PenScope

Qué es esto

PenScope es una extensión de Chrome. Instálala, navega por un sitio que tengas permiso para probar, y mapea silenciosamente toda la superficie de ataque — cada endpoint, cada secreto, cada cabecera mal configurada, cada parámetro oculto. Cuando le das la orden, envía 36 ataques de sonda diferentes usando tus cookies de sesión reales e informa cuáles acertaron.

O estableces el alcance, haces clic en Cazar y PenScope hace todo el proceso de forma autónoma mientras haces otra cosa — redactando informes completos de bug bounty en formato HackerOne por cada hallazgo Crítico y Alto que consigue. Te despiertas con una cola de borradores listos para enviar.

Es la herramienta diaria para los cazadores de bug bounty que quieren saltarse la rutina de "configurar un proxy, hacer clic en tres ventanas, alt-tab a una lista de payloads" y simplemente mirar un sitio. O dejar de mirar por completo y dejar que la herramienta cace por ellos.

Lee todo, no envía nada — hasta que se lo ordenes. Establece el alcance, pulsa Cazar, cierra el portátil. Despiértate con críticos redactados.

Novedades en v6.3

Refactorización dirigida por auditoría en 8 fases. Adiciones destacadas:

• Motor de sondas: de 36 a 45 ataques. Sondas de parámetros SSRF, inyección de operadores NoSQL, DoS por alias/lote en GraphQL, engaño de caché, heurística de secuestro de subdominio, TabNabbing, correlación de origen postMessage, abuso de ámbito de Service Worker.
• El contrato de nivel se aplica, no se describe. Cuidadoso = solo GET, secuencial, espaciado de 200 ms. Medio = +POST para operaciones de lectura. Completo = todo, incluyendo ráfagas de condición de carrera. Pasa el ratón sobre cualquier nivel en el menú de Sondas para ver el contrato completo.
• Cobertura: 31 nuevos patrones de secretos + 9 nuevos patrones de cuerpo de respuesta. Claves secretas de Mapbox, Datadog (formato real), admin de Algolia, Auth Token de Twilio, Postmark, tokens de API de Cloudflare, Heroku, Linear, Notion, Figma, par Plaid, Snyk, Terraform Cloud, Pinata, claves públicas SSH, asignaciones .env, prefijos s./b. de Vault — más detectores de cuerpo de respuesta para Spring Boot / Rails ActiveRecord / Django DEBUG / ASP.NET YSOD / Express / Apollo / MSSQL.
• 17 nuevas huellas de tecnología. Qwik, SolidStart, Tauri, Strapi, Sanity, Contentful, Hygraph, Clerk, Cognito, Okta, PingIdentity, Workday, ServiceNow, Salesforce Lightning, Adobe AEM, Electron renderer.
• Enriquecimiento JWT. Cada JWT detectado se decodifica automáticamente (alg, iss, sub, aud, exp, iat, role, scope...). Aumento de gravedad cuando exp está en el futuro y el rol es de tipo admin.
• Adiciones CDP. Accessibility.getFullAXTree revela etiquetas aria sensibles (botones admin/sudo/delete/destroy). Storage.getCookies expone cookies CHIPS particionadas que chrome.cookies.getAll no captura.
• Analizador de islas JSON. Los bloques <script type="application/json"> (Next __NEXT_DATA__, Nuxt __NUXT__, Remix __remixContext, Apollo __APOLLO_STATE__) se analizan para extraer endpoints y campos ID, no solo se escanean con regex.
• Nueva UX de pestaña de endpoints. Botón curl por fila, botón unauth por fila (repite la solicitud sin cookies, muestra un veredicto lado a lado). Vista de tabla de rutas que colapsa /users/123, /users/124 en /users/{id} con recuentos. Carril de pivote automático para subdominios admin.*, api.*, internal.*.
• Exportación HAR + lista de palabras para ffuf. Espejo de las exportaciones de importación HAR existente + lista de palabras de Burp. Se puede usar directamente con ffuf -w.
• 📸 Botón de instantánea / Comparar en el encabezado del popup. Guarda una instantánea ahora, compara en cualquier momento después. El mismo mecanismo que usa el modo Azul.
• Diff de IndexedDB. Captura el estado del lado cliente, muta la aplicación, captura de nuevo, diferencia. Detecta errores de fuga de estado que la captura HTTP pura no detecta.
• Correcciones de seguridad críticas. La sonda window.__ps_ctx ya no filtra los encabezados de Autorización del usuario al contexto de la página después de que la sonda se completa. Los comandos de reproducción en cadena redactan las cookies de sesión por defecto (el modo Rojo tiene un interruptor opcional para valores en vivo). La IIFE de la sonda captura fetch/JSON/Promise/atob/btoa/etc. al inicio para que las páginas instrumentadas con análisis no puedan interceptar la sonda sobrescribiendo globales. Inclusión de fuentes locales — cero solicitudes salientes al abrir el popup.
• Migración a módulo ES. El SW ahora se carga como "type":"module". Árbol de directorio src/ en su lugar; STACK_ATTACK_PACKS extraído a src/probe/stack-packs.js. Los módulos restantes son stubs que documentan la ruta de extracción.

Desglose completo por fases en CHANGES.md. Notas de migración en MIGRATION.md.

Inicio rápido```

1. Download the latest release zip from the Releases page
2. Unzip it
3. Open chrome://extensions, enable Developer mode (top right)
4. Click "Load unpacked" and pick the unzipped folder

Ancla la extensión. Visita cualquier sitio. Haz clic en el icono **P**. PenScope ya estaba vigilando.

---

## Qué puedes hacer

PenScope captura más de 60 campos de datos por pestaña. Esto es lo que eso significa en la práctica:

**Ver toda la superficie de ataque.** Cada endpoint, incluidos aquellos referenciados en JavaScript pero nunca llamados realmente. Rutas de API enterradas en source maps, operaciones GraphQL reconstruidas desde cuerpos POST, rutas de administración ocultas inferidas de la introspección del framework.

**Encontrar secretos que nadie pretendía enviar.** Claves API hardcodeadas en paquetes `.js`. JWTs en `localStorage`. Credenciales de AWS en volcados de entorno. IDs internas en cuerpos de respuesta. El tipo de cosas que terminan en un informe P1.

**Ejecutar 36 pasos de ataque en tu navegador.** Bypass de autenticación, BAC, IDOR, CORS reflection, JWT alg=none, SSTI, XXE, inyección CRLF, contaminación de prototipos, descubrimiento de parámetros, degradación de versión de API. Tres niveles de agresión — cuidadoso, medio, completo. Pega encabezados personalizados. El modo sigiloso baraja el orden de las solicitudes para que no actives un WAF.