuator/Docker API/Kubelet/Kubernetes API/etcd/Docker Registry/Jupyter/WebLogic/Prometheus — SIREN synergy) + veredicto CHAIN LETHAL cuando metadata + banners internos confirman en la MISMA app (el SSRF es puerta a TODO el entorno) + PATH vector (SSRF de path-base /go/<url> además de param) + headers bypass ×4 + dict ×100 params + schemes file/dict read-only (+ /etc/passwd, /proc/version, /etc/issue) + confusion bypass ×14 wrappers (decimal/hex/hex-zero-pad/IPv6-mapped/v6-hex/userinfo/fragment/octal/hex-octets/mixed-hex-dec/nip.io/trailing-dot/dominio-userinfo/decimal-con-dot) + timing differential PROBABLE. Confirmación 3/3 · PROBABLE ≠ CONFIRMADO · REFLEJA ≠ fetch · gopher WRITE jamás.

ClaseSSRF — 3 cabezas

Cabeza 1canary error-oracle (OOB sin collaborator)

Cabeza 2loopback ×21 formas ×20 puertos · banners ×21

Cabeza 3cloud metadata ×10 clouds (headers correctos)

Egressprobe de salida a internet completa

Bypassconfusion ×14 wrappers + pivots ×10

Severidadbanners cluster-critical = CRITICAL

VeredictoCHAIN LETHAL (metadata + banners)

Perfiltudelasec_ssrf_profile

QUÉ HACE

SSRF con 3 cabezas de CERBERUS: (1) CANARY ERROR-ORACLE — el server intenta resolver el canary único de la corrida y su PROPIO mensaje de error de DNS delata el fetch: OOB sin collaborator; (2) LOOPBACK BATTERY ×21 formas (decimal, hex, octal, IPv6-mapped, nip.io, 127/8-block, hosts de contenedor…) × 20 puertos internos con banners (Spring Actuator, Docker Engine API, Kubelet, Kubernetes API, etcd, Prometheus, Redis, Grafana, Elasticsearch, Jupyter, MinIO, Portainer, Werkzeug Debug 5555, WebLogic Admin 7001, Tomcat Manager 8443…); (3) CLOUD METADATA ×10 (AWS + AWS-IPv6 fd00:ec2::254, GCP, Azure, Alibaba, DigitalOcean, OpenStack, Oracle, Hetzner) con los headers que cada cloud exige.

CÓMO SE EXPLOTA

EGRESS PROBE: distingue SSRF enjaulado (intranet-only) de uno con SALIDA completa a internet — el segundo vale mucho más (exfil, segunda etapa, C2 fetch).
CONFUSION ×14: decimal, hex, hex-zero-pad, IPv6-mapped, userinfo@, fragment#, octal, mixed, nip.io, trailing-dot, dominio-userinfo… atraviesan blocklists que matchean strings.
REDIRECT PIVOT ×10: si TODO lo directo está bloqueado, arma cadenas con un open-redirect del propio sitio (SIREN synergy) — el blocklist valida el PRIMER salto, no el Location.
IMDSv2 RECON: 405 del token endpoint = metadata viva tras el bloqueo v1 — chaining detectado, NO ejecutado.
SCHEME PROBE: file:///etc/passwd, /proc/version, dict:// INFO — read-only, gopher WRITE jamás.
VEREDICTOS: cloud metadata (CRITICAL) · scheme smuggling (CRITICAL) · servicio interno (HIGH, banners cluster-critical → CRITICAL) · blind error-oracle (HIGH) · CHAIN LETHAL cuando metadata + banners confirman en la MISMA app — el SSRF es puerta a TODO el entorno.

⚖ CERO DAÑO: cero dump de credenciales IAM (solo el root del metadata), file/dict read-only, secrets jamás. Timing = PROBABLE, nunca CONFIRMADO.

GATE — confirmo que el target es mío / lab / scope firmado. Sin GATE no hay disparo.

FASE	VECTOR	SONDA	STATUS	EVIDENCIA	VEREDICTO

Scopes: tudelasec_scopes (wlAddScope / panel SCOPES del Engine Bay) · perfil: tudelasec_ssrf_profile · bus: CHIMERA·SSRF · export: chm_ssrf_<host>.json · veredictos: ☠ SSRF CONFIRMADO cloud metadata (CRITICAL) / ☠ scheme smuggling (CRITICAL) / ☠ servicio interno expuesto (HIGH) / ⚠ BLIND error-oracle (HIGH) / PROBABLE timing / NO SSRF.

20 — MAMMOTH WordPress Engine v4.0

Motor de RECONOCIMIENTO + EXPLOTACIÓN exclusivo WordPress. Un solo input de URL y el mamut traza TODO el mapa del sitio: versión del core (4 fuentes cruzadas), theme, plugins con versiones (readme.txt), usuarios (author leak + REST), xmlrpc, archivos sensibles, y matchea todo contra la matriz CVE del momento — incluido el chain WP2SHELL del core. Veredictos honestos version-based; el chain NUNCA se ejecuta.

tudelasec ~/modulos ☠ man mammoth

Recon + explotación WordPress TOTAL: el mamut arma el mapa completo del sitio y lo matchea contra la matriz CVE del momento — lo que el atacante necesita para elegir su arma en 5 minutos.

Arsenal225 rutas sensibles · 271 plugins · 69 themes · 28 REST probes · author enum ×25 · 16 CVEs core + 41 CVEs de plugins → 675 VECTORES WordPress

FasesP0 baseline WP + soft-404 · P1 recon tecnología · P2 arsenal de archivos · P3 enum plugins/themes · P4 users + xmlrpc · P5 REST surface · P6 matriz CVE · veredicto + bus + export

Investigación26 fuentes web 2025-2026 + research v3/v4 (Wordfence, BleepingComputer, Patchstack, SecurityOnline): WP2SHELL (CVE-2026-60137 + CVE-2026-63030), LiteSpeed XSS, Ally SQLi, WPForms upload, object injections OttoKit/Site Reviews/Events Calendar/Bookly, WooCommerce Store API, Bricks RCE, POST SMTP, Duplicator, GutenKit/Hunk Companion, King Addons, ACF Extended, Sneeit, Service Finder · research v4: Kirki, Burst Statistics, Forminator, User Profile Builder, Ninja Forms Uploads, Frontend Admin, ProSolution, AI Engine (quinta CVE), themes Motors y Alone

Perfil y bustudelasec_wp_profile (memoria por host) · publica a tudelasec_findings_bus como MAMMOTH·WP · export mmt_wp_<host>.json · transporte scanner-proxy v11 (worker oculto, override: localStorage tudelasec_worker)

Changelog v4.0Muchísimos más vectores, más severa (22-oct-2026): arsenal 500 → 675 vectores · research v4: Kirki CVE-2026-8206 priv-esc unauth (500k installs), Burst Statistics CVE-2026-8181 auth bypass 9.8 (200k), Forminator CVE-2026-15748 unauth upload → RCE (600k), User Profile Builder CVE-2026-15826 login como user ID 1, Ninja Forms File Upload CVE-2026-0740 upload + path traversal, Frontend Admin CVE-2026-18432 takeover, ProSolution CVE-2026-16098 (nonce público), AI Engine CVE-2025-7847 (quinta CVE del plugin), themes Motors CVE-2025-4322 (password reset de cualquier usuario) y Alone CVE-2025-5394 (120k+ ataques) · wp-config comprimido (.zip/.gz/.7z/.rar), .ssh/id_rsa + authorized_keys + .bash_history (CRITICAL), .git profundo (FETCH_HEAD/COMMIT_EDITMSG/refs/objects), backups ×16 (website.zip, public_html.zip, tar.xz, db.zip…), carpetas ai1wm/backupbuddy/infinitewp, access.log/php_errors.log, php.ini/config.inc.php · REST wc/v3 admin + users/me + context=edit + media ×100 · author enum ×20 → ×25 · veredicto EXPOSICIÓN TOTAL con 5+ CRITICAL (mapa completo de explotación) · todo v2/v3 se conserva: FIX p6 themes + honestidad wp2shell.

🧠 CÓMO SE EXPLOTA (lo que el atacante haría con este mapa)

Fingerprint: la versión del core sale del meta generator, readme.html, el feed rss2 o los assets (?ver=) — con la versión, la matriz dice si el chain WP2SHELL aplica (SQLi en author__not_in + route-confusion del REST batch endpoint → RCE pre-auth SIN plugins).
Enum de plugins: cada readme.txt entrega el Stable tag; contra la matriz CVE salen los N-days del momento (LiteSpeed <6.5.1 stored XSS masiva, WPForms file upload, OttoKit object injection...) — el atacante solo busca el exploit-db del CVE que aparece y lo dispara.
Usuarios: /?author=1..25 filtra usernames por el Location header y /wp-json/wp/v2/users los lista — usernames + xmlrpc multicall (×1.999 intentos por request) = bruteforce amplificado sin rate-limit por request.
Archivos: wp-config.php.bak con DB_PASSWORD, debug.log con warnings y session cookies, dumps SQL, .git expuesto, uploads con directory listing — credenciales y código directo.
Superficies: xmlrpc pingback (SSRF/DDoS amplificado), oembed proxy (SSRF), registro abierto (wp-signup/registrationform) — puertas para la segunda etapa.

⚖ HONESTIDAD: MAMMOTH detecta y reporta — NO ejecuta el chain WP2SHELL, NO prueba credenciales (cero logins, cero bruteforce), NO dumpea el wp-config (solo la firma DB_PASSWORD, el contenido jamás se muestra), y los veredictos "VULNERABLE POR VERSIÓN" se afirman por rango de versión + presencia de endpoint, no por explotación. Un sitio no-WordPress se reporta como tal y el motor para. Todo es GET read-only: cero daño.

⚖ GATE: autorizo el reconocimiento de este target (es mío o tengo autorización escrita). El host debe estar en tudelasec_scopes (consola: wlAddScope("dominio.cl")).

MAMMOTH v4.0 TUSK ULTIMA · módulo 44 · TudelaSec RED OPS · IDs mmt* · perfil tudelasec_wp_profile · bus MAMMOTH·WP · puentes window.tudelaSecMammothData / tudelaSecMammothRun · CERO DAÑO: GET read-only, sin logins, sin chain, credenciales redactadas.

50 — Acceso operativo

Instancia remota persistente sobre Alpine Linux 3.20 ejecutando el arsenal completo de auditoría y Bug Bounty: Subfinder, Katana, Nuclei, FFUF, SQLMap y diccionarios SecLists. La sesión corre en un contenedor Docker tudelasec/hunter-node con volumen persistente en ~/data, expuesta por un PTY real vía ttyd.

Nodo

VALKYRIE-08

Sistema base

Alpine 3.20 · x86_64

Transporte

HTTPS · ttyd PTY

Persistencia

volumen ~/data

root@tudelasec:~ // VALKYRIE-CLI · Alpine PTY Active

[t+0.000] init valkyrie-cli :: node-08

[t+0.114] tls handshake ...................... ok

[t+0.238] alpine 3.20 · x86_64 · pty/1.4

[t+0.351] mount ~/data ....................... rw

[t+0.470] arsenal: subfinder katana nuclei ffuf sqlmap

[t+0.588] auth chain: basic → shell → root

[t+0.702] attach ttyd socket ................ waiting

▊

Nodo remoto listo

GitHub Codespaces normalmente bloquea el embebido (su login no permite iframes), por eso lo más fiable es abrir la terminal en una pestaña aparte. Si el puerto está en Visibility: Public puedes intentar cargarla aquí mismo.

auth web tudela / tudelasec2026 sudo pass tudela123 home ~/data esperando conexión

// Nodo de laboratorio personal · uso exclusivamente autorizado sobre objetivos propios o con permiso escrito. La sesión es persistente: lo que escribas en ~/data queda entre reconexiones.

! Si el iframe queda en negro o muestra el login de GitHub, el puerto del Codespace no está público (Ports → Visibility: Public) o el nodo está detenido. Usa ↗ para abrirlo en una pestaña nueva.

21 — Aggressive Crawler

☠ Ve las entrañas de cualquier web

Crawler agresivo v3 OMEGA estilo Katana: control soft-404 con firma del propio target (mata falsos vivos de SPA), 68 rutas weaponized, hunt de endpoints dentro del JS (inline, externos, source maps y websockets), IDOR por mutación de IDs, forms con passwords, emails, hosts hermanos y Wayback 1200 — con GATE + SCOPES, bus de hallazgos y perfil con memoria. Abrí CÓMO FUNCIONA para la ficha completa.

tudelasec ~/modulos ☠ man crawler

ClaseCrawler / Attack Surface

Controlsoft-404 con firma del propio target

Weapons68 rutas calientes en chunks de 12

JS Huntinline + externos + source maps + wss

IDORmutación de IDs REST vecinos

Memoryperfil siembra hasta 40 endpoints

BusCRAWLER·RECON con secrets REDACTADOS

Pooladaptativo 24→6→3 + botón DETENER

Exports.txt completo + .json

Perfiltudelasec_crawler_profile

QUÉ HACE (v3 OMEGA sobre el v1)

Reconstruye la superficie de ataque real: sigue links y forms del mismo host, parsea cada JS (externo E inline) para extraer endpoints que un crawler HTML jamás ve (fetch() ocultos, websockets, strings relativas), baja SOURCE MAPS para recuperar las fuentes del bundle (node_modules filtrado), caza SECRETS en el JS (AWS keys, tokens — evidencia REDACTADA), caza emails y archivos (pdf/sql/zip se LISTAN, no se crawlean), extrae params de inputs, y arma TEMPLATES de bases REST (:id → probá mutaciones IDOR en los vecinos numéricos). El CONTROL SOFT-404 pide una ruta random del propio target, aprende la firma de su "no existe" y mata los falsos vivos de las SPA.

CÓMO SE USA — PASO A PASO

Scope + Gate → URL + profundidad → CRAW AGRESIVO.
Vivos: solo los que pasan el control soft-404 son reales — los 68 WEAPONS (.env, backups, admin, api, config…) se validan uno a uno.
JS Endpoints: la sección más valiosa — APIs que no están en ningún link visible. Cada endpoint hermana (api.target.test) también entra.
IDOR: los /api/v1/users/1 se mutan a /2 /3 — candidatos directos de acceso no autorizado.
Hosts hermanos: mismo dominio raíz → tiraselos a KRAKEN. Wayback 1200: rutas históricas que el sitio actual ya no linkea pero siguen vivas.
Perfil con memoria: la próxima corrida en el mismo host arranca sembrada con los endpoints ya conocidos.

CÓMO SE EXPLOTA

Cada endpoint JS encontrado es munición para los demás motores: pegá la URL completa en VENOM (params), BASILISK (IDs y REST), SPHINX (q/cmd), SIREN (return_url) o CHIMERA (url/fetch/webhook). Los secrets redactados te dicen QUÉ hay y DÓNDE sin exponer la clave — verificación manual. El bus publica las rutas armadas vivas como CRAWLER·RECON para el consolidado del War Room.

⚖ HONESTIDAD: solo GET read-only, cero dump, secrets REDACTADOS keep-9 (nunca la clave completa en evidencia). Los "vivos" pasaron el control del propio target.

GATE — confirmo que el target es mío / lab / scope firmado. Sin GATE + SCOPES el crawler no arranca.

🕸

example.com

22 — Aggressive Recon

Motor agresivo multi-fuente: 16 fuentes OSINT (crt.sh, HackerTarget, OTX, Wayback, Anubis, CertSpotter, urlscan, RapidDNS y más) + fuerza bruta activa con DNS-over-HTTPS round-robin + probing HTTP + detección de CNAME takeover con verificación real de body.

KRAKEN

Motor Agresivo de Descubrimiento de Subdominios // Multi-Fuente + Bruteforce Activo + Takeover Detection

🐙 MODO AGRESIVO — OSINT + RESOLUCIÓN DNS EN VIVO + PROBING HTTP + CNAME TAKEOVER

TARGET ACQUISITION

0Únicos

0Alive

0HTTP OK

0Takeover

0Fuentes

Solo para targets con autorización explícita

Filtro estado:

// KRAKEN v1.0 AGGRESSIVE — esperando target. El Kraken despierta cuando tú lo ordenas.

Formato de salida compatible: httpx · nuclei · katana · subfinder

23 — Content Discovery

Fuzzer de contenido estructurado en 5 categorías tácticas independientes. Calibra un baseline de soft-404 antes de cada corrida y descarta automáticamente cualquier respuesta que coincida — pausable y cancelable en tiempo real, sin saturar el navegador.

🐺

📚 Wordlists disponibles para este target:

— rutas Concurrencia Delay (ms)

0% 0 2xx · 0 3xx · 0 403

Listo — elegí una categoría y un target para empezar.

Status	Path	Size	RTT
Sin hallazgos todavía.

24 — Malware Triage

Análisis estático de archivos sospechosos — nunca ejecuta nada. Hashes, tipo real por magic bytes, entropía, strings, indicadores de red, y para ejecutables Windows, estructura PE completa con imports.

⚠ Esto NO es un sandbox ni un antivirus. Es triaje: te dice por dónde empezar a mirar, no un veredicto. Un score bajo no significa que el archivo sea seguro — un score alto no confirma que sea malware. El archivo nunca sale de tu navegador: todo el análisis corre en tu máquina.

🐍

Arrastrá un archivo acá, o hacé click para elegirlo

Máximo 100 MB — se analiza localmente, nunca se sube a ningún lado

25 — Android APK Audit

Auditoría estática local de APK, AAB y contenedores ZIP: manifest, DEX, librerías nativas, IOC/secretos, firma, permisos, riesgo y reportes JSON/SARIF/SBOM/PDF. El archivo no se ejecuta ni se transmite; analiza únicamente archivos propios o con autorización.

LIBERTY APK AUDITOR

v6.5 · MÓDULO 48 · 47 NÚCLEOS · 2 MODOS · SPRINT 6/6 · BUG BOUNTY GRADE

AUDITORÍA ESTÁTICA PROFUNDA DE APK — 33 NÚCLEOS · 2 MODOS (AUDITOR ↔ OPEN TESTING): MANIFEST · IOC/SECRETOS · DEEP SCAN · ARSC · ELF · DEX-HEADER · CONFIG · WEB-JS · COMPORTAMIENTO · CENSO · CERT-DEEP · SDK · FIRMA · SUPERFICIE · DEEP LINKS · C2 · EXPLOTABILIDAD · REPACKAGING · CRIPTO · STORAGE · SESIÓN · PIVOTE · KEYSTORES · CARGA DINÁMICA · FRIDA · CADENAS · OWASP MASVS · FUERZA BRUTA · NSC/PINNING · CRIPTO V2 · STORAGE V2 · WEBVIEW V2 · NATIVO V2 (ELF/PACKERS/ANTI-ANÁLISIS) · BACKEND (IOCs/FIREBASE/YARA) — ZIP NATIVO · AXML BINARIO · TRIAGE CRÍTICO

🔒 100% LOCAL — CERO BYTES SALEN DE TU NAVEGADOR ⚠ USO AUTORIZADO: AUDITORÍA · DFIR · INVESTIGACIÓN 🐘 TUDELASEC RED OPS · MATÍAS RAMÍREZ TUDELA

▸ Gate de Autorización

Declaro que soy el propietario de este archivo o cuento con autorización explícita para analizarlo (auditoría de seguridad, respuesta a incidentes, triaje de malware o investigación académica). El archivo se procesa enteramente en mi dispositivo: no se envía nada a ningún servidor. Sin esta declaración el motor no arranca — estándar TudelaSec: scopes + gate en TODO módulo.

▸ Zona de Triaje (Drag & Drop)

☣

ARRASTRA TU APK AQUÍ — O TOCA PARA SELECCIONAR

Acepta .apk y cualquier contenedor ZIP. Peso máximo recomendado: 300 MB. Nada sale de tu dispositivo.

Escanear assets/ y res/raw (IOC en archivos) Strings imprimibles en binarios (.so/.arsc) Mín. largo string: Modo agresivo Analizar entradas >50MB

▸ Hallazgos del Manifest

▸ Permisos

▸ Componentes Expuestos

▸ AndroidManifest.xml Reconstruido

Decodificado desde el AXML binario (string pool + chunks) — sin librerías externas. El XML es fiel al árbol original con indentación reconstruida.

▸ Explorador del Contenedor ZIP

Previsualización universal: imágenes, audio (player), video, PDF, fuentes, ZIP/APK anidados (listado inline), .so con análisis ELF (ABI/arquitectura/UPX/JNI) y texto/hex para el resto. Cada archivo se puede ⬇ descargar o 🔗 abrir en pestaña nueva. Límite de preview: 8 MB por archivo.

▸ Motor de IOC & Reconocimiento

Honestidad TudelaSec: los hallazgos heurísticos se marcan como INDICATIVO. Un patrón encontrado no prueba explotación ni actividad maliciosa: valida contexto antes de concluir. Los hash/fingerprints y datos de manifest son EXACTOS (medidos, no asumidos).

▸ Pool de Strings DEX

▸ Análisis Profundo v2 — NETWORK · CRYPTO · STORAGE · WEBVIEW

▸ Riesgos de API (heurística sobre método-refs/classes DEX)

▸ Inventario de Clases & Ofuscación

▸ Anomalías del Contenedor ZIP

▸ Entropía por Archivo

▸ Payloads Ocultos (magic bytes)

▸ Índice de Explotabilidad

▸ Rutas de Ataque Recomendadas

▸ Superficie de Ataque (componentes exportados)

▸ Deep Links & Scheme Hijacking

▸ Secretos Explotables (playbook por tipo)

▸ Mapa de Infraestructura (C2 / drops / DNS dinámico)

▸ Ataques de Configuración (manifest)

▸ Ataques WebView (JS bridge · file:// · MITM)

▸ Canales de Exfiltración

▸ Repackaging & Hardening Faltante

Honestidad TudelaSec (open testing): los vectores y comandos son INDICATIVOS — escenarios de ataque derivados de análisis estático, para VERIFICAR en un entorno de testing que controles. Nada de esto afirma explotación: confirmá cada uno antes de reportarlo. Los comandos se copian al portapapeles con un clic.

▸ Arsenal Open Testing — Núcleos 24-33

▸ Cripto Rota (claves embebidas · ECB · MD5/SHA1)

▸ Almacenamiento Inseguro (prefs mundo · SD · backups)

▸ Sesión & Auth (tokens eternos · sesiones no invalidadas)

▸ Pivote Interno (RFC1918 · AWS/GCP metadata)

▸ Key Material (keystores · certificados PKCS12 · bundles de firma)

▸ Carga Dinámica de Código (DexClassLoader · plugins)

▸ Superficie de Fuerza Bruta (logins sin rate-limit detectable)

▸ Playbook Frida (hooks listos para runtime)

▸ Cadenas de Ataque (vectores compuestos)

▸ Mapa OWASP MASVS (cobertura del auditor)

▸ Esquemas de Firma

Detección de APK Signing Block v2/v3 por su magia binaria (APK Sig Block 42) + presencia de esquema v1 (META-INF). Firma v1 sola = verificable solo por herramientas legacy y spoofable en installs con targetSdk moderno → recomendar v2+.

▸ Certificados (PKCS#7 → X.509)

▸ Hashes del APK

SHA-256 / SHA-1 vía crypto.subtle · MD5 implementado en JS puro (subtle no lo soporta). Hash del APK completo y de cada .dex.

▸ Perfil de Comportamiento

Perfil heurístico armado con las APIs riesgosas detectadas en el pool DEX. Requiere ≥2 señales del mismo patrón para declarar un comportamiento. INDICATIVO — validá siempre con dinámica.

▸ SDKs & Librerías Identificadas

▸ Censo de Archivos

▸ Forense DEX (header 0x38–0x60)

▸ ELF Nativo (lib/*.so)

▸ Bibliotecas Nativas (lib/)

Clasificación por ABI (arm64-v8a · armeabi-v7a · x86 · x86_64 · otros) + detección de packers/protectores conocidos por nombre de stub (APKiD-style: jiagu, bangcle/secshell, tencent_legu, ijiami, appsealing, dexprotector, naga…).

▸ Índice de Protección / Empaquetado

▸ Informe Estructurado

El botón COPIAR HALLAZGOS AL BUS publica los hallazgos clave en tudelasec_findings_bus (localStorage) con el formato estándar {source, type, verdict, evidence, ts} para integración con el Engine Bay / War Room del index combo.

26 - WEB SCANNER // MODO LEVIATAN v9.0

💀 DESATA EL LEVIATÁN 💀

MODO LEVIATÁN v9.0

Motor de auditoría ofensiva de AGRESIVIDAD ABSOLUTA. Ingresa una URL y el Leviatán v9.0 despliega 350 FASES REALES DE ANIQUILACIÓN TOTAL:

🩸 Ataques que va a sufrir tu target (ver las 350 fases en detalle) ▾

resolución DNS, transporte SSL/TLS, headers, CORS, adaptive wordlists + parameter mining, robots/sitemap, parámetros peligrosos, fingerprint, cookies (cookie injection, session fixation, JWT decode, cookie tossing, auth bypass), métodos HTTP agresivos (PUT/DELETE/PATCH/TRACE/CONNECT con payloads reales, method override, verb tampering, WebDAV), enumeración de subdominios, escaneo de puertos, mutation engine + OOB callbacks (interactsh), CRLF / Header Injection, NoSQL Injection, Prototype Pollution, HTTP Request Smuggling, Race Conditions, API Abuse / IDOR / Mass Assignment, XXE Injection, SSTI, LDAP Injection, XPath Injection, Host Header Injection, Insecure Deserialization, File Upload Abuse, WebSocket Abuse (CSWSH), OAuth/SSO Misconfiguration, LLM Prompt Injection, ReDoS, HTTP Parameter Pollution (HPP), DNS Rebinding, Source Map Exposure, Cloud Bucket Enumeration, Open Redirect, Path Traversal / LFI, Command Injection, JWT Analysis, SSRF Deep Scan, Subdomain Takeover, Cache Poisoning, WordPress, GraphQL, SQLi Blind, XSS DOM, CSRF, Session Hijacking, Business Logic Abuse, HTTP/2 Rapid Reset, Clickjacking, IPv6 Enum, Virtual Host Brute, Backup File Discovery, Config File Exposure, WAF Evasion, Container Escape, Kubernetes API, Docker Registry, .git/.svn/.hg Exposure, OOB/Blind Callbacks (interactsh, DNS exfil), Auth Context Engine (multi-rol, IDOR activo, Mass Assignment real), JWT Advanced (alg confusion, jku/x5u, kid traversal), OAuth/OIDC/SAML Abuse, MFA/OTP Bypass, HTTP/1.1 + HTTP/2 Smuggling real (CL.TE, TE.CL, single-packet race), Cloud Metadata SSRF (IMDSv1/v2, GCP, Azure), Kubernetes/Docker/CI-CD Attack Surface, Supply Chain (dependency confusion, secrets verificados), Parameter Mining (Arjun-style), Adaptive Wordlists + Mutation Engine, Headless Browser (DOM XSS real, postMessage, prototype pollution client-side), GraphQL Deep + gRPC + OpenAPI Abuse, WAF Fingerprint + Encoding Diferencial, Crypto Attacks (padding oracle, CBC bit-flip, hash length extension), Correlation Engine (48 cadenas de exploit), PoC Verificado No Destructivo, Proxy Rotation + Distributed Scanning, Evidence Capture + Compliance Mapping (OWASP/CWE/CVSS), SQLi 2nd Order + WAF Bypass, Mutation XSS (mXSS), Service Worker Exploitation, SSRF Internal Port Scan + Redis RCE, SSRF Cloud Takeover Chain, TOCTOU + DB Race Conditions, Deser Multi-lang (Java/.NET/PHP/Python), GraphQL Batching + Depth DoS, S3 Bucket Takeover + IAM Privesc + Lambda Abuse, API Gateway Bypass, Prompt Injection Chain + RAG Poisoning + Model Extraction, DNSSEC Zone Walk, Web Cache Deception + CDN Bypass, Password Reset ATO Chain + MFA Fatigue, HTTP/3 QUIC + WebRTC Leak, PostMessage + CORS Exploitation Chains, Content-Type + MIME Sniffing Confusion, WebDAV Deep + Git/SVN/Mercurial Exploitation, Cloudflare/Akamai/ModSecurity WAF Bypass, JA3/JA4 TLS Fingerprinting, Certificate Transparency + Wayback Machine + Shodan Correlation, CVE Matching + 0-Day Hunting, Host Header Poisoning Deep, Prototype Pollution Server-Side, HPP Deep, WebSocket CSWSH, gRPC/OpenAPI Abuse, DNS Rebinding Protection, K8s/Docker API Deep, LLM Prompt Injection + RAG Poisoning, Web Cache Deception, CVE Exploit Correlation (107 CVEs), análisis de contenido (207 patrones de secretos), GraphQL Alias Abuse, OAuth Redirect URI Hijacking, JWT RS256/HS256 Confusion, 2FA/OTP Race Condition, Password Reset Token Enumeration, API Rate Limit Bypass, CRLF Parameter Injection, Blind SSRF Error-based, Certificate Transparency Subdomain Enum, Cloud Metadata Deep (AWS/GCP/Azure), Container Runtime Detection, API Versioning Abuse, Web Cache Deception Deep, DNS Rebinding Bypass, Server-Side PP via JSON, GraphQL Mutation Abuse, HTTP/2 H2C Desync, CORS Credential Theft Chain, JWT Claim Manipulation, Session Puzzle Attack, IDOR Deep Enum, Business Logic Flow Bypass, API Parameter Pollution, Blind Command Injection (time-based), Second-order SQLi, Stored XSS, HTTP Method Override Bypass, API Key Enumeration, SAML Assertion Injection, Open Redirect→SSRF Chain, Path Traversal Encoding Bypass, NoSQLi via JSON, HTTP CL.TE Desync, HTTP/2 Single-Packet Race, GraphQL Introspection Alternatives, Cloud Bucket Misconfig Deep, Docker API Exposure, K8s API Exposure, Etcd/Redis/MongoDB/Elasticsearch/Memcached Exposure, Jenkins/GitLab/Consul/Spring Boot Actuator Deep, AWS IAM Role Enum, GCP Service Account Detection, Azure Managed Identity Detection, OAuth Token Theft, SAML XSW Attack, OpenID Connect Abuse, Password Reset Poisoning Chain, MFA Fatigue Attack, HTTP/3 QUIC Detection, WebRTC IP Leak, Service Worker Abuse, Web Cache Deception via Path, CDN Origin IP Discovery, WAF Bypass via Encoding, SQLi via JSON, XSS via SVG Upload, CSRF via WebSocket, Race Condition on Balance/Credits, IDOR via UUID Prediction, Mass Data Export Abuse, GraphQL Cost Analysis Bypass, Blind XSS Detection, SSRF via PDF Generators (Server-Side XSS), BaaS & IdP Exploitation (Firebase/Cognito/Supabase), GraphQL CSRF (Bypass de Preflight), Fat GET Cache Poisoning, Client-Side Dependency Hijacking, H2.TE/H2.CL Smuggling (Downgrade Attacks), SMTP Header Injection, Unicode Homoglyph WAF Bypass, Type Juggling/Magic Hash Auth Bypass, JSONP Callback Hijacking, Reflected File Download (RFD), Webshell/Backdoor Detection, WebSocket Compression Bomb, gRPC Reflection Abuse, S3 Object Versioning Exploitation, GraphQL Field Suggestion Leak, Cloud Storage Non-AWS Enum (R2/DO/B2/Wasabi), NTLM Relay/SMB/WinRM Exposure, Blind RCE Detection (Time-based + OOB), Auth Bypass Deep (Default Creds + Brute), Credential Stuffing + Password Spraying, Host Header Injection Deep (RCE + Cache Poison), Blind SSRF Advanced (DNS Rebinding + Protocol Smuggling), Mass Assignment → Privilege Escalation, Server-Side Prototype Pollution → RCE Chain, Log4Shell JNDI RCE (CVE-2021-44228), Spring4Shell RCE (CVE-2022-22965), Subdomain CNAME Takeover (50+ fingerprints), JWT Secret Brute-Force (100 secretos comunes), CSP Bypass / Missing CSP Detection, H2C Upgrade Smuggling (HTTP/2 Cleartext), WebSocket Origin Spoofing + Auth Bypass, ImageMagick/ExifTool RCE (ImageTragick + CVE-2021-22204), MOVEit Transfer CVE-2023-34362, Citrix NetScaler CVE-2023-4966, Fortinet FortiGate CVE-2024-21762, F5 BIG-IP CVE-2023-4622, Cloud IAM Exploitation (AWS STS/GCP/Azure), GraphQL Arbitrary File Read, Reverse Proxy Auth Bypass (Direct Origin Access), HTTP Request Smuggling CL.TE/TE.CL Real, SSTI Deep (Jinja2/Twig/Freemarker/Velocity/Smarty/Mako), NoSQL Injection Deep (MongoDB/Redis/CouchDB), XXE Injection Deep (SOAP/SVG/XML-RPC), SQL Injection Deep (Error/UNION/Blind/Time-based), XSS Deep (Reflected/Stored/DOM/Mutation/Framework Bypass), OAuth/OIDC Token Theft Deep (Auth Code/Implicit/PKCE Bypass), Path Traversal/LFI Deep (Encoding Bypass/Null Byte/PHP Filter), Command Injection Deep (Time-based/OOB/Filter Bypass), Race Condition Deep (TOCTOU/Balance/Coupon/Rate Limit), Final Destrozo Correlation Engine, heurísticas y reporte. DESTROZO ABSOLUTO. 350 FASES REALES. Agresividad absoluta. Prepárate para la aniquilación. 💀🔥

MODO LEVIATÁN v9.0 — AGRESIVIDAD ABSOLUTA ACTIVADA

⚡ 350 FASES REALES · HTTP REAL · ANIQUILACIÓN TOTAL

🎯

⚠️ Al desatar el Leviatán lanzarás 350 FASES REALES de ataque. Solo sobre targets con autorización explícita.

// TARGETS DE EJEMPLO: example.com testphp.vulnweb.com hackthebox.com juice-shop.io

☠ Proceso de Aniquilación (350 fases) ▾

⬛ LEVIATÁN CONSOLE v9.0 — LIVE OUTPUT ● LIVE 🔒 PANTALLA ACTIVA

Inicia un escaneo para ver hallazgos en vivo

📊 Resumen de Severidad

Critical

High

Medium

Low

✅ Hallazgos Auditados

🛡️
Inicia un escaneo para
ver los hallazgos en vivo

27 — Referencia

TARGET — Los comandos se autocompletarán

URL / IP

Ingresá tu target para autocompletar todos los comandos

root@dreamlabs:~# cat cheatsheet.txt

> nmap · comandos listos para copiar

28 — Casos reales

Crítico

P1 · Crítica

Managed Bug Bounty ADV-2025-011

Authentication Bypass via HTTP Header Injection

Elusión total de la capa de autenticación mediante inyección y manipulación de cabeceras HTTP en el gateway API, permitiendo invocar endpoints administrativos sin credenciales.

$3,500 USD

Optusapidev.optus.com.au

Crítico

P1 · Crítica

Public Bug Bounty ADV-2025-010

RCE via Unauthenticated Apache Axis AdminService

Exposición pública del endpoint /services/AdminService con credenciales maestras por defecto (admin:admin), permitiendo despliegue de servicios maliciosos y ejecución remota de comandos en producción.

$3,000 USD

Internet BrandsPublic Program

Crítico

P1 · Crítica

HackerOne ADV-2025-009

Public S3 Bucket — DB Credentials, Legal Docs & PII

Bucket AWS S3 con listado público que exponía backups de base de datos, contratos legales confidenciales e información personal identificable (PII) de usuarios.

$2,500 USD

Limeassets.lime.bike

Crítico

P1 · Crítica

Bugcrowd ADV-2024-002

Hardcoded OAuth client_secret in APK → Full API Takeover

Extracción mediante ingeniería inversa estática (Jadx) del secreto OAuth en texto claro dentro del APK, habilitando falsificación de tokens y acceso irrestricto a los servicios backend de domótica.

$2,000 USD

Xfinity HomeComcast

P2 · Alta

HackerOne ADV-2025-008

BOLA/IDOR on GraphQL — Order History Cross-Account

Ausencia de control de acceso en consultas GraphQL anidadas, permitiendo consultar historial de compras, montos facturados y direcciones de entrega de cualquier cliente modificando el ID de orden.

$1,500 USD

lululemonFintech/Retail

P2 · Alta

Bugcrowd ADV-2025-007

Cross-Tenant IDOR via p_l_id Parameter

Falla de aislamiento multitenant en el portal de clientes permitiendo visualizar, editar y tomar control de instancias de otros clientes empresariales alterando el parámetro de sesión p_l_id.

$1,200 USD

Internet BrandsMulti-tenant SaaS

P2 · Alta

HackerOne ADV-2025-006

Azure App Configuration Connection String Leak → DoS

Fuga de credenciales completas de Azure App Configuration en repositorios frontend, con permisos de escritura para alternar el "Maintenance Mode" y provocar denegación de servicio a nivel de aplicación.

$1,000 USD

Northwestern MutualFintech

P1 · Crítica

HackerOne ADV-2024-005

Firebase sin autenticación — Telemetría operativa expuesta

Base de datos Firebase mal configurada, accesible sin autenticación (Reporte #3693667). Lectura directa de telemetría operativa y configuración interna de sistemas de defensa.

Anduril IndustriesDefense Tech

P3 · Media

Bugcrowd ADV-2024-001

Subdomain Takeover via Dangling AWS CNAME

Registro DNS CNAME apuntando a recurso desaprovisionado en AWS, permitiendo reclamar el servicio para servir contenido arbitrario bajo el dominio verificado y secuestrar tráfico API.

$800 USD

CoinDeskrfiapi.coindesk.com

P3 · Media

Intigriti ADV-2025-005

Unauthenticated File Write & Storage Tampering via S3

Permisos de escritura excesivos y sin autenticar en el bucket del microservicio offer-finder, posibilitando sobrescritura de datos de promociones y archivos estáticos de la plataforma.

$800 USD

Just Eat TakeawayFoodtech

P3 · Media

HackerOne ADV-2025-004

Overly Permissive CORS Policy with Credentials Support

CORS con Access-Control-Allow-Credentials: true y reflejo dinámico del header Origin, permitiendo lectura de respuestas autenticadas y extracción cross-origin de datos sensibles de usuarios.

$500 USD

Ibottae.panda.ibops.net

Candidato · no verificado

Bugcrowd · NASA VDP Registro atribuido al investigador · sin aceptación pública afirmada

vis.globe.gov — patrón No-Op replace / flujo DOM (afirmación del autor)

Estado: esta tarjeta refleja una afirmación aportada por el autor de la página; no constituye verificación independiente, confirmación de NASA/Bugcrowd, aceptación, prioridad ni estado de remediación. Actualizar solo con evidencia verificable y autorización para publicar.

Alcance: el listado público del VDP menciona globe.gov; confirmar en la política vigente que el subdominio exacto y el tipo de prueba están cubiertos antes de cualquier actividad. No continuar si hay duda.

OPSEC / divulgación responsable: enviar detalles únicamente por el canal privado oficial; compartir reproducción mínima y necesaria; redactar cookies, tokens, PII y datos de terceros; no publicar código, payloads ni capturas sensibles. Respetar el plazo de no divulgación indicado por la política (90 días desde el envío, salvo coordinación).

NASA VDP · Bugcrowd Política VDP · NASA

NASA VDPvis.globe.gov
estado público: no corroborado

TudelaSec // Certification Operations · dossier activo

Una progresión táctica por especialidad y dificultad: 15 expedientes, desde fundamentos hasta operaciones expertas. Abre cada ficha para revisar requisitos, alcance, formato y entrenamiento recomendado.

15 credenciales en el tablero Tier 1 → Tier 4 Estado personal editable en los datos del módulo

Cargando expedientes… Selecciona una tarjeta para abrir su ficha técnica

NOTA DE INTELIGENCIALos formatos y requisitos cambian entre versiones. Los datos se contrastaron con páginas públicas de los emisores; cuando el tiempo no está publicado, la ficha lo señala. Confirma siempre las reglas del portal antes de comprar o iniciar un examen.

29 — Trayectoria

En curso

Técnico Superior en Ciberseguridad — Universidad Mayor

Formación en seguridad ofensiva y defensiva, complementada con investigación autónoma y desarrollo de herramientas propias.

Continuo

TryHackMe & Hack The Box

Práctica activa en laboratorios. Web exploitation, privilege escalation y reconocimiento activo.

2022 →

Bug Bounty — Primeros hallazgos validados

Ingreso a programas en HackerOne, Bugcrowd e Intigriti. Primeros reportes aceptados como TudelaSec.

Origen

Autodidacta — Curiosidad e investigación

CTFs, writeups de la comunidad y exploración de herramientas de seguridad ofensiva.

30 — Arsenal

31 — Base de Conocimiento

0Vulnerabilidades

0Críticas

0Altas

0Categorías

32 — Herramienta

LHOST

LPORT

Seleccionar lenguaje

LISTENER → NETCAT

nc -nlvp 4444

bash

Ingresa tu IP y selecciona un lenguaje...

33 — Utilidad

SHA-1—

SHA-256—

SHA-512—

★ Los hashes se calculan localmente en tu browser — ningún dato sale al exterior.

34 — Servicios

Pentesting Web & API

Auditoría completa de aplicaciones web y APIs REST/GraphQL. Desde reconocimiento hasta reporte detallado con evidencia.

OWASP Top 10 + extras Business logic testing Auth bypass & IDOR Reporte ejecutivo + técnico

Seguridad Mobile Android

Análisis estático y dinámico de aplicaciones Android. Ingeniería inversa, análisis de tráfico y detección de vulnerabilidades en código nativo.

Decompilación con Jadx Runtime analysis con Frida Intercepción de tráfico SSL OWASP Mobile Top 10

Reconocimiento & OSINT

Mapeo completo de superficie de ataque. Subdominios, puertos, tecnologías, empleados, leaks y activos expuestos sin tocar sistemas.

ASM (Attack Surface Mapping) Certificate transparency Leaked credentials check Informe de exposición

Solicitar auditoría Disponible para trabajos privados · Entrega de reporte en 5-10 días hábiles

35 — Investigación

Managed Bug Bounty2025 · P1 Critical

Auth Bypass via HTTP Header Injection — Optus API

Elusión total de autenticación en gateway API mediante manipulación de cabeceras HTTP. Acceso directo a endpoints administrativos y telemetría interna sin credenciales.

Header InjectionAuth Bypass$3,500

Ver detalles

Public Bug Bounty2025 · P1 Critical

RCE via Apache Axis Unauthenticated AdminService

Endpoint /services/AdminService expuesto con credenciales por defecto admin:admin. Deploy de servicios maliciosos y ejecución remota de comandos en producción.

RCEApache Axis$3,000

Ver detalles

HackerOne2025 · P1 Critical

Public S3 Bucket — PII, Credenciales de DB & Documentos Legales

Bucket AWS S3 públicamente listable con backups de base de datos, contratos legales confidenciales y PII de usuarios. Programa de Lime (scooters/e-bikes).

AWS S3PII Leak$2,500

Ver detalles

Bugcrowd2024 · P1 Critical

OAuth client_secret hardcodeado en APK — Full API Takeover

Ingeniería inversa con Jadx para extraer el OAuth client_secret en texto claro del APK de Xfinity Home. Falsificación de tokens y control total de la API de domótica.

Android REOAuth$2,000

Ver detalles

HackerOne2025 · P2 High

BOLA/IDOR en GraphQL — Historial de órdenes cross-account

Sin control de acceso en GraphQL de lululemon. Consultaba historial de compras, montos y direcciones de cualquier cliente simplemente cambiando el ID de orden.

GraphQLBOLA/IDOR$1,500

Ver detalles

Bugcrowd2024 · P3 Medium

Subdomain Takeover via Dangling AWS CNAME — CoinDesk

CNAME apuntando a recurso AWS desaprovisionado en rfiapi.coindesk.com. Toma de control del subdominio para servir contenido arbitrario bajo el dominio verificado.

Subdomain TakeoverDNS$800

Ver detalles

Ver más en GitHub

36 — Toolkit

INPUT

ENCODED

DECODED

—

Payload

—

Signature

—

Vectores de ataque detectados

Pegá un JWT para ver los vectores de ataque aplicables

Ingresá una dirección IP con notación CIDR para calcular.

Ingresá una IP para obtener información de geolocalización y red.

37 — Impacto Global

Empresas comprometidas · Mapa global

Tocá un marcador del mapa para ver el detalle.

P1 Critical ($3,500+ USD)

P2 High ($1,000-$2,000 USD)

P3 Medium ($500-$800 USD)

● Animación en tiempo real

Superficie de Ataque Interactiva

🕸️ Corre un escaneo en el motor de Recon Pasivo para poblar el grafo con subdominios reales.

Registro de hallazgos · tu tablero

0hallazgos

0activos

$0USD potencial

0P1 abiertos

Sin hallazgos todavía. Registrá uno arriba y se refleja en el grafo y en los totales del mapa.

Kill chain · Metodología real

Recon

Enum

Discovery

Exploit

Impacto

Reporte

Authentication Bypass via HTTP Header Injection — Optus

P1 Critical · Managed Bug Bounty · apidev.optus.com.au · $3,500 USD

Recon: Enumeración de subdominios de Optus revelando el portal de desarrollo API (apidev.optus.com.au). Revisión de endpoints expuestos y análisis de tráfico.

subfinder -d optus.com.au | httpx -sc -title | grep -i "api\|dev\|admin"

Análisis: Interceptación del tráfico con Burp Suite. Identificación de headers de autenticación custom que el gateway confiaba sin validación adicional.

Discovery: Inyección de header X-Internal-Admin: true y X-Forwarded-For: 127.0.0.1. El gateway API aceptó las cabeceras como indicadores de confianza elevada.

X-Internal-User: admin X-Auth-Override: true X-Forwarded-For: 127.0.0.1

Exploit: Acceso completo a endpoints administrativos de la API incluyendo telemetría operativa interna, configuración del sistema y datos de cliente sin credenciales.

Impacto: Elusión total de la capa de autenticación. Posibilidad de consultar/modificar telemetría de red de Optus (operadora de telecomunicaciones australiana).

Reporte: PoC documentado con capturas de Burp Suite. Resuelto y pagado. Severidad P1 Critical — $3,500 USD.

Public S3 Bucket — DB Credentials, Legal Docs & PII · Lime

P1 Critical · HackerOne · assets.lime.bike · $2,500 USD

Recon: OSINT sobre la infraestructura de Lime (e-bikes/scooters). Búsqueda de assets expuestos en cloud mediante Google Dorks y análisis de registros DNS.

site:s3.amazonaws.com "lime.bike" OR "limebike" dig assets.lime.bike CNAME

Enum: Descubrimiento del bucket S3 assets.lime.bike. Verificación de permisos de listado público mediante AWS CLI sin credenciales.

aws s3 ls s3://assets.lime.bike --no-sign-request

Discovery: El bucket listaba backups de base de datos (.sql.gz), contratos legales (.pdf), archivos de configuración con credenciales en texto claro y PII de usuarios.

Impacto: Descarga de archivos de configuración revelando credenciales de producción de la base de datos de administración, información personal de usuarios y documentos legales confidenciales.

Reporte: Reporte en HackerOne con evidencia de listado del bucket y descarga de archivos no sensibles de prueba (sin PII real). Resuelto — $2,500 USD.

RCE via Unauthenticated Apache Axis AdminService · Internet Brands

P1 Critical · Public Bug Bounty · $3,000 USD

Recon: Fingerprinting de tecnologías en los activos de Internet Brands. Identificación de servicios Java/Apache mediante headers de respuesta y análisis de endpoints.

httpx -u https://target.internetbrands.com -tech-detect -title

Discovery: Descubrimiento del endpoint /services/AdminService de Apache Axis expuesto públicamente sin ningún control de acceso.

ffuf -u https://target/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt | grep "axis\|services"

Exploit: El AdminService aceptaba las credenciales por defecto admin:admin. Despliegue de Web Service malicioso personalizado para demostrar ejecución remota de comandos.

curl -u admin:admin https://target/services/AdminService # Deploy de WebService personalizado via SOAP

Impacto: RCE (Remote Code Execution) en servidor de producción. Capacidad de ejecutar comandos arbitrarios del sistema operativo como el usuario del servidor web.

Reporte: PoC con capturas del WSDL expuesto y ejecución de whoami como prueba de concepto. Resuelto y pagado — $3,000 USD.

38 — Referencia

Referencia completa de todas las cabeceras HTTP — de solicitud, respuesta, seguridad y pentesting. Cada cabecera con su función, ejemplo y riesgo de seguridad.

📂 Categoría:

39 — OSINT Engine

Motor de reconocimiento pasivo sobre fuentes abiertas. Ingresa un dominio o IP y obtén inteligencia de 12 fuentes simultáneas: DNS, WHOIS, subdomains, SSL certs, threat intel, passive DNS, URLs indexadas, geolocalización y más.

⌖

apple.com hackerone.com intigriti.com

40 — Threat Intelligence

Más de 60 CVEs críticos pre-cargados + buscador en tiempo real contra la API oficial NIST NVD. Desde Log4Shell hasta vulnerabilidades 0-day de 2024.

🛡

Todos CRÍTICO (9.0–10.0) ALTO (7.0–8.9) MEDIO (4.0–6.9) 🔴 Explotados activamente

📂 Filtrar por producto/vendor:

// CVEs CRÍTICOS DESTACADOS — 2019–2024

41 — Arsenal Ofensivo

Arsenal de payloads listos para copiar: desde los más básicos hasta los avanzados ofuscados y doble-encodeados para bypass de WAF y filtros. Cada payload trae su contexto de uso.

⚠️

ADVERTENCIA — Payloads potencialmente peligrosos

Varios de estos payloads pueden provocar ejecución de código, exfiltración de datos o daño real en un sistema. Úsalos EXCLUSIVAMENTE sobre objetivos donde tengas autorización explícita por escrito (programas de bug bounty activos o pentests contratados). El uso no autorizado es un delito informático. Los marcados con ⚠ alto son especialmente destructivos.

📂 Elegí una categoría — el punto rojo marca las que traen payloads peligrosos

42 — Aprendizaje

Guía de aprendizaje estructurada para convertirse en Bug Bounty Hunter / Ethical Hacker. Desde cero hasta profesional.

43 — Laboratorio

Terminal interactivo con Bash, CMD y PowerShell. Más de 300 comandos organizados por situación. Haz clic en cualquier comando de la referencia para insertarlo en el terminal.

↑↓ historial Tab autocompletar Ctrl+C interrumpir help → ayuda clear → limpiar

44 — Proxy & Scanner

Referencia completa de Burp Suite Professional: módulos, atajos, técnicas de explotación y workflows de pentesting web.

44 - Laboratorio Ofensivo

Desafia al Login.

Laboratorio interactivo multi-ventana de seguridad ofensiva. Elegi un tipo de ataque, carga un payload, y lanza el ataque. La terminal simula la respuesta interna del servidor. 100% client-side - nada sale de tu navegador.

Payloads0

Target Login

Usuario

Contrasena / Payload

Elegi un payload -> clic Usar -> Lanzar Ataque
Ctrl+Enter tambien ejecuta.

Terminal & Consola

45 - Workflow

Metodologia de Recon & Bug Bounty.

Pipeline secuencial del flujo de trabajo: del descubrimiento pasivo al PoC manual reproducible.

46 - Setup

Prepara tu Arsenal.

Instalacion y setup completo de la suite ofensiva. Copia los comandos con un clic.

* Modulo ofensivo demostrativo - 374+ payloads - 10 ventanas - educativo unicamente - no traffic leaves your browser

48 — Canal seguro

TUDELASEC // ROOT GATEWAY

Matías Ramírez Tudela

🧭 Cómo usarlo (paso a paso)

⚙️ Las fases (qué hace y por qué)

🗄️ A qué endpoint disparar — los que MÁS exponen base de datos

📊 Cómo leer los resultados

🛡️ Honestidad y límites (a propósito)

RAW REQUEST

RAW RESPONSE

EMAIL SPOOFING & DNS AUDITOR

NEXUS Active

① Request

② Plan de pruebas

GLOBAL ASSET RECON // Netlas · LeakIX · Censys · Shodan

LIBERTY APK AUDITOR

▸ Gate de Autorización

▸ Zona de Triaje (Drag & Drop)

▸ Pipeline de Análisis

⚡ CACHÉ — Este APK ya fue analizado

🚨 TRIAGE CRÍTICO — REVISAR DE INMEDIATO

▸ Resumen Ejecutivo

▸ Hallazgos del Manifest

▸ Permisos

▸ Componentes Expuestos

▸ AndroidManifest.xml Reconstruido

▸ Explorador del Contenedor ZIP

▸ Motor de IOC & Reconocimiento

▸ Pool de Strings DEX

▸ Análisis Profundo v2 — NETWORK · CRYPTO · STORAGE · WEBVIEW

▸ Riesgos de API (heurística sobre método-refs/classes DEX)

▸ Inventario de Clases & Ofuscación

▸ Anomalías del Contenedor ZIP

▸ Entropía por Archivo

▸ Payloads Ocultos (magic bytes)

▸ Índice de Explotabilidad

▸ Rutas de Ataque Recomendadas

▸ Superficie de Ataque (componentes exportados)

▸ Deep Links & Scheme Hijacking

▸ Secretos Explotables (playbook por tipo)

▸ Mapa de Infraestructura (C2 / drops / DNS dinámico)

▸ Ataques de Configuración (manifest)

▸ Ataques WebView (JS bridge · file:// · MITM)

▸ Canales de Exfiltración

▸ Repackaging & Hardening Faltante

▸ Arsenal Open Testing — Núcleos 24-33

▸ Cripto Rota (claves embebidas · ECB · MD5/SHA1)

▸ Almacenamiento Inseguro (prefs mundo · SD · backups)

▸ Sesión & Auth (tokens eternos · sesiones no invalidadas)

▸ Pivote Interno (RFC1918 · AWS/GCP metadata)

▸ Key Material (keystores · certificados PKCS12 · bundles de firma)

▸ Carga Dinámica de Código (DexClassLoader · plugins)

▸ Superficie de Fuerza Bruta (logins sin rate-limit detectable)

▸ Playbook Frida (hooks listos para runtime)

▸ Cadenas de Ataque (vectores compuestos)

▸ Mapa OWASP MASVS (cobertura del auditor)

▸ Esquemas de Firma

▸ Certificados (PKCS#7 → X.509)

▸ Hashes del APK

▸ Perfil de Comportamiento

▸ SDKs & Librerías Identificadas

▸ Censo de Archivos

▸ Forense DEX (header 0x38–0x60)

▸ ELF Nativo (lib/*.so)

▸ Bibliotecas Nativas (lib/)

▸ Índice de Protección / Empaquetado

▸ Informe Estructurado

MODO LEVIATÁN v9.0

Desafia al Login.

Metodologia de Recon & Bug Bounty.

Prepara tu Arsenal.