PDF de programación - Web Hacking 101 en Español - Cómo hacer dinero hackeando éticamente

Web Hacking 101 en Español - Cómo hacer
dinero hackeando éticamente
Web Hacking 101 en Español - Cómo hacer dinero
hackeando éticamente

Peter Yaworski y Edwin A. Cartagena Hernández

Este libro está a la venta en http://leanpub.com/web-hacking-101-es

Esta versión se publicó en 2016-10-05

This is a Leanpub book. Leanpub empowers authors and publishers with the Lean Publishing
process. Lean Publishing is the act of publishing an in-progress ebook using lightweight tools and
many iterations to get reader feedback, pivot until you have the right book and build traction once
you do.

© 2016 Peter Yaworski y Edwin A. Cartagena Hernández

Peter: A andrea y Ellie, gracias por apoyarme y ser mi fuente constante de motivación y confianza.
No solamente pudiera ser que nunca hubiera terminado este libro sin ustedes, sino que mi jornada
en el apasionante mundo del hacking nunca hubiera comenzado.
Al equipo de HackerOne, este libro quizás no sería lo que es si no fuese por ustedes, gracias por todo
su apoyo, retroalimentación y por el trabajo con el que han contribuido a hacer de este libro más que
un análisis de 30 publicaciones.
Finalmente, mientras que este libro se vende por una cantidad mínima de $9.99, las ventas en el
precio suberido de $19.99 o por encima de éste, me ayudan a mantener bajo el precio mínimo, de tal
forma que este libro se mantenga accesible para las personas que no pueden permitirse el lujo de
pagar más por él. Esas ventas también me permiten tomar un tiempo para alejarme de la búsqueda
de vulnerabilidades para estar añadiendo más contenido y hacer un mejor libro de tal manera que
todos aprendamos juntos.
Mientras que lo deseo tanto, pudiera nombrar a cada una de las personas que pagaron más del precio
mínimo (por la edición en inglés de este libro) para agradecerles, la lista pudiera ser muy larga pero
realmente no conozco ningún detalle de contacto de los compradores a menos que ellos me contacten.
Sin embargo, hay un grupo pequeño quienes pagaron más del precio sugerido cuando hicieron sus
compras, los cuales fueron más allá de lo esperado. A quienes me gustaría reconocerles aquí.
Entre ellos se incluyen: 1. @Ebrietas0 2. Comprador misterioso 3. Comprador misterioso 4. @naham-
sec (Ben Sadeghipour) 5. Comprador misterioso 6. @Spam404Online 7. @Danyl0D (Danylo Matviyiv)
Si tú debes estar en esta lista, por favor, mándame un mensaje directo a Twitter. A cada uno de
quienes han comprado una copia de este libro, Gracias!
Edwin: a H” Quien me ha dotado de sorprendentes herramientas. Atah-HaKol. A María José,
impresionante mujer fuente de motivación y quien me da la dosis extra de confianza para todos
mis proyectos. Te Amo. A mi madre, quien me ha formado y me ha inculcado valores para ser una
persona de bien con mis semejantes. Usted es muy especial. A Peter Yaworsky, autor de este libro, por
su voto de confianza y permitirme formar parte de este proyecto. Gracias, Pete! A mis amigos hackers
que me han inspirado y de diferentes maneras me han brindado su apoyo en este apasionante arte
de la seguridad informática. Gracias: * Rodolfo Ceceña @roberknight01 * Kirlian Zepeda, [DEP] *
Stefan Rivera @CiskoSV

Índice general

Prefacio .

.

.

.

Introducción .

Trasfondo .

.

.

.

.

.

.

.

.

Inyección HTML .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

.

.

.

.
.
.
.

Contaminación de parámetros HTTP .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Inyeción de CRLF .
.
.

Descripción .
Resumen .
.

.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

Falsificación de solicitud de sitio cruzado .
.
.
.

Descripción .
Ejemplos .
.
.
Resumen .

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

Vulnerabilidades en la lógica de la Aplicación .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

Ataques de Script de Sitio Cruzado (Cross-Site Scripting)
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Inyección SQL .

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

.

.

.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.

1

3

11

14
14
14
19

20
20
21
26

27
27
30

31
31
32
36

37
37
38
54

56
56
57
71

73

ÍNDICE GENERAL

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Vulnerabilidades de Redirección Abierta .
.
.
.

Descripción .
Ejemplos .
.
.
Resumen .

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Toma de control de un sub dominio .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Entidades Externas de XML .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Ejecución remota de código .
.
.
.

Descripción .
Ejemplos .
.
.
Resumen .

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

Inyección de plantilla .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

Falsificación de solicitud del lado del servidor .
.
.
.

Descripción .
.
Ejemplos .
Resumen .
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

.
.
.

La Memoria .

.
Descripción .
.
Ejemplos .
Resumen .
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

Empezando .

.

.

.

.

.

.

.

.

.

.

.
Recopilación de información .
.
Pruebas de aplicaciones .
.
.
Cavar más profundo .
Resumen .
.
.
.

.
.
.

.
.
.

.
.

.

.

.

.

.

.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.
.

.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.
.
.

.
.