awesome-web-hacking

Esta lista está dirigida a cualquiera que quiera aprender sobre seguridad de aplicaciones web pero no tenga un punto de partida.

Puedes ayudar enviando Pull Requests para añadir más información.

Si no te apetece hacer PRs, puedes escribirme en Twitter a @infoslack

Tabla de contenidos

• Libros
• Documentación
• Herramientas
• Hojas de referencia
• Docker
• Vulnerabilidades
• Cursos
• Sitios de demostración de hacking en línea
• Laboratorios
• SSL
• Seguridad en Ruby on Rails

Libros

• http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws
• http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ Hacking Web Apps: Detecting and Preventing Web Application Security Problems
• http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ Hacking Exposed Web Applications
• http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ SQL Injection Attacks and Defense
• http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ The Tangled WEB: A Guide to Securing Modern Web Applications
• http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'
• http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ XSS Attacks: Cross Site Scripting Exploits and Defense
• http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ The Browser Hacker’s Handbook
• http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ The Basics of Web Hacking: Tools and Techniques to Attack the Web
• http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ Web Penetration Testing with Kali Linux
• http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ Web Application Security, A Beginner's Guide
• https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ Hacking: The Art of Exploitation
• https://www.crypto101.io/ - Crypto 101 es un curso introductorio sobre criptografía
• http://www.offensive-security.com/metasploit-unleashed/ - Metasploit Unleashed
• http://www.cl.cam.ac.uk/~rja14/book.html - Security Engineering
• https://www.feistyduck.com/library/openssl-cookbook/ - OpenSSL Cookbook
• https://www.manning.com/books/real-world-cryptography - Aprende y aplica técnicas criptográficas.
• https://www.manning.com/books/making-sense-of-cyber-security - Una guía de los conceptos, terminología y tecnologías clave de la ciberseguridad, perfecta para cualquiera que planifique o implemente una estrategia de seguridad.
• https://www.manning.com/books/cyber-security-career-guide - Impulsa tu carrera en ciberseguridad aprendiendo a adaptar tus habilidades técnicas y no técnicas existentes.
• https://www.manning.com/books/secret-key-cryptography - Un libro sobre técnicas criptográficas y métodos de clave secreta.
• https://www.manning.com/books/application-security-program-handbook - Este libro práctico es una guía integral para implementar un programa sólido de seguridad de aplicaciones.
• https://www.manning.com/books/cyber-threat-hunting - Guía práctica para la búsqueda de amenazas cibernéticas.
• https://nostarch.com/bug-bounty-bootcamp - Bug Bounty Bootcamp
• https://nostarch.com/hacking-apis - Hacking APIs
• https://www.manning.com/books/grokking-web-application-security - Un libro sobre la creación de aplicaciones web que estén preparadas y sean resistentes ante cualquier ataque.

Documentación

• https://www.owasp.org/ - Open Web Application Security Project
• http://www.pentest-standard.org/ - Penetration Testing Execution Standard
• http://www.binary-auditing.com/ - Dr. Thorsten Schneider’s Binary Auditing
• https://appsecwiki.com/ - Application Security Wiki es una iniciativa para ofrecer todos los recursos relacionados con la seguridad de aplicaciones a investigadores de seguridad y desarrolladores en un solo lugar.
• AppSec Santa - Comparación independiente de más de 129 herramientas de seguridad de aplicaciones web en SAST, DAST, SCA y más.

Herramientas

• https://github.com/bad-antics/nullsec-linux - NullSec Linux - Distribución de seguridad con herramientas de prueba de aplicaciones web preconfiguradas

• https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Framework de fuzzing de aplicaciones web

• https://github.com/poszothebuilder/nextjs-security-headers-starter - Starter de cabeceras de seguridad para Next.js sin dependencias, con CSP, HSTS y un verificador de producción para CI.

• https://www.deepinfo.com/ - Deepinfo Attack Surface Platform descubre todos tus activos digitales, los monitoriza 24/7, detecta cualquier problema y te notifica rápidamente para que puedas tomar medidas inmediatas.

  • https://github.com/bountyyfi/lonkero - Escáner de vulnerabilidades web de nivel empresarial con más de 60 módulos de ataque, construido en Rust para pruebas de penetración y evaluaciones de seguridad.

• https://spyse.com/ - Motor de búsqueda OSINT que proporciona datos actualizados de toda la web, almacenando todos los datos en su propia base de datos, interconecta los datos encontrados y tiene algunas características interesantes.

• http://www.metasploit.com/ - El software de pruebas de penetración más utilizado del mundo

• https://findsubdomains.com - Servicio en línea de escaneo de subdominios con muchos datos adicionales. Funciona mediante OSINT.

• https://github.com/BlessedRebuS/Krawl - Servidor de engaño web nativo de la nube y anti-crawler.

• https://github.com/bjeborn/basic-auth-pot Honeypot de autenticación básica HTTP.

• http://www.arachni-scanner.com/ - Framework de escáner de seguridad de aplicaciones web

• https://github.com/ASCIT31/Dark-Moon - Darkmoon es una plataforma autónoma de pruebas de penetración con IA de código abierto (GPL-3.0) que orquesta más de 80 herramientas a través de MCP con subagentes ofensivos dedicados por tecnología (GraphQL, Spring Boot, ASP.NET, Node.js, Flask, PHP, Ruby) y mantiene un rastro de evidencia por hallazgo.

• SaaSFort - Escaneo gratuito de 60 segundos de postura de seguridad externa NIS2, calificación A-F, sin necesidad de registro.
• ARS3NAL - Arsenal buscable y offline-first: ~1500 payloads, generador de comandos, GTFOBins, wordlists, CyberChef embebido, reverse shells y 70 listas de verificación.

Hojas de referencia

• http://n0p.net/penguicon/php_app_sec/mirror/xss.html - Hoja de referencia de XSS
• https://highon.coffee/blog/lfi-cheat-sheet/ - Hoja de referencia de LFI
• https://highon.coffee/blog/reverse-shell-cheat-sheet/ - Hoja de referencia de reverse shell
• https://www.netsparker.com/blog/web-security/sql-injection-cheat-sheet/ - Hoja de referencia de inyección SQL
• https://www.gracefulsecurity.com/path-traversal-cheat-sheet-windows/ - Hoja de referencia de path traversal: Windows
• Pentest Mindmap - Mapa mental interactivo con más de 11.600 comandos de pentesting en 32 categorías. Buscable y con copia con un solo clic.

Imágenes Docker para pruebas de penetración

• docker pull kalilinux/kali-linux-docker Kali Linux oficial
• docker pull blackarchlinux/blackarch BlackArch Linux oficial
• docker pull owasp/zap2docker-stable - OWASP ZAP oficial
• docker pull wpscanteam/wpscan - WPScan oficial
• docker pull metasploitframework/metasploit-framework - docker-metasploit
• docker pull citizenstig/dvwa - Damn Vulnerable Web Application (DVWA)
• docker pull bkimminich/juice-shop OWASP Juice Shop
• docker pull wpscanteam/vulnerablewordpress - Instalación de WordPress vulnerable

Vulnerabilidades* http://cve.mitre.org/ - Common Vulnerabilities and Exposures. El estándar para nombres de vulnerabilidades de seguridad de la información.

• https://www.exploit-db.com/ - The Exploit Database – el archivo definitivo de exploits, shellcode y documentos de seguridad.
• http://0day.today/ - Inj3ct0r es la base de datos definitiva de exploits y vulnerabilidades y un gran recurso para investigadores de vulnerabilidades y profesionales de la seguridad.
• http://www.securityfocus.com/ - Desde su creación en 1999, SecurityFocus ha sido un pilar en la comunidad de la seguridad.
• http://packetstormsecurity.com/ - Recurso global de seguridad
• https://wpvulndb.com/ - Base de datos de vulnerabilidades de WPScan
• https://snyk.io/vuln/ - Vulnerability DB, información detallada y orientación de remediación para vulnerabilidades conocidas.
• https://stellastra.com/cipher-suite - Base de datos de cientos de suites de cifrado TLS y su estado de seguridad.
• https://vulert.com/vuln-db - Vulert ayuda a los desarrolladores a asegurar su software monitoreando y alertándoles sobre vulnerabilidades en dependencias de código abierto—sin requerir acceso a su código. Admite dependencias de Js, PHP, Java, Python y muchas más.
• https://vulncheck.com/xdb/ - Un índice de código de prueba de concepto de exploits en repositorios Git.
• https://labs.jamessawyer.co.uk/cves/ - CVE PoC Search ofrece una búsqueda de pruebas de concepto de CVE a GitHub para pasar rápidamente de una vulnerabilidad web a código de exploit público.

Cursos

• https://pwn.guide/ - Plataforma de aprendizaje de ciberseguridad, con alrededor de 100 tutoriales, aproximadamente 25 de ellos sobre hacking web y defensa de sitios web.
• https://www.offensive-security.com/information-security-training/advanced-web-attack-and-exploitation/ Offensive Security Advanced Web Attacks and Exploitation (en vivo)
• https://www.sans.org/course/web-app-penetration-testing-ethical-hacking Sans SEC542: Web App Penetration Testing and Ethical Hacking
• https://www.sans.org/course/advanced-web-app-penetration-testing-ethical-hacking Sans SEC642: Advanced Web App Penetration Testing and Ethical Hacking
• http://opensecuritytraining.info/ - Open Security Training
• http://securitytrainings.net/security-trainings/ - Security Exploded Training
• http://www.securitytube.net/ - El portal de infosec y hacking más grande del mundo.
• https://www.hacker101.com/ - Clase gratuita de seguridad web por Hackerone
• https://www.darkrelay.com/courses/professional-penetration-tester - Curso de pentesting estilo Zero-Hero por DarkRelay Security Labs

Sitios de demostración de hacking en línea

• http://testasp.vulnweb.com/ - Sitio de prueba y demostración ASP de Acunetix
• http://testaspnet.vulnweb.com/ - Sitio de prueba y demostración ASP.Net de Acunetix
• http://testphp.vulnweb.com/ - Sitio de prueba y demostración PHP de Acunetix
• http://crackme.cenzic.com/kelev/view/home.php - Crack Me Bank
• http://zero.webappsecurity.com/ - Zero Bank
• http://demo.testfire.net/ - Altoro Mutual
• https://public-firing-range.appspot.com/ - Firing Range es un banco de pruebas para escáneres automatizados de seguridad de aplicaciones web.
• https://xss-game.appspot.com/ - Desafío XSS
• https://google-gruyere.appspot.com/ Google Gruyere, exploits y defensas de aplicaciones web
• https://ginandjuice.shop/catalog
• https://pentest-ground.com/ Pentest-Ground es un campo de juegos gratuito con aplicaciones web y servicios de red deliberadamente vulnerables.
• HackSimulator es un GPT creado por MarkCyber en el que chatGPT 4 actúa como un CTF de hacking. Este GPT te preguntará tu nivel de experiencia y qué te gustaría mejorar, antes de simular una máquina/aplicación para que la hackees, usando la caja de chat como lugar para ingresar comandos de terminal. Dado que esto es a través de IA, cambia y se ajusta según tu nivel de experiencia y puedes pedir ayuda si estás atascado.

Laboratorios

• https://portswigger.net/web-security - Web Security Academy: formación gratuita en línea de PortSwigger
• http://www.cis.syr.edu/~wedu/seed/all_labs.html - Desarrollo de laboratorios didácticos para la educación en seguridad informática
• https://www.vulnhub.com/ - Máquinas virtuales para pruebas de penetración en localhost.
• https://pentesterlab.com/ - PentesterLab es una forma fácil y excelente de aprender pruebas de penetración.
• https://codereviewlab.com/ - Code Review Lab es una plataforma práctica de entrenamiento en revisión de código.
• https://github.com/jerryhoff/WebGoat.NET - Esta aplicación web es una plataforma de aprendizaje sobre fallos comunes de seguridad web.
• http://www.dvwa.co.uk/ - Damn Vulnerable Web Application (DVWA)
• http://sourceforge.net/projects/lampsecurity/ - LAMPSecurity Training
• https://github.com/Audi-1/sqli-labs - Laboratorios SQLI para probar inyecciones basadas en error, ciegas booleanas y basadas en tiempo.
• https://github.com/paralax/lfi-labs - pequeño conjunto de scripts PHP para practicar la explotación de vulnerabilidades LFI, RFI e inyección de comandos.
• https://hack.me/ - Crea, aloja y comparte aplicaciones web vulnerables en un entorno aislado de forma gratuita
• http://azcwr.org/az-cyber-warfare-ranges - Campo de guerra cibernética de tiro real gratuito con Capture the Flag, equipo azul y equipo rojo, para principiantes hasta usuarios avanzados. Debes usar un teléfono celular para enviar un mensaje de texto solicitando acceso al campo.
• https://github.com/adamdoupe/WackoPicko - WackoPicko es una aplicación web vulnerable utilizada para probar escáneres de vulnerabilidades de aplicaciones web.
• https://github.com/rapid7/hackazon - Hackazon es un sitio de prueba vulnerable y gratuito, una tienda en línea construida con las mismas tecnologías utilizadas en las aplicaciones móviles y de cliente enriquecido actuales.

SSL

• https://www.ssllabs.com/ssltest/index.html - Este servicio realiza un análisis profundo de la configuración de cualquier servidor web SSL en la Internet pública.
• http://certdb.com/ - Servicio proveedor de datos SSL/TLS. Recopila datos sobre certificados digitales: emisores, organización, whois, fechas de expiración, etc... Además, tiene prácticos filtros para mayor comodidad.
• https://raymii.org/s/tutorials/Strong_SSL_Security_On_nginx.html - Seguridad SSL sólida en nginx
• https://weakdh.org/ - Diffie-Hellman débil y el ataque Logjam
• https://letsencrypt.org/ - Let’s Encrypt es una nueva autoridad de certificación: es gratuita, automatizada y abierta.
• https://filippo.io/Heartbleed/ - Un verificador (sitio y herramienta) para CVE-2014-0160 (Heartbleed).
• https://testssl.sh/ - Una herramienta de línea de comandos que verifica los cifrados TLS/SSL, protocolos y fallos criptográficos de un sitio web.
• Scorifya - Puntuación de seguridad de 0 a 100 para cualquier sitio web que cubre TLS, cabeceras de seguridad (CSP, HSTS, X-Frame-Options), cookies, DNS y señales de correo electrónico (SPF, DKIM, DMARC) con pasos de corrección clasificados.

Seguridad Ruby on Rails

• http://brakemanscanner.org/ - Un escáner de vulnerabilidades de seguridad de análisis estático para aplicaciones Ruby on Rails.
• https://github.com/rubysec/ruby-advisory-db - Una base de datos de Ruby Gems vulnerables
• https://github.com/rubysec/bundler-audit - Verificación a nivel de parche para Bundler
• https://github.com/hakirisec/hakiri_toolbelt - Hakiri Toolbelt es una interfaz de línea de comandos para la plataforma Hakiri.
• https://hakiri.io/facets - Escanea Gemfile.lock en busca de vulnerabilidades.
• http://rails-sqli.org/ - Esta página enumera muchos métodos y opciones de consulta en ActiveRecord que no sanitizan argumentos SQL sin procesar y no están destinados a ser llamados con entradas de usuario no seguras.
• https://github.com/0xsauby/yasuo - Un script Ruby que escanea aplicaciones web de terceros vulnerables y explotables en una red.