{"id":86617,"date":"2026-05-07T17:58:05","date_gmt":"2026-05-07T22:58:05","guid":{"rendered":"https:\/\/niixer.com\/?p=86617"},"modified":"2026-05-07T17:58:07","modified_gmt":"2026-05-07T22:58:07","slug":"de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10","status":"publish","type":"post","link":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/","title":{"rendered":"De Cero a Pentest: C\u00f3mo Auditamos la Seguridad de un Sitio WordPress y Encontramos Vulnerabilidades Cr\u00edticas con el OWASP Top 10"},"content":{"rendered":"\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfAlguna vez te has preguntado qu\u00e9 tan seguro es realmente un sitio web que visitas a diario?, \u00a1Pues estas en el Lugar Correcto!. En el marco de la asignatura Hacking \u00c9tico de la Universidad Central, un equipo de estudiantes de Ingenier\u00eda de Sistemas realiz\u00f3 una auditor\u00eda de seguridad completa sobre un sitio e-commerce montado en WordPress, alojado en Hostinger, con el \u00fanico prop\u00f3sito de identificar vulnerabilidades reales, documentarlas y aprender a corregirlas. Este art\u00edculo resume ese laboratorio de pentesting paso a paso, desde el contrato de autorizaci\u00f3n hasta el an\u00e1lisis de las 10 categor\u00edas del OWASP Top 10 2021.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Si te interesa la ciberseguridad, el desarrollo web o simplemente quieres saber qu\u00e9 tan expuesto puede estar un sitio en WordPress, sigue leyendo. Lo que encontramos puede sorprenderte.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>\u00bfQu\u00e9 es el <a href=\"https:\/\/niixer.com\/?s=Hacking+%C3%89tico\">Hacking \u00c9tico<\/a> y por qu\u00e9 es Obligatorio Tener un Contrato?<\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">El hacking \u00e9tico, tambi\u00e9n conocido como pentesting o prueba de<br>penetraci\u00f3n, consiste en simular ataques inform\u00e1ticos reales sobre un<br>sistema, con permiso expl\u00edcito del propietario, para identificar y<br>corregir vulnerabilidades antes de que un atacante malicioso lo haga.<br>La diferencia entre un auditor \u00e9tico y un ciberdelincuente no est\u00e1 en<br>las herramientas que usan, sino en un \u00fanico documento: el contrato de<br>autorizaci\u00f3n.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">En Colombia, la <a href=\"https:\/\/www.funcionpublica.gov.co\/eva\/gestornormativo\/norma.php?i=34492\">Ley 1273 de 2009<\/a> tipifica como delito el acceso no<br>autorizado a sistemas inform\u00e1ticos, con penas de hasta ocho a\u00f1os de<br>prisi\u00f3n. Escanear o intentar vulnerar un sistema sin autorizaci\u00f3n<br>escrita viola las buenas pr\u00e1cticas del sector, recogidas en est\u00e1ndares<br>como <a href=\"http:\/\/www.pentest-standard.org\/index.php\/Main_Page\">PTES<\/a>, NIST SP 800-115 y la OWASP Testing Guide, independientemente<br>de que el sistema sea propio o de terceros.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Por esta raz\u00f3n, antes de ejecutar cualquier prueba, el equipo firm\u00f3 un<br>contrato de autorizaci\u00f3n formal que detallaba el alcance de las pruebas,<br>las restricciones, las responsabilidades de cada parte y las ventanas<br>de tiempo autorizadas para el trabajo.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Conoce m\u00e1s sobre marcos legales de ciberseguridad en Colombia: <a href=\"https:\/\/niixer.com\/?s=marcos+legales+de+ciberseguridad+en+Colombia\">https:\/\/niixer.com\/?s=marcos+legales+de+ciberseguridad+en+Colombia<\/a><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Conoce mas sobre la Ley 1273 de 2009: <a href=\"https:\/\/www.funcionpublica.gov.co\/eva\/gestornormativo\/norma.php?i=34492\" type=\"link\" id=\"https:\/\/www.funcionpublica.gov.co\/eva\/gestornormativo\/norma.php?i=34492\">https:\/\/www.funcionpublica.gov.co\/eva\/gestornormativo\/norma.php?i=34492<\/a><\/h3>\n\n\n\n<div data-wp-interactive=\"core\/file\" class=\"wp-block-file\"><object data-wp-bind--hidden=\"!state.hasPdfPreview\" hidden class=\"wp-block-file__embed\" data=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/CONTRATO-DE-AUTORIZACION-DE-PRUEBAS-DE-PENETRACION-PENTESTING-\u2013-ACADEMICO-Mejorado-1.pdf\" type=\"application\/pdf\" style=\"width:100%;height:600px\" aria-label=\"Incrustado de CONTRATO DE AUTORIZACI\u00d3N DE PRUEBAS DE PENETRACI\u00d3N (PENTESTING) \u2013 ACAD\u00c9MICO - Mejorado.\"><\/object><a id=\"wp-block-file--media-b6c1841e-7db5-4d26-ae5c-e7a68568090f\" href=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/CONTRATO-DE-AUTORIZACION-DE-PRUEBAS-DE-PENETRACION-PENTESTING-\u2013-ACADEMICO-Mejorado-1.pdf\">CONTRATO DE AUTORIZACI\u00d3N DE PRUEBAS DE PENETRACI\u00d3N (PENTESTING) \u2013 ACAD\u00c9MICO &#8211; Mejorado<\/a><a href=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/CONTRATO-DE-AUTORIZACION-DE-PRUEBAS-DE-PENETRACION-PENTESTING-\u2013-ACADEMICO-Mejorado-1.pdf\" class=\"wp-block-file__button wp-element-button\" download aria-describedby=\"wp-block-file--media-b6c1841e-7db5-4d26-ae5c-e7a68568090f\">Descarga<\/a><\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Si se desea consultar m\u00e1s a profundidad el contrato se puede hacer desde: <a href=\"https:\/\/online.flippingbook.com\/view\/712528375\/\">https:\/\/online.flippingbook.com\/view\/712528375\/<\/a><\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>El <a href=\"https:\/\/palevioletred-wildcat-394676.hostingersite.com\/\">Sitio Auditado<\/a>: Una Tienda Virtual en <a href=\"https:\/\/wordpress.org\/\">WordPress<\/a><\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">El objetivo del laboratorio fue un sitio e-commerce construido y<br>administrado por el propio equipo auditor, lo que garantiz\u00f3 que todas<br>las pruebas se realizaran en un entorno controlado sin afectar sistemas<br>de terceros. El sitio presentaba la siguiente configuraci\u00f3n t\u00e9cnica:<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Plataforma: WordPress 6.9.4 con WooCommerce 10.6.1<\/li>\n\n\n\n<li>Tema: Flash Pro v2.4.17 de ThemeGrill<\/li>\n\n\n\n<li>Hosting: Hostinger con servidor LiteSpeed<\/li>\n\n\n\n<li>Backend: PHP 8.3.30 y MariaDB 11.8.6<\/li>\n\n\n\n<li>Plugins activos: 19<\/li>\n\n\n\n<li>Productos en tienda: 20 (simples y variables)<\/li>\n\n\n\n<li>P\u00e1ginas: tienda, checkout, cat\u00e1logo, blog, acerca de nosotros, PQR y<\/li>\n\n\n\n<li>contacto<\/li>\n<\/ul>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Sitio Web Auditado: <a href=\"https:\/\/palevioletred-wildcat-394676.hostingersite.com\/\">https:\/\/palevioletred-wildcat-394676.hostingersite.com\/<\/a><\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">La auditor\u00eda se estructur\u00f3 en tres grandes fases: (1) Reconocimiento<br>de Red, (2) An\u00e1lisis DNS, WHOIS y Certificados SSL\/TLS, y (3) Evaluaci\u00f3n<br>de Vulnerabilidades basada en el OWASP Top 10 2021.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><\/h3>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Fase 1: Reconocimiento de Red (<a href=\"https:\/\/www.incibe.es\/incibe-cert\/blog\/osint-la-informacion-es-poder\">OSINT<\/a>)<\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">El reconocimiento es la primera etapa de cualquier pentesting<br>profesional. Consiste en recopilar la mayor cantidad posible de<br>informaci\u00f3n sobre el objetivo antes de ejecutar pruebas intrusivas.<br>Existen dos tipos: el reconocimiento pasivo, que utiliza fuentes de<br>informaci\u00f3n p\u00fablica (OSINT) sin generar tr\u00e1fico directo al servidor; y<br>el reconocimiento activo, que s\u00ed establece contacto directo con el<br>sistema mediante herramientas como ping, traceroute o escaneos de<br>puertos.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Prueba de Conectividad con Ping<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">La herramienta ping utiliza el protocolo ICMP para verificar si un<br>servidor est\u00e1 en l\u00ednea. M\u00e1s all\u00e1 de confirmar la conectividad, en<br>pentesting permite identificar la direcci\u00f3n IP que resuelve el dominio,<br>la latencia y la posible presencia de un CDN.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Al ejecutar el comando sobre el sitio auditado, se identificaron dos<br>direcciones IP de respuesta distintas en tres ejecuciones consecutivas:<br>191.101.104.113 y 191.96.144.240. Este comportamiento confirm\u00f3 el uso<br>de balanceo de carga dentro de la red CDN de Hostinger, lo que oculta<br>la IP real del servidor de origen y dificulta los ataques directos de<br>denegaci\u00f3n de servicio (DoS\/DDoS). La latencia promedio fue inferior a<br>100 ms, con 0 % de p\u00e9rdida de paquetes.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"668\" height=\"548\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-1.webp\" alt=\"\" class=\"wp-image-86622\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-1.webp 668w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-1-300x246.webp 300w\" sizes=\"auto, (max-width: 668px) 100vw, 668px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"638\" height=\"226\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-parte-2-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86626\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-parte-2-convertido-de-png.webp 638w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-parte-2-convertido-de-png-300x106.webp 300w\" sizes=\"auto, (max-width: 638px) 100vw, 638px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"647\" height=\"400\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-parte-3.webp\" alt=\"\" class=\"wp-image-86623\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-parte-3.webp 647w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-1.-Resultado-del-comando-ping-hacia-el-sitio-objetivo-parte-3-300x185.webp 300w\" sizes=\"auto, (max-width: 647px) 100vw, 647px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Resultado obtenido: <\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"527\" height=\"282\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Informacion-Ip-obtenida-1.webp\" alt=\"\" class=\"wp-image-86628\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Informacion-Ip-obtenida-1.webp 527w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Informacion-Ip-obtenida-1-300x161.webp 300w\" sizes=\"auto, (max-width: 527px) 100vw, 527px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"542\" height=\"591\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Informacion-Ip-obtenida-2.webp\" alt=\"\" class=\"wp-image-86629\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Informacion-Ip-obtenida-2.webp 542w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Informacion-Ip-obtenida-2-275x300.webp 275w\" sizes=\"auto, (max-width: 542px) 100vw, 542px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Trazado de Ruta con Traceroute<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">El traceroute mapea los saltos de red entre el equipo del auditor y el<br>servidor destino. Se utiliz\u00f3 la variante TCP con el flag -T -p 80 para<br>atravesar los filtros de firewall corporativo, ya que muchos dispositivos<br>bloquean ICMP pero permiten TCP en el puerto 80 para no interrumpir el<br>tr\u00e1fico web. El resultado confirm\u00f3 que el CDN hcdn de Hostinger act\u00faa<br>como proxy inverso, ocultando por completo la ruta interna y la IP de<br>producci\u00f3n: una fortaleza importante frente a atacantes externos.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"756\" height=\"547\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-2.-Resultado-del-comando-tracert-hacia-el-sitio-objetivo.webp\" alt=\"\" class=\"wp-image-86630\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-2.-Resultado-del-comando-tracert-hacia-el-sitio-objetivo.webp 756w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-2.-Resultado-del-comando-tracert-hacia-el-sitio-objetivo-300x217.webp 300w\" sizes=\"auto, (max-width: 756px) 100vw, 756px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"605\" height=\"201\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Resultado-ejecucion-traceroute-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86632\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Resultado-ejecucion-traceroute-convertido-de-png.webp 605w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Resultado-ejecucion-traceroute-convertido-de-png-300x100.webp 300w\" sizes=\"auto, (max-width: 605px) 100vw, 605px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Resultados Explicaci\u00f3n comandos realizados:<\/strong><\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Primer comando: asteriscos (* * *) despu\u00e9s del primer salto (10.0.2.2).<\/li>\n\n\n\n<li>Segundo comando: (TCP en puerto 80): se logra llegar a 191.101.104.121 pero sin mostrar los saltos intermedios.<\/li>\n<\/ul>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>An\u00e1lisis:<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">La falta de respuestas se debe a que los routers intermedios (y el CDN) est\u00e1n configurados para no responder a traceroute. Esto es una buena pr\u00e1ctica defensiva que dificulta el mapeo de la red por parte de atacantes. Solo se confirma que el tr\u00e1fico sale de la m\u00e1quina virtual y llega al datacenter de Hostinger.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Hallazgo obtenido:<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">El traceroute ICMP est\u00e1ndar mostr\u00f3 \u00fanicamente la puerta de enlace local (10.0.2.2 de la VM) y luego todos los saltos como * * *, indicando que los routers del CDN est\u00e1n configurados para no responder a ICMP Time Exceeded medida de seguridad est\u00e1ndar. Con el protocolo TCP (-T -p 80) se logr\u00f3 identificar el primer salto p\u00fablico: 191.101.104.121, perteneciente a la infraestructura CDN de Hostinger. La ruta completa permanece oculta por dise\u00f1o , lo que constituye una <strong>FORTALEZA <\/strong>de la infraestructura.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Obtenci\u00f3n de la IP P\u00fablica:<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">En Pentesting es fundamental conocer tanto la IP p\u00fablica del atacante (para verificar cu\u00e1l identidad tiene en internet) como la IP p\u00fablica del objetivo (para saber a qu\u00e9 direcci\u00f3n apunta el dominio).<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><em>IP p\u00fablica del equipo pentester:<\/em><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"615\" height=\"157\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-3.-Obtencion-de-la-direccion-IP-publica-desde-la-consola-IP-publica-del-equipo-pentester.webp\" alt=\"\" class=\"wp-image-86634\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-3.-Obtencion-de-la-direccion-IP-publica-desde-la-consola-IP-publica-del-equipo-pentester.webp 615w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-3.-Obtencion-de-la-direccion-IP-publica-desde-la-consola-IP-publica-del-equipo-pentester-300x77.webp 300w\" sizes=\"auto, (max-width: 615px) 100vw, 615px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Este comando hace una solicitud HTTP a un servicio externo que devuelve la IP p\u00fablica desde la que se est\u00e1 enviando la petici\u00f3n, es decir, la IP p\u00fablica del equipo pentester. \u00datil para verificar si el equipo est\u00e1 usando VPN o proxy.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><em><em>IP p\u00fablica del dominio objetivo:<\/em><\/em><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"658\" height=\"212\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-3.-Obtencion-de-la-direccion-IP-publica-desde-la-consola-IP-publica-del-dominio-objetivo-1.webp\" alt=\"\" class=\"wp-image-86635\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-3.-Obtencion-de-la-direccion-IP-publica-desde-la-consola-IP-publica-del-dominio-objetivo-1.webp 658w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-3.-Obtencion-de-la-direccion-IP-publica-desde-la-consola-IP-publica-del-dominio-objetivo-1-300x97.webp 300w\" sizes=\"auto, (max-width: 658px) 100vw, 658px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Escaneo de Puertos con Nmap<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">El escaneo de puertos identific\u00f3 qu\u00e9 servicios estaba exponiendo el<br>servidor. Se ejecutaron tres variantes progresivas:<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"758\" height=\"282\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nmap-F-dominio.webp\" alt=\"\" class=\"wp-image-86636\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nmap-F-dominio.webp 758w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nmap-F-dominio-300x112.webp 300w\" sizes=\"auto, (max-width: 758px) 100vw, 758px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>nmap -F:<\/strong> escaneo r\u00e1pido de los 100 puertos m\u00e1s comunes. Resultado: \u00fanicamente los puertos 80 (HTTP) y 443 (HTTPS) aparecieron abiertos.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"766\" height=\"492\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nmap-nmap-sV-DOMINIO.webp\" alt=\"\" class=\"wp-image-86637\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nmap-nmap-sV-DOMINIO.webp 766w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nmap-nmap-sV-DOMINIO-300x193.webp 300w\" sizes=\"auto, (max-width: 766px) 100vw, 766px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>nmap -sV: <\/strong>detecci\u00f3n de versiones de servicios.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Resultado:<\/strong> servidor web nginx identificado con sus versiones de HTTP soportadas. La exposici\u00f3n de la versi\u00f3n exacta de nginx representa una vulnerabilidad de A05 (Security Misconfiguration), pues un atacante puede buscar CVEs espec\u00edficos de esa versi\u00f3n.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"776\" height=\"481\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio.webp\" alt=\"\" class=\"wp-image-86638\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio.webp 776w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-300x186.webp 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-768x476.webp 768w\" sizes=\"auto, (max-width: 776px) 100vw, 776px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"675\" height=\"532\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-2.webp\" alt=\"\" class=\"wp-image-86639\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-2.webp 675w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-2-300x236.webp 300w\" sizes=\"auto, (max-width: 675px) 100vw, 675px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"760\" height=\"485\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-3.webp\" alt=\"\" class=\"wp-image-86640\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-3.webp 760w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-3-300x191.webp 300w\" sizes=\"auto, (max-width: 760px) 100vw, 760px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"732\" height=\"470\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-4.webp\" alt=\"\" class=\"wp-image-86641\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-4.webp 732w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-4-300x193.webp 300w\" sizes=\"auto, (max-width: 732px) 100vw, 732px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"696\" height=\"540\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-5.webp\" alt=\"\" class=\"wp-image-86642\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-5.webp 696w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-1.4.3-nmap-A-Dominio-parte-5-300x233.webp 300w\" sizes=\"auto, (max-width: 696px) 100vw, 696px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>nmap -A<\/strong>: escaneo completo que incluye detecci\u00f3n de sistema operativo, scripts NSE y traceroute. Confirm\u00f3 el uso de CDN hcdn y balanceo de carga activo.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Fortaleza Identificada:<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">En cuanto al an\u00e1lisis de los puertos, se evidencia la correlaci\u00f3n de los puertos abiertos con sus servicios. El puerto 80 (HTTP) redirige al 443, mientras que el 443 (HTTPS) es el que realmente sirve el contenido. Un sitio bien configurado no deber\u00eda tener otros puertos abiertos, por lo que esto nos indica que vamos bien. Adicionalmente, la detecci\u00f3n de nginx es un hallazgo de seguridad en s\u00ed mismo. Explica que exponer la versi\u00f3n del servidor web (por ejemplo, nginx\/1.18.0) ayuda a un atacante a buscar exploits espec\u00edficos. La mejor pr\u00e1ctica es ocultar la versi\u00f3n del servidor.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Fase 2: An\u00e1lisis DNS, WHOIS y Certificados SSL\/TLS<\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">La segunda fase aplic\u00f3 t\u00e9cnicas de reconocimiento pasivo mediante OSINT<br>para analizar la infraestructura p\u00fablica del dominio sin generar tr\u00e1fico<br>intrusivo al servidor.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Consultas DNS: Mapeando la Infraestructura<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Los registros DNS son la agenda telef\u00f3nica de internet. Al consultarlos se puede obtener informaci\u00f3n valiosa sobre la arquitectura de un sitio:<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full is-resized\"><img loading=\"lazy\" decoding=\"async\" width=\"591\" height=\"193\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-A-Direccion-IPv4.png\" alt=\"\" class=\"wp-image-86648\" style=\"width:591px;height:auto\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-A-Direccion-IPv4.png 591w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-A-Direccion-IPv4-300x98.png 300w\" sizes=\"auto, (max-width: 591px) 100vw, 591px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Registro A:<\/strong> el dominio auditado no apuntaba directamente a un servidor, sino a un alias CNAME que redirig\u00eda hacia la infraestructura CDN de Hostinger (free.cdn.hstgr.net), con dos IPs de balanceo simult\u00e1neas.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"518\" height=\"254\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-MX-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86649\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-MX-convertido-de-png.webp 518w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-MX-convertido-de-png-300x147.webp 300w\" sizes=\"auto, (max-width: 518px) 100vw, 518px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Registro MX:<\/strong> la ausencia de servidores de correo tradicionales expuestos confirm\u00f3 la delegaci\u00f3n total de la gesti\u00f3n DNS a Cloudflare (emily.ns.cloudflare.com y terin.ns.cloudflare.com).<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"518\" height=\"254\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-MX-convertido-de-png-1.webp\" alt=\"\" class=\"wp-image-86650\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-MX-convertido-de-png-1.webp 518w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Registro-MX-convertido-de-png-1-300x147.webp 300w\" sizes=\"auto, (max-width: 518px) 100vw, 518px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Registro TXT:<\/strong> revel\u00f3 la pol\u00edtica SPF configurada como &#8220;v=spf1 -all&#8221; (Hard Fail), lo que significa que ninguna direcci\u00f3n IP est\u00e1 autorizada para enviar correos usando el dominio, bloqueando el spoofing de correo electr\u00f3nico.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>An\u00e1lisis WHOIS: Privacidad del Dominio Verificada<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading has-text-align-left\">La consulta WHOIS confirm\u00f3 que los datos personales del propietario<br>est\u00e1n protegidos mediante WHOIS Privacy, cumpliendo con los est\u00e1ndares<br>de privacidad en internet. El registrante identificado fue HOSTINGER<br>operations, UAB. El dominio contaba con el estado<br>clientTransferProhibited activo, lo que bloquea transferencias no<br>autorizadas y previene el secuestro del dominio (domain hijacking).<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"626\" height=\"201\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com_.webp\" alt=\"\" class=\"wp-image-86653\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com_.webp 626w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com_-300x96.webp 300w\" sizes=\"auto, (max-width: 626px) 100vw, 626px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"566\" height=\"767\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com-parte-2.webp\" alt=\"\" class=\"wp-image-86655\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com-parte-2.webp 566w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com-parte-2-221x300.webp 221w\" sizes=\"auto, (max-width: 566px) 100vw, 566px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"551\" height=\"134\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com-parte-3.webp\" alt=\"\" class=\"wp-image-86657\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com-parte-3.webp 551w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-whois-hostingersite.com-parte-3-300x73.webp 300w\" sizes=\"auto, (max-width: 551px) 100vw, 551px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>An\u00e1lisis de Mejores Pr\u00e1cticas:<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>\u00bfLa informaci\u00f3n est\u00e1 protegida por Privacidad de Dominio?:<\/strong> S\u00ed. La base de datos WHOIS de VeriSign no expone datos personales de contacto (nombre, tel\u00e9fono o correo) del propietario real del sitio web. Solo exhibe la informaci\u00f3n corporativa del registrador base (Hostinger), cumpliendo con est\u00e1ndares actuales de privacidad en internet y dificultando labores de ingenier\u00eda social.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>An\u00e1lisis de Certificados SSL\/TLS<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>SSL (Secure Sockets Layer) y su sucesor TLS (Transport Layer Security) son protocolos criptogr\u00e1ficos<\/strong> que garantizan la confidencialidad, integridad y autenticidad de las comunicaciones entre el navegador del usuario y el servidor web. La presencia del candado verde y el prefijo HTTPS en la URL indica que la comunicaci\u00f3n est\u00e1 cifrada.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Un certificado SSL contiene: <\/strong>el nombre del dominio para el cual fue emitido (CN \u2013 Common Name), el nombre de la autoridad certificadora (CA) que lo emiti\u00f3, la clave p\u00fablica del servidor, las fechas de validez (inicio y expiraci\u00f3n), y la firma digital de la CA.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Mediante el comando openssl s_client se analiz\u00f3 la cadena completa del certificado. Los hallazgos fueron positivos:<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Protocolo: TLSv1.3 (el m\u00e1s moderno y seguro seg\u00fan el RFC 8446)<\/li>\n\n\n\n<li>Cifrador: TLS_AES_256_GCM_SHA384 (est\u00e1ndar de alta seguridad)<\/li>\n\n\n\n<li>Tipo: Wildcard (*.hostingersite.com, cubre todos los subdominios)<\/li>\n\n\n\n<li>Autoridad Certificadora: DigiCert Inc \u2192 RapidSSL TLS RSA CA G1<\/li>\n\n\n\n<li>Vigencia: 26 de marzo de 2026 al 10 de octubre de 2026<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"486\" height=\"591\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443.webp\" alt=\"\" class=\"wp-image-86659\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443.webp 486w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-247x300.webp 247w\" sizes=\"auto, (max-width: 486px) 100vw, 486px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"541\" height=\"691\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-2.webp\" alt=\"\" class=\"wp-image-86660\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-2.webp 541w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-2-235x300.webp 235w\" sizes=\"auto, (max-width: 541px) 100vw, 541px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"572\" height=\"695\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-3.webp\" alt=\"\" class=\"wp-image-86661\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-3.webp 572w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-3-247x300.webp 247w\" sizes=\"auto, (max-width: 572px) 100vw, 572px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"547\" height=\"576\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-4-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86658\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-4-convertido-de-png.webp 547w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Figura-10.-Validacion-del-certificado-SSL-con-openssl-s_client-puerto-443-parte-4-convertido-de-png-285x300.webp 285w\" sizes=\"auto, (max-width: 547px) 100vw, 547px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Sin embargo, se detect\u00f3 una advertencia importante: la compresi\u00f3n HTTP<br>activa (&#8216;deflate&#8217;) junto con HTTPS activa la vulnerabilidad BREACH<br>(CVE-2013-3587), que podr\u00eda permitir a un atacante con posici\u00f3n<br>Man-in-the-Middle deducir tokens CSRF midiendo el tama\u00f1o de las<br>respuestas comprimidas.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Fortaleza criptogr\u00e1fica confirmada:<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">TLSv1.3 con AES-256-GCM-SHA384 es el est\u00e1ndar de cifrado m\u00e1s seguro disponible. La CA emisora DigiCert\/RapidSSL es de m\u00e1xima confianza global. El certificado Wildcard con vigencia corta (6 meses) reduce la ventana de exposici\u00f3n ante una eventual compromisi\u00f3n de la clave privada.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Identificar Subdominios y Servicios Asociados (NS)<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Los subdominios pueden revelar servicios adicionales de la organizaci\u00f3n:<\/strong> paneles de administraci\u00f3n (admin.dominio.com), entornos de desarrollo o staging (dev.dominio.com, test.dominio.com), servicios de correo (mail.dominio.com), o aplicaciones secundarias que pueden tener menos medidas de seguridad que el sitio principal. En nuestro caso, el profesor indic\u00f3 que se mont\u00f3 un subdominio adicional para la pr\u00e1ctica.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"559\" height=\"345\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nslookup-typeNS-hostingersite.com-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86662\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nslookup-typeNS-hostingersite.com-convertido-de-png.webp 559w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Ejecucion-del-comando-nslookup-typeNS-hostingersite.com-convertido-de-png-300x185.webp 300w\" sizes=\"auto, (max-width: 559px) 100vw, 559px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Este comando revela las direcciones de los &#8220;Name Servers&#8221; (Servidores de Nombre de Dominio) que tienen la autoridad t\u00e9cnica para indicar a d\u00f3nde debe ir el tr\u00e1fico de la web.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Hallazgo:<\/strong> Los servidores NS son EMILY.NS.CLOUDFLARE.COM y TERIN.NS.CLOUDFLARE.COM. Cloudflare act\u00faa como capa de protecci\u00f3n DNS adicional, enrutando el tr\u00e1fico a trav\u00e9s de su red global antes de llegar a Hostinger.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Fase 3: Vulnerabilidades OWASP Top 10 2021 \u2014 Los Hallazgos M\u00e1s Cr\u00edticos<\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">La tercera fase fue la m\u00e1s t\u00e9cnica e impactante. OWASP (Open Web<br>Application Security Project) es una fundaci\u00f3n sin \u00e1nimo de lucro que<br>publica la lista de las 10 vulnerabilidades web m\u00e1s cr\u00edticas y<br>frecuentes. La versi\u00f3n 2021 fue la que se aplic\u00f3 sobre el sitio<br>auditado.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A01: Broken Access Control \u2014 El Archivo que No Deber\u00eda Verse<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Ocurre cuando los usuarios acceden a recursos o funciones fuera de sus permisos, incluyendo: ver datos de otros usuarios, funciones administrativas sin autorizaci\u00f3n ni autenticaci\u00f3n, o archivos de configuraci\u00f3n sensibles y cr\u00edticos expuestos p\u00fablicamente. Por ejemplo, un usuario no administrador accediendo al panel de WordPress, o cualquier usuario pudiendo ver pedidos de otros clientes. Es la vulnerabilidad #1 de OWASP 2021 por su alta prevalencia en aplicaciones web reales.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"215\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/ejecucion-comando-curl-Iwp-adin-prueba-1-A01-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86664\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/ejecucion-comando-curl-Iwp-adin-prueba-1-A01-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/ejecucion-comando-curl-Iwp-adin-prueba-1-A01-convertido-de-png-300x107.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"99\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-nmap-script-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86667\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-nmap-script-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-nmap-script-convertido-de-png-300x49.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El archivo wp-config.php es el m\u00e1s cr\u00edtico de cualquier instalaci\u00f3n<br>WordPress: contiene las credenciales de la base de datos, las claves<br>secretas de autenticaci\u00f3n y los par\u00e1metros de configuraci\u00f3n central.<br>Al ejecutar una petici\u00f3n HTTP HEAD sobre este archivo con el comando<br>curl -I, el servidor respondi\u00f3 con HTTP 200, lo que signific\u00f3 que<br>cualquier usuario de internet pod\u00eda acceder a \u00e9l sin ning\u00fan tipo de<br>autenticaci\u00f3n. Este hallazgo tiene un CVSS v3 estimado de 9.8 (CR\u00cdTICO)<br>y comprometer\u00eda absolutamente todos los datos del sitio: usuarios,<br>transacciones y claves secretas.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Adicionalmente, el panel de administraci\u00f3n \/wp-admin no ten\u00eda protecci\u00f3n<br>adicional m\u00e1s all\u00e1 del formulario de login, el cual no presentaba l\u00edmite<br>de intentos fallidos, exponiendo el sistema a ataques de fuerza bruta.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A02: Fallos Criptogr\u00e1ficos \u2014 TLS 1.3 como Fortaleza, BREACH como Advertencia<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Antes conocida como &#8216;Exposici\u00f3n de Datos Sensibles&#8217;. Se centra en fallas en el cifrado de datos en tr\u00e1nsito (comunicaciones sin cifrar o con cifrado d\u00e9bil) y en reposo (contrase\u00f1as en texto plano, claves expuestas). Incluye: uso de algoritmos obsoletos (MD5, SHA1, RC4), certificados expirados o autofirmados,protocolo TLS desactualizado (1.0\/1.1), y ausencia de cifrado y transmisi\u00f3n de datos sensibles sin cifrar.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"99\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-nmap-script.png\" alt=\"\" class=\"wp-image-86668\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-nmap-script.png 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-nmap-script-300x49.png 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"576\" height=\"368\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-TLS-1.2-y-1.3-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86669\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-TLS-1.2-y-1.3-convertido-de-png.webp 576w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A02-TLS-1.2-y-1.3-convertido-de-png-300x192.webp 300w\" sizes=\"auto, (max-width: 576px) 100vw, 576px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El escaneo con el script NSE ssl-enum-ciphers de Nmap confirm\u00f3 que el<br>servidor soporta TLS 1.2 y TLS 1.3, sin cipher suites inseguros. Sin<br>embargo, la compresi\u00f3n HTTP activa mantuvo la vulnerabilidad BREACH<br>catalogada en severidad media.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A03: Inyecci\u00f3n SQL y XSS \u2014 El WAF como Primera L\u00ednea de Defensa<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Los ataques de inyecci\u00f3n ocurren cuando datos no confiables son enviados a un int\u00e9rprete como parte de un comando o consulta. SQL Injection manipula consultas a la base de datos. Mientras que Cross-Site Scripting (XSS) inyecta scripts maliciosos en p\u00e1ginas web vistas por otros usuarios. En OWASP 2021, XSS qued\u00f3 incluido dentro de A03, junto con SQL, NoSQL, LDAP, OS command injection y otras formas de inyecci\u00f3n.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">WordPress tiene m\u00faltiples puntos de entrada de datos: buscador interno (?s=), \u00bfpar\u00e1metros de productos (?product_id=), campos de formularios de contacto\/PQR (Everest Forms), y el formulario de login (\/wp-login.php).<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Estos se probaron en: \u00bfcampo de b\u00fasqueda (?s=), campos del formulario de contacto y PQR (Everest Forms), y campos del checkout de WooCommerce. Los payloads deben ingresarse en cada campo y verificar si el script se ejecuta (alert box aparece en el navegador = XSS confirmado) o si el contenido se codifica\/escapa correctamente. WordPress sanitiza la mayor\u00eda de las entradas con funciones como sanitize_text_field() y esc_html(), pero plugins de terceros pueden omitir esta sanitizaci\u00f3n.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"332\" height=\"359\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Primera-forma-Intento-por-formularios-OR-11-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86673\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Primera-forma-Intento-por-formularios-OR-11-convertido-de-png.webp 332w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Primera-forma-Intento-por-formularios-OR-11-convertido-de-png-277x300.webp 277w\" sizes=\"auto, (max-width: 332px) 100vw, 332px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"414\" height=\"483\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-82.png\" alt=\"\" class=\"wp-image-86674\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-82.png 414w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-82-257x300.png 257w\" sizes=\"auto, (max-width: 414px) 100vw, 414px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Segunda Forma SQL Injection \u2013 SQLMap<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"367\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/sqlmap-u-a-pqr-peticiones-quejas-y-reclamos-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86675\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/sqlmap-u-a-pqr-peticiones-quejas-y-reclamos-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/sqlmap-u-a-pqr-peticiones-quejas-y-reclamos-convertido-de-png-300x183.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Las pruebas con SQLMap sobre el formulario de PQR (Peticiones, Quejas<br>y Reclamos) resultaron en una respuesta HTTP 403 desde el primer<br>intento, indicando que el WAF de Hostinger y Cloudflare detect\u00f3 y<br>bloque\u00f3 autom\u00e1ticamente los patrones de escaneo automatizado. Si bien<br>esto es una fortaleza, los WAFs no son protecci\u00f3n absoluta: t\u00e9cnicas<br>de evasi\u00f3n como codificaci\u00f3n URL o payloads polim\u00f3rficos pueden<br>sortearlos. La protecci\u00f3n real contra inyecci\u00f3n debe implementarse a<br>nivel de c\u00f3digo con consultas parametrizadas (prepared statements).<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A04: Dise\u00f1o Inseguro \u2014 Login sin L\u00edmite de Intentos<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Categor\u00eda nueva en OWASP 2021 que se enfoca en riesgos derivados de decisiones de dise\u00f1o arquitect\u00f3nico incorrectas, no de errores de implementaci\u00f3n. Un sistema puede estar bien codificado, pero mal dise\u00f1ado, desde el inicio. La clave es que estos problemas no pueden ser corregidos s\u00f3lo con mejor c\u00f3digo: requieren redise\u00f1o de la soluci\u00f3n.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Se realizaron m\u00e1s de cinco intentos de login fallidos consecutivos en<br>\/wp-login.php con credenciales incorrectas. El sistema no bloque\u00f3<br>el acceso, no mostr\u00f3 CAPTCHA, no activ\u00f3 ning\u00fan lockout temporal y no<br>alert\u00f3 al administrador. Esto expone el sitio a ataques automatizados<br>con diccionarios como rockyou.txt (14 millones de contrase\u00f1as), usando<br>herramientas como Hydra o Burp Suite Intruder. La URL est\u00e1ndar<br>\/wp-login.php es conocida por todos los atacantes y ninguna capa<br>adicional de protecci\u00f3n la resguardaba.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"273\" height=\"305\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A04-Insecure-Desing-prueba-1-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86677\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A04-Insecure-Desing-prueba-1-convertido-de-png.webp 273w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A04-Insecure-Desing-prueba-1-convertido-de-png-269x300.webp 269w\" sizes=\"auto, (max-width: 273px) 100vw, 273px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"418\" height=\"448\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-83.png\" alt=\"\" class=\"wp-image-86679\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-83.png 418w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-83-280x300.png 280w\" sizes=\"auto, (max-width: 418px) 100vw, 418px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"286\" height=\"312\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A04-Insecure-Desing-prueba-2-convertido-de-png-1.webp\" alt=\"\" class=\"wp-image-86678\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A04-Insecure-Desing-prueba-2-convertido-de-png-1.webp 286w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A04-Insecure-Desing-prueba-2-convertido-de-png-1-275x300.webp 275w\" sizes=\"auto, (max-width: 286px) 100vw, 286px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"399\" height=\"430\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-84.png\" alt=\"\" class=\"wp-image-86680\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-84.png 399w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-84-278x300.png 278w\" sizes=\"auto, (max-width: 399px) 100vw, 399px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">La ausencia de bloqueo de intentos de login expone el sitio a ataques de fuerza bruta y diccionario. Un atacante puede automatizar miles de intentos por segundo con herramientas como Hydra o Burp Suite Intruder, probando contrase\u00f1as comunes (admin\/123456, admin\/password) o diccionarios como rockyou.txt (14 millones de contrase\u00f1as) usando comandos comohydra -l admin -P \/usr\/share\/wordlists\/rockyou.txt palevioletred-wildcat-394676.hostingersite.com http-post-form &#8216;\/wp-login.php:log=^USER^&amp;pwd=^PASS^:ERROR&#8217;. La falta de bloqueo es una falla de dise\u00f1o que debi\u00f3 corregirse desde la configuraci\u00f3n inicial del sitio.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A05: Configuraci\u00f3n Incorrecta de Seguridad \u2014 Cuatro Vulnerabilidades en los Headers<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Incluye: uso de configuraciones por defecto inseguras, permisos mal configurados, mensajes de error demasiado detallados que revelan informaci\u00f3n del sistema, funcionalidades habilitadas innecesariamente, y falta de headers (encabezados) HTTP de seguridad faltantes, versiones de software expuestas, funcionalidades habilitadas innecesariamente, y mensajes de error demasiado detallados. Absorbe la categor\u00eda anterior de XXE (Entidades Externas XML).<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>\u00bfQu\u00e9 es Nikto?<\/strong>: Nikto es un esc\u00e1ner de servidores web open source que verifica m\u00e1s de 6,700 archivos potencialmente peligrosos, versiones desactualizadas de servidores, y problemas de configuraci\u00f3n. Genera un informe detallado de: headers de seguridad faltantes, archivos\/directorios sensibles accesibles, versiones de software expuestas, y posibles vectores de ataque.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">El esc\u00e1ner Nikto identific\u00f3 cuatro vulnerabilidades derivadas de headers<br>HTTP ausentes o mal configurados:<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"39\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-1-\u2013-Vulnerable-a-Clickjacking-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86681\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-1-\u2013-Vulnerable-a-Clickjacking-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-1-\u2013-Vulnerable-a-Clickjacking-convertido-de-png-300x19.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Clickjacking: <\/strong>ausencia de X-Frame-Options. El sitio puede ser embebido en iframes maliciosos para enga\u00f1ar a usuarios y robar datos de pago.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"61\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-2-\u2013-Vulnerable-a-MIME-Sniffing-falta-X-Content-Type-Options-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86682\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-2-\u2013-Vulnerable-a-MIME-Sniffing-falta-X-Content-Type-Options-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-2-\u2013-Vulnerable-a-MIME-Sniffing-falta-X-Content-Type-Options-convertido-de-png-300x30.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>MIME Sniffing:<\/strong> ausencia de X-Content-Type-Options. Un archivo malicioso podr\u00eda ser ejecutado como script por el navegador.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"44\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-3-\u2013-Vulnerable-a-SSL-Stripping-falta-HSTS-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86683\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-3-\u2013-Vulnerable-a-SSL-Stripping-falta-HSTS-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-3-\u2013-Vulnerable-a-SSL-Stripping-falta-HSTS-convertido-de-png-300x22.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>SSL Stripping<\/strong>: ausencia de HSTS (HTTP Strict Transport Security). Un atacante MitM puede interceptar la conexi\u00f3n antes de la redirecci\u00f3n a HTTPS.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full is-resized\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"32\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-4-\u2013-Vulnerable-a-BREACH-compresion-HTTP-activa-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86684\" style=\"width:760px;height:auto\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-4-\u2013-Vulnerable-a-BREACH-compresion-HTTP-activa-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Hallazgo-4-\u2013-Vulnerable-a-BREACH-compresion-HTTP-activa-convertido-de-png-300x16.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">compresi\u00f3n HTTP activa (deflate) junto con HTTPS,<br>que permite deducir tokens CSRF midiendo el tama\u00f1o de las respuestas.<br>Adicionalmente, las versiones de PHP (8.3.30) y nginx estaban<br>expuestas en los headers del servidor.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A06: Componentes Vulnerables \u2014 Plugins Desactualizados<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Uso de bibliotecas, frameworks, plugins, temas o cualquier componente de software con versiones desactualizadas que tienen vulnerabilidades conocidas (CVEs) o que ya no reciben soporte de seguridad. El 97% de las aplicaciones web tiene al menos un componente vulnerable seg\u00fan el OWASP Top 10 2021.4<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>IDENTIFICACI\u00d3N DE PLUGINS CON WPSCAN<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>\u00bfQu\u00e9 es WPScan? <\/strong>WPScan es el esc\u00e1ner de seguridad m\u00e1s especializado del mundo para sitios WordPress. Detecta plugins instalados y sus versiones, temas WordPress y sus versiones, usuarios registrados, configuraciones inseguras espec\u00edficas de WordPress, y vulnerabilidades conocidas (CVEs) usando su base de datos actualizada diariamente.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"348\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Uso-de-WPScan-para-plugins-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86685\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Uso-de-WPScan-para-plugins-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Uso-de-WPScan-para-plugins-convertido-de-png-300x173.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"595\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-85.png\" alt=\"\" class=\"wp-image-86686\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-85.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-85-300x190.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-85-768x486.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"618\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-86.png\" alt=\"\" class=\"wp-image-86687\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-86.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-86-300x197.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-86-768x505.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">WPScan identific\u00f3 que Font Awesome 5.1.4 ya no recibe actualizaciones<br>de seguridad y que WooCommerce ten\u00eda disponible una versi\u00f3n m\u00e1s<br>reciente. La carga de Font Awesome desde un CDN externo representa<br>adem\u00e1s un riesgo de supply chain attack. La verificaci\u00f3n en el NVD<br>(National Vulnerability Database) de nvd.nist.gov es la pr\u00e1ctica<br>recomendada para cada componente instalado.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A07: Fallos de Autenticaci\u00f3n \u2014 xmlrpc.php, la Puerta Trasera de WordPress<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Debilidades en los mecanismos de autenticaci\u00f3n y gesti\u00f3n de sesiones que permiten a atacantes suplantar identidades. Incluye: contrase\u00f1as d\u00e9biles, ausencia de MFA, gesti\u00f3n insegura de sesiones, exposici\u00f3n de identificadores de sesi\u00f3n, y endpoints de autenticaci\u00f3n alternativos no protegidos como xmlrpc.php.<\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"401\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-87.png\" alt=\"\" class=\"wp-image-86688\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-87.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-87-300x128.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-87-768x327.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"563\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-88.png\" alt=\"\" class=\"wp-image-86689\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-88.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-88-300x180.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-88-768x460.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"920\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-89.png\" alt=\"\" class=\"wp-image-86690\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-89.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-89-300x293.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-89-768x751.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"951\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-90.png\" alt=\"\" class=\"wp-image-86691\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-90.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-90-297x300.png 297w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-90-768x776.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"897\" height=\"1024\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-91-897x1024.png\" alt=\"\" class=\"wp-image-86692\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-91-897x1024.png 897w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-91-263x300.png 263w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-91-768x877.png 768w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-91.png 941w\" sizes=\"auto, (max-width: 897px) 100vw, 897px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Este fue uno de los hallazgos m\u00e1s cr\u00edticos del laboratorio. El archivo<br>xmlrpc.php, una API heredada de WordPress, estaba activo y expon\u00eda el<br>m\u00e9todo system.multicall, que permite enviar hasta 500 intentos de<br>autenticaci\u00f3n en UN SOLO request HTTP. Esto elude completamente los<br>l\u00edmites de intentos configurados en \/wp-login.php, ya que los plugins<br>de seguridad protegen la ruta de login est\u00e1ndar, pero no esta API<br>alternativa. Adicionalmente, el m\u00e9todo pingback.ping habilitado puede<br>usarse como vector de amplificaci\u00f3n para ataques DDoS.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A08: Integridad del Software \u2014 El Repositorio Git Expuesto<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Cubre situaciones donde el c\u00f3digo o los datos no tienen verificaci\u00f3n de integridad. Incluye exposici\u00f3n de repositorios Git (.git\/config), pipelines CI\/CD sin protecci\u00f3n, actualizaciones sin verificaci\u00f3n de firma, y deserializaci\u00f3n insegura de objetos La exposici\u00f3n de. git permite reconstruir el c\u00f3digo fuente completo. Incluye, en el contexto de WordPress, la instalaci\u00f3n de plugins desde fuentes no verificadas, actualizaciones autom\u00e1ticas sin control, y posible manipulaci\u00f3n de plugins\/temas.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Prueba Ejecutada (Git Bash):<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"558\" height=\"159\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Prueba-Ejecutada-Git-Bash-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86693\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Prueba-Ejecutada-Git-Bash-convertido-de-png.webp 558w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Prueba-Ejecutada-Git-Bash-convertido-de-png-300x85.webp 300w\" sizes=\"auto, (max-width: 558px) 100vw, 558px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El servidor retorna HTTP 403 (Forbidden) a las peticiones de. git\/config y .git\/HEAD, confirmando que el directorio. git no es accesible p\u00fablicamente. El sitio NO es vulnerable a este vector de ataque, est\u00e1 correctamente protegido contra este vector de ataque.Indicando que la infraestructura protege proactivamente los directorios sensibles.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>prueba de enumeraci\u00f3n de repositorios Git expuestos.<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"400\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Prueba-de-gitdumper.sh-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86694\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Prueba-de-gitdumper.sh-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Prueba-de-gitdumper.sh-convertido-de-png-300x199.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El resultado obtenido nos permite reconocer que el dominio existe, responde correctamente y tiene conectividad; el servidor acepta conexiones TLS y HTTPS funciona correctamente La conexi\u00f3n se realiza de forma segura mediante SSL\/TLS<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Prueba verificaci\u00f3n de exposici\u00f3n de archivos internos Git<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"383\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-92.png\" alt=\"\" class=\"wp-image-86695\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-92.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-92-300x122.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-92-768x313.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">La respuesta obtenida, <strong>CRYPT_E_NO_REVOCATION_CHECK<\/strong>, nos indica que Windows (Git Bash usa Schannel) intent\u00f3 resolver el dominio. establecer conexi\u00f3n HTTPS y validar el certificado SSL\/TLS, pero fall\u00f3 porque no pudo verificar el estado de revocaci\u00f3n del certificado. En pocas palabras, el equipo s\u00ed logr\u00f3 encontrar al servidor, iniciar conexi\u00f3n HTTPS, contactar al sitio, pero no pudo validar completamente el certificado SSL.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Prueba para verificar si un servidor expone archivos internos del repositori<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"565\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-93.png\" alt=\"\" class=\"wp-image-86696\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-93.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-93-300x180.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-93-768x461.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El resultado obtenido nos indic\u00f3 una resoluci\u00f3n DNS exitosa,El dominio responde correctamente, Conexi\u00f3n HTTPS exitosa lo que indica que el TLS\/SSL funciona correctamente. Negociaci\u00f3n HTTP exitosa al comando <strong>GET \/.git\/HEAD HTTP\/1.1<\/strong> el servidor responde <strong>HTTP\/1.1 403 Forbidden<\/strong>, esto significa que el servidor reconoci\u00f3 la ruta .git\/HEAD, proces\u00f3 correctamente la solicitud y decidi\u00f3 bloquear el acceso.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Esto es muy importante porque es lo que nos indica que el recurso est\u00e1 protegido. Desde OWASP esto es una mitigaci\u00f3n correcta ya que el servidor est\u00e1 evitando exposici\u00f3n del repositorio, fuga de c\u00f3digo fuente y acceso a archivos internos Git.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>prueba de la conexi\u00f3n HTTPS y obtener una respuesta HTTP real del servidor.\u00a0<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"199\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-94.png\" alt=\"\" class=\"wp-image-86697\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-94.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-94-300x63.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-94-768x162.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El resultado nos muestra que la descarga fue exitosa, el repositorio qued\u00f3 correctamente instalado en nuestro equipo. Lo que representa un riesgo potencial ya que Si el sitio expusiera. git, GitTools el atacante podr\u00eda: descargar el repositorio, reconstruir commits y recuperar archivos eliminados. Lo que comprometer\u00eda la confidencialidad, integridad y seguridad del software.\u00a0<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Prueba para Verificar configuraci\u00f3n SSL externamente<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"938\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-97.png\" alt=\"\" class=\"wp-image-86700\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-97.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-97-300x300.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-97-150x150.png 150w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-97-768x766.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"926\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-98.png\" alt=\"\" class=\"wp-image-86701\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-98.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-98-300x295.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-98-768x756.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El resultado CONNECTED (00000228) nos indica que el cliente logr\u00f3 conectarse correctamente al servidor HTTPS. Con el resultado depth=2 C=GB, O=Sectigo Limited&#8230;<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">verify return:1<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Se verific\u00f3 que el certificado era v\u00e1lido,confiables, no ha expirado y est\u00e1 firmado por una CA reconocida.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A09: Registro y Monitoreo \u2014 Evidencia Indirecta de Vigilancia Activa<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Esta categor\u00eda no puede evaluarse directamente sin acceso al servidor. Sin embargo, la evidencia de las pruebas A03 permite inferir el estado del monitoreo: cuando SQLMap ejecut\u00f3 sus primeras peticiones de escaneo automatizado, el servidor respondi\u00f3 autom\u00e1ticamente con HTTP 403 desde el primer request, sin intervenci\u00f3n manual. Esto indica que el WAF de la infraestructura est\u00e1 monitoreando activamente el tr\u00e1fico, detecta patrones de herramientas de escaneo conocidas (SQLMap tiene firmas reconocibles) y responde en tiempo real.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Pruebas realizadas desde el Cliente Git Bash para realizar una evaluaci\u00f3n INDIRECTA del monitoreo<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA 1 \u2014 Detectar monitoreo de User-Agent malicioso<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full is-resized\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"319\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-Prueba-1Detectar-monitoreo-de-User-Agent-malicioso-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86702\" style=\"width:602px;height:auto\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-Prueba-1Detectar-monitoreo-de-User-Agent-malicioso-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-Prueba-1Detectar-monitoreo-de-User-Agent-malicioso-convertido-de-png-300x159.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El resultado nos dice que el servidor NO bloque\u00f3 inmediatamente el User-Agent sqlmap, Permiti\u00f3 la conexi\u00f3n normal y Respondi\u00f3 correctamente con HTTP 200, lo cu\u00e1l es un resultado muy bueno. Sin embargo, Esto NO significa ausencia de monitoreo , ya que muchas soluciones WAF modernas analizan payloads, par\u00e1metros maliciosos, patrones de inyecci\u00f3n, frecuencia, comportamiento y reputaci\u00f3n IP;NO solamente el User-Agent.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA 2 \u2014 Detectar monitoreo de User-Agent malicioso<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"343\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p1-convertido-de-png-1.webp\" alt=\"\" class=\"wp-image-86704\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p1-convertido-de-png-1.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p1-convertido-de-png-1-300x171.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"344\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p3-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86705\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p3-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p3-convertido-de-png-300x171.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"332\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p6-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86706\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p6-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-2-\u2014-Detectar-monitoreo-de-User-Agent-malicioso-p6-convertido-de-png-300x165.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Este comando env\u00eda m\u00faltiples peticiones r\u00e1pidas. Lo que se busca al ejecutarlo es determinar si el servidor detecta tr\u00e1fico an\u00f3malo y si existen controles anti-bot, generando bloqueos autom\u00e1ticos para detenerlos. Mediante este se busca evaluar: monitoreo de accesos repetitivos, detecci\u00f3n de fuerza bruta, respuestas autom\u00e1ticas,rate limiting y logging de eventos<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA 3 \u2014 Verificar monitoreo de rutas sensibles\u00a0<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"343\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p1-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86707\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p1-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p1-convertido-de-png-300x171.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"340\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p2-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86708\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p2-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p2-convertido-de-png-300x169.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"339\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p3-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86709\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p3-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-3-\u2014-Verificar-monitoreo-de-rutas-sensibles-p3-convertido-de-png-300x169.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Con esto se realiza el intent\u00f3 de acceder al panel administrativo WordPress, ante esto, WordPress nos dirige autom\u00e1ticamente a: \/wp-admin \u2192 \/wp-admin\/. Internamente esto hace que el sistema registre acceso a \/wp-admin, detecte accesos repetitivos, correlacione IP y generar alertas<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA 4 \u2014 Verificar protecci\u00f3n contra escaneo automatizado<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"602\" height=\"319\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-4-\u2014-Verificar-proteccion-contra-escaneo-automatizado-convertido-de-png.webp\" alt=\"\" class=\"wp-image-86710\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-4-\u2014-Verificar-proteccion-contra-escaneo-automatizado-convertido-de-png.webp 602w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/A09-PRUEBA-4-\u2014-Verificar-proteccion-contra-escaneo-automatizado-convertido-de-png-300x159.webp 300w\" sizes=\"auto, (max-width: 602px) 100vw, 602px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Esto simula la herramienta Nikto mediante el User-Agent. El resultado obtenido nos permite evidenciar que el WAF NO bloque\u00f3 inmediatamente el User-Agent Nikto y permiti\u00f3 la petici\u00f3n. Esto puede indicar: monitoreo basado en comportamiento, falta de reglas espec\u00edficas para scanners y logging pasivo sin respuesta autom\u00e1tica\u00a0<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A10: SSRF \u2014 El Servidor Intentando Hablar con S\u00ed Mismo<\/strong> <strong>o Server-Side Request Forgery (SSRF)<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">SSRF permite a un atacante forzar al servidor web a realizar peticiones HTTP hacia destinos arbitrarios (internos o externos). Puede usarse para: acceder a servicios internos no expuestos, escanear la red interna desde el servidor, acceder a metadatos de instancias cloud (AWS IMDS: http:\/\/169.254.169.254\/)), o exfiltrar informaci\u00f3n interna.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Prueba ejecutada: SSRF via xmlrpc.php (m\u00e9todo pingback.ping)<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"889\" height=\"514\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-99.png\" alt=\"\" class=\"wp-image-86711\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-99.png 889w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-99-300x173.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-99-768x444.png 768w\" sizes=\"auto, (max-width: 889px) 100vw, 889px\" \/><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA  para  Verificar si xmlrpc.php sigue accesible<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"383\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-100.png\" alt=\"\" class=\"wp-image-86712\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-100.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-100-300x122.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-100-768x313.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Todo lo anterior nos indica que el archivo xmlrpc.php EXISTE y est\u00e1 activo  La respuesta 405 Method Not Allowed. El servidor encontr\u00f3 el recurso xmlrpc.php,el endpoint est\u00e1 habilitado y el servidor reconoce la solicitud: pero no permite el m\u00e9todo HEAD\/GET.  La raz\u00f3n por la que devuelve 405 es porque WordPress XML-RPC solo acepta POST y el comando ingresado es HEAD (inducido por -I).<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA 2 \u2014 Detectar m\u00e9todos XML-RPC habilitados<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"924\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-101.png\" alt=\"\" class=\"wp-image-86713\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-101.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-101-300x295.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-101-768x754.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"599\" height=\"1024\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-102-599x1024.png\" alt=\"\" class=\"wp-image-86714\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-102-599x1024.png 599w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-102-176x300.png 176w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-102-768x1312.png 768w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-102.png 790w\" sizes=\"auto, (max-width: 599px) 100vw, 599px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>A trav\u00e9s de los \u00edtems dados en la respuesta se confirm\u00f3 que XML-RPC est\u00e1 habilitado, El servidor WordPress acepta solicitudes XML-RPC y Se pueden enumerar m\u00e9todos internos del sistema<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA  \u2014 Intentar localhost (SSRF interno)<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"216\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-103.png\" alt=\"\" class=\"wp-image-86715\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-103.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-103-300x69.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-103-768x176.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Al ejecutarlo se obtiene como resultado &lt;faultCode>0&lt;\/faultCode>. Esta respuesta es anormal puesto que implica que el servidor: NO devolvi\u00f3 un rechazo claro, NO indic\u00f3 \u201cinvalid host\u201d y NO bloque\u00f3 expl\u00edcitamente localhost.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Esto puede indicar que hay un posible SSRF parcial, El servidor intent\u00f3 procesar la URL interna:http:\/\/127.0.0.1. Eso es peligroso porque un atacante podr\u00eda intentar acceder a: servicios internos, bases de datos, paneles privados y APIs internas.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA  \u2014 Metadata Cloud (AWS)<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"208\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-104.png\" alt=\"\" class=\"wp-image-86716\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-104.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-104-300x66.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-104-768x170.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Al ejecutarse se obtiene como resultado &lt;faultCode>0&lt;\/faultCode>, esto indica que se intent\u00f3 acceder al endpoint t\u00edpico de metadata cloud:169.254.169.254\/latest\/metadata\/, usado com\u00fanmente por AWS, Azure y GCP.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA \u2014 Verificar redirecciones externas<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"599\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-105.png\" alt=\"\" class=\"wp-image-86717\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-105.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-105-300x191.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-105-768x489.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Este resultado nos indica que el servidor rechaza GET, bloquear GET es una buena pr\u00e1ctica, pero no es suficiente) y que est\u00e1 protegido parcialmente.XML-RPC sigue expuesto y aunque niega el GET acepta POSTy justamente los ataques XML-RPC usan POST.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA  \u2014 Validar protocolos peligrosos<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"940\" height=\"215\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-106.png\" alt=\"\" class=\"wp-image-86718\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-106.png 940w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-106-300x69.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-106-768x176.png 768w\" sizes=\"auto, (max-width: 940px) 100vw, 940px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">El servidor NO confirm\u00f3 lectura exitosa; pero tampoco bloque\u00f3 expl\u00edcitamente el esquema file:\/\/. Esto es un riesgo puesto que deja la puerta abierta a que\u00a0 XML-RPC procesa esquemas locales Local File Inclusion, lectura arbitraria y SSRF avanzado.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>PRUEBA  \u2014 Enumerar endpoints REST<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"499\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-107.png\" alt=\"\" class=\"wp-image-86719\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-107.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-107-300x159.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-107-768x407.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"499\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-108.png\" alt=\"\" class=\"wp-image-86720\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-108.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-108-300x159.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-108-768x407.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"499\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-109.png\" alt=\"\" class=\"wp-image-86721\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-109.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-109-300x159.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-109-768x407.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"941\" height=\"489\" src=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-110.png\" alt=\"\" class=\"wp-image-86722\" srcset=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-110.png 941w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-110-300x156.png 300w, https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/image-110-768x399.png 768w\" sizes=\"auto, (max-width: 941px) 100vw, 941px\" \/><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">La REST API de WordPress est\u00e1 excesivamente expuesta<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">La prueba de Server-Side Request Forgery (SSRF) utiliz\u00f3 el m\u00e9todo<br>pingback.ping de xmlrpc.php para intentar forzar al servidor a realizar<br>peticiones hacia destinos externos (google.com), internos (127.0.0.1)<br>y de metadata cloud (169.254.169.254\/latest\/meta-data\/). Las pruebas<br>con localhost y el endpoint de metadata de AWS retornaron faultCode 0,<br>una respuesta ambigua que indic\u00f3 que el servidor no rechaz\u00f3<br>expl\u00edcitamente las solicitudes, representando un posible SSRF parcial.<br>La prueba con file:\/\/\/etc\/passwd tampoco arroj\u00f3 un bloqueo expl\u00edcito<br>del esquema, dejando la puerta abierta a lectura arbitraria de archivos.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Conclusiones: \u00bfQu\u00e9 Aprendimos de esta Auditor\u00eda?<\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">El laboratorio demostr\u00f3 que un sitio WordPress puede presentar simult\u00e1neamente fortalezas importantes \u2014como TLS 1.3, balanceo de carga CDN y WAF activo\u2014 y vulnerabilidades cr\u00edticas derivadas de configuraciones insuficientes, no de errores de programaci\u00f3n complejos.<\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">Los hallazgos m\u00e1s urgentes para remediar son:<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Restringir el acceso a wp-config.php desde el servidor web.<\/li>\n\n\n\n<li>Deshabilitar xmlrpc.php mediante nginx.conf o un plugin especializado.<\/li>\n\n\n\n<li>Agregar los headers HTTP faltantes: X-Frame-Options, HSTS y X-Content-Type-Options.<\/li>\n\n\n\n<li>Implementar CAPTCHA y lockout de intentos en el formulario de login.<\/li>\n\n\n\n<li>Eliminar directorios .git del entorno de producci\u00f3n.<\/li>\n\n\n\n<li>Actualizar todos los componentes desactualizados, especialmente Font Awesome.<\/li>\n<\/ul>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">La seguridad web no es un estado definitivo, sino un proceso continuo.<br>Este laboratorio aplic\u00f3 el ciclo fundamental de gesti\u00f3n de<br>vulnerabilidades (identificar \u2192 analizar \u2192 documentar \u2192 remediar),<br>alineado con est\u00e1ndares internacionales como OWASP SAMM, el NIST<br>Cybersecurity Framework e ISO\/IEC 27001.<\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Herramientas Utilizadas en este Laboratorio<\/strong><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\">A continuaci\u00f3n, las herramientas principales empleadas durante la auditor\u00eda, todas de uso libre y disponibles para la comunidad de ciberseguridad:<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Nmap<\/strong> \u2014 Esc\u00e1ner de red y puertos de referencia mundial. <a href=\"https:\/\/nmap.org\">\ud83d\udd17 nmap.org<\/a><\/li>\n\n\n\n<li><strong>Nikto<\/strong> \u2014 Esc\u00e1ner de configuraciones inseguras en servidores web.<\/li>\n\n\n\n<li><strong>WPScan<\/strong> \u2014 Esc\u00e1ner especializado en vulnerabilidades de WordPress. <a href=\"https:\/\/wpscan.com\">\ud83d\udd17 wpscan.com<\/a><\/li>\n\n\n\n<li><strong>SQLMap<\/strong> \u2014 Herramienta automatizada de detecci\u00f3n de inyecci\u00f3n SQL.<\/li>\n\n\n\n<li><strong>OpenSSL<\/strong> \u2014 An\u00e1lisis y validaci\u00f3n de certificados SSL\/TLS.<\/li>\n\n\n\n<li><strong>GitTools<\/strong> \u2014 Suite para detectar repositorios Git expuestos. <a href=\"https:\/\/github.com\/internetwache\/GitTools\">\ud83d\udd17 github.com\/internetwache\/GitTools<\/a><\/li>\n\n\n\n<li><strong>curl<\/strong> \u2014 Cliente HTTP para pruebas desde consola.<\/li>\n\n\n\n<li><strong>nslookup \/ whois<\/strong> \u2014 Consultas DNS y WHOIS para reconocimiento pasivo.<\/li>\n<\/ul>\n\n\n\n<p><\/p>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Consultar mas acerca de <a href=\"https:\/\/niixer.com\/?s=OWASP+Top+10+2021\">OWASP Top 10 2021<\/a>: <a href=\"https:\/\/owasp.org\/Top10\/2021\/es\/\">https:\/\/owasp.org\/Top10\/2021\/es\/<\/a><\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Video Explicaci\u00f3n Documento De <a href=\"https:\/\/niixer.com\/?s=Pentesting\">Pentesting<\/a> a Sitio Web Auditado<\/strong><\/h2>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Video Explicativo Completo del laboratorio de pentesting\" width=\"800\" height=\"450\" src=\"https:\/\/www.youtube.com\/embed\/hKdorllZQtM?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><\/figure>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Documento Completo en Normas Apa  de Pentesting a Sitio web Auditado <\/strong><\/h2>\n\n\n\n<div data-wp-interactive=\"core\/file\" class=\"wp-block-file\"><object data-wp-bind--hidden=\"!state.hasPdfPreview\" hidden class=\"wp-block-file__embed\" data=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Laboratorio-De-Pentesting.pdf\" type=\"application\/pdf\" style=\"width:100%;height:600px\" aria-label=\"Incrustado de Laboratorio De Pentesting.\"><\/object><a id=\"wp-block-file--media-ee09dbb3-c1d1-40ce-a349-489dbd827ca4\" href=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Laboratorio-De-Pentesting.pdf\">Laboratorio De Pentesting<\/a><a href=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Laboratorio-De-Pentesting.pdf\" class=\"wp-block-file__button wp-element-button\" download aria-describedby=\"wp-block-file--media-ee09dbb3-c1d1-40ce-a349-489dbd827ca4\">Descarga<\/a><\/div>\n\n\n\n<h3 class=\"wp-block-heading\">Si se desea consultar a mayor profundidad el documento adjunto se puede hacer desde: <a href=\"https:\/\/flippingbook.com\/account\/online\/712538621\/1\">https:\/\/flippingbook.com\/account\/online\/712538621\/1<\/a><\/h3>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Cr\u00e9ditos:<\/strong><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Autores: <a href=\"https:\/\/niixer.com\/?s=+Luis+Alberto+Diuche+Pe%C3%B1a\">Luis Alberto Diuche Pe\u00f1a<\/a>, <a href=\"https:\/\/niixer.com\/?s=David+Eduardo+Mart%C3%ADnez+Moya\">David Eduardo Mart\u00ednez Moya<\/a>, <a href=\"https:\/\/niixer.com\/?s=Sergio+Numael+Linares+Ducuara+\">Sergio Numael Linares Ducuara<\/a> y <a href=\"https:\/\/niixer.com\/?s=Elizabeth+P%C3%A9rez+Gonz%C3%A1lez\">Elizabeth P\u00e9rez Gonz\u00e1lez<\/a><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Editor: <\/strong><a href=\"https:\/\/niixer.com\/?s=Magister+Ingeniero+Carlos+Iv%C3%A1n+Pinz%C3%B3n+Romero\">Magister Ingeniero Carlos Iv\u00e1n Pinz\u00f3n Romero<\/a><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>C\u00f3digo: <\/strong><a href=\"https:\/\/niixer.com\/?s=UCHEG1-9\">UCHEG1-9<\/a><\/h3>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Universidad:<\/strong><a href=\"https:\/\/www.ucentral.edu.co\/oferta-academica\/oferta-academica\"><strong> <\/strong>Universidad Central<\/a><\/h3>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Fuentes<\/strong><\/h2>\n\n\n\n<pre class=\"wp-block-preformatted\">Bhatt, C., Dey, N., &amp; Ashour, A. (2017). Internet of Things and Big Data Technologies for Next Generation Healthcare. En Studies in big data. https:\/\/doi.org\/10.1007\/978-3-319-49736-5<br>Biblioteca UTP. (2025, septiembre 24). 4 Normas APA 7ma edici\u00f3n contraportada [V\u00eddeo]. YouTube. https:\/\/www.youtube.com\/watch?v=WzfTLc7YfFk<br>Brian Mancera. (2017, junio 5). Portada y contraportada Normas APA [V\u00eddeo]. YouTube. https:\/\/www.youtube.com\/watch?v=oERYMjfL0AY<br>Client challenge. (s. f.). https:\/\/es.scribd.com\/document\/660764435\/02-Contratos-Reglas-de-Compromisos-Clausula-de-No-Competencia<br>CramTech. (2020b, octubre 27). Insertar archivo PDF en documento WORD *MUY FACIL* [V\u00eddeo]. YouTube. https:\/\/www.youtube.com\/watch?v=33CQFXIHk9A<br>Docs_Manager. (2023, 5 diciembre). Flash Advanced Documentation: Go beyond basics. Flash Documentation. https:\/\/docs.themegrill.com\/flash\/<br>Fern\u00e1ndez, A. B., &amp; Fern\u00e1ndez, A. B. (2023, 7 mayo). C\u00f3mo redactar un contrato de pentesting. T\u00e9rminos y Condiciones. https:\/\/terminosycondiciones.es\/2019\/04\/23\/como-redactar-un-contrato-de-pentesting\/<br>Latam, T. (2025, 27 octubre). Pentesting: gu\u00eda, tipos y beneficios. https:\/\/latam.tivit.com\/blog\/guia-pentesting<br>Mcaudibert. (2026, 29 abril). Limit login attempts reloaded \u2013 login Security, 2FA, brute force protection &amp; firewall. WordPress.org. https:\/\/wordpress.org\/plugins\/limit-login-attempts-reloaded\/<br>Nmap Network Scanning\u2014The Official Nmap Project Guide to Network Discovery and Security Scanning. (s. f.). https:\/\/nmap.org\/book<br>Online-Convert. (s. f.). Convertir im\u00e1genes a WebP. online-convert.com. https:\/\/imagen.online-convert.com\/es\/convertir-a-webp<br>Pentest-Tools.com. (2026, 31 marzo). Pentest-Tools.com. https:\/\/pentest-tools.com\/<br>Rosello, P. (2025b, diciembre 23). Te contamos c\u00f3mo hacer la portada y contraportada con normas APA. Tesis y M\u00e1sters Colombia. https:\/\/tesisymasters.com.co\/contraportada-normas-apa\/<br>2013 Registrar Accreditation Agreement. (2013b, septiembre 17). 2013 Registrar Accreditation Agreement. https:\/\/www.icann.org\/resources\/pages\/approved-with-specs-2013-09-17-en<br>Service Name and Transport Protocol Port Number Registry. (s. f.). https:\/\/www.iana.org\/assignments\/service-names-port-numbers\/service-names-port-numbers.xhtml<br>Williams, L. (2025, 10 diciembre). \ufe0fPenetration Testing Services Agreement (Beginner-Friendly Guide + Open Template). DEV Community. https:\/\/dev.to\/ldwit\/penetration-testing-services-agreement-beginner-friendly-guide-open-template-2in<\/pre>\n","protected":false},"excerpt":{"rendered":"<p>\u00bfAlguna vez te has preguntado qu\u00e9 tan seguro es realmente un sitio web que visitas a diario?, \u00a1Pues estas en el Lugar Correcto!. En el marco de la asignatura Hacking \u00c9tico de la Universidad Central, un equipo de estudiantes de Ingenier\u00eda de Sistemas realiz\u00f3 una auditor\u00eda de seguridad completa sobreSeguir Leyendo<\/p>\n","protected":false},"author":2063,"featured_media":86652,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[4557],"tags":[4585,4581,4560,4582,1709,4584,4583,4564],"class_list":["post-86617","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hacking-etico","tag-osint","tag-owasp-top-10-2021","tag-pentesting","tag-ptes","tag-seguridad-web","tag-ssl-tls","tag-whois","tag-wordpress"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v27.5 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>De Cero a Pentest Auditor\u00eda de Seguridad a Sitio Web<\/title>\n<meta name=\"description\" content=\"En este art\u00edculo se busca orientar de forma asertiva como realizar Pentesting usando OSINT, WHOIS y OWASP Top 10 desde el hacking \u00e9tico\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/\" \/>\n<meta property=\"og:locale\" content=\"es_ES\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"De Cero a Pentest Auditor\u00eda de Seguridad a Sitio Web\" \/>\n<meta property=\"og:description\" content=\"En este art\u00edculo se busca orientar de forma asertiva como realizar Pentesting usando OSINT, WHOIS y OWASP Top 10 desde el hacking \u00e9tico\" \/>\n<meta property=\"og:url\" content=\"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/\" \/>\n<meta property=\"og:site_name\" content=\"Portal de noticias de tecnolog\u00eda, Realidad Virtual, Aumentada y Mixta, Videojuegos\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/niixer\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-05-07T22:58:05+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-05-07T22:58:07+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"1536\" \/>\n\t<meta property=\"og:image:height\" content=\"1024\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"eperezg\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Escrito por\" \/>\n\t<meta name=\"twitter:data1\" content=\"eperezg\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tiempo de lectura\" \/>\n\t<meta name=\"twitter:data2\" content=\"38 minutos\" \/>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"De Cero a Pentest Auditor\u00eda de Seguridad a Sitio Web","description":"En este art\u00edculo se busca orientar de forma asertiva como realizar Pentesting usando OSINT, WHOIS y OWASP Top 10 desde el hacking \u00e9tico","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/","og_locale":"es_ES","og_type":"article","og_title":"De Cero a Pentest Auditor\u00eda de Seguridad a Sitio Web","og_description":"En este art\u00edculo se busca orientar de forma asertiva como realizar Pentesting usando OSINT, WHOIS y OWASP Top 10 desde el hacking \u00e9tico","og_url":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/","og_site_name":"Portal de noticias de tecnolog\u00eda, Realidad Virtual, Aumentada y Mixta, Videojuegos","article_publisher":"https:\/\/www.facebook.com\/niixer\/","article_published_time":"2026-05-07T22:58:05+00:00","article_modified_time":"2026-05-07T22:58:07+00:00","og_image":[{"width":1536,"height":1024,"url":"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp","type":"image\/webp"}],"author":"eperezg","twitter_card":"summary_large_image","twitter_misc":{"Escrito por":"eperezg","Tiempo de lectura":"38 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#article","isPartOf":{"@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/"},"author":{"name":"eperezg","@id":"https:\/\/niixer.com\/#\/schema\/person\/d3e012777916c68c39e4e98c15fc4829"},"headline":"De Cero a Pentest: C\u00f3mo Auditamos la Seguridad de un Sitio WordPress y Encontramos Vulnerabilidades Cr\u00edticas con el OWASP Top 10","datePublished":"2026-05-07T22:58:05+00:00","dateModified":"2026-05-07T22:58:07+00:00","mainEntityOfPage":{"@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/"},"wordCount":5097,"publisher":{"@id":"https:\/\/niixer.com\/#organization"},"image":{"@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#primaryimage"},"thumbnailUrl":"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp","keywords":["OSINT","OWASP Top 10 2021","Pentesting","PTES","Seguridad web","SSL\/TLS","WHOIS","WordPress"],"articleSection":["Hacking \u00c9tico"],"inLanguage":"es"},{"@type":"WebPage","@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/","url":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/","name":"De Cero a Pentest Auditor\u00eda de Seguridad a Sitio Web","isPartOf":{"@id":"https:\/\/niixer.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#primaryimage"},"image":{"@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#primaryimage"},"thumbnailUrl":"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp","datePublished":"2026-05-07T22:58:05+00:00","dateModified":"2026-05-07T22:58:07+00:00","description":"En este art\u00edculo se busca orientar de forma asertiva como realizar Pentesting usando OSINT, WHOIS y OWASP Top 10 desde el hacking \u00e9tico","breadcrumb":{"@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#breadcrumb"},"inLanguage":"es","potentialAction":[{"@type":"ReadAction","target":["https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/"]}]},{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#primaryimage","url":"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp","contentUrl":"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp","width":1536,"height":1024,"caption":"Imagen de portada para el art\u00edculo en Nixxer"},{"@type":"BreadcrumbList","@id":"https:\/\/niixer.com\/index.php\/2026\/05\/07\/de-cero-a-pentest-como-auditamos-la-seguridad-de-un-sitio-wordpress-y-encontramos-vulnerabilidades-criticas-con-el-owasp-top-10\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Portada","item":"https:\/\/niixer.com\/"},{"@type":"ListItem","position":2,"name":"De Cero a Pentest: C\u00f3mo Auditamos la Seguridad de un Sitio WordPress y Encontramos Vulnerabilidades Cr\u00edticas con el OWASP Top 10"}]},{"@type":"WebSite","@id":"https:\/\/niixer.com\/#website","url":"https:\/\/niixer.com\/","name":"Portal de noticias de tecnolog\u00eda, ciencia, Android, iOS, Realidad Virtual, Aumentada y Mixta, Videojuegos, computadores, todo lo mas reciente en tecnolog\u00eda","description":"Portal de noticias de tecnolog\u00eda","publisher":{"@id":"https:\/\/niixer.com\/#organization"},"alternateName":"Niixer","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/niixer.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"es"},{"@type":"Organization","@id":"https:\/\/niixer.com\/#organization","name":"Niixer","alternateName":"Niixer.com","url":"https:\/\/niixer.com\/","logo":{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/niixer.com\/#\/schema\/logo\/image\/","url":"https:\/\/niixer.com\/wp-content\/uploads\/2022\/08\/logo-niixer-sin-fondo-1.png","contentUrl":"https:\/\/niixer.com\/wp-content\/uploads\/2022\/08\/logo-niixer-sin-fondo-1.png","width":140,"height":140,"caption":"Niixer"},"image":{"@id":"https:\/\/niixer.com\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/niixer\/","https:\/\/www.instagram.com\/niixer.tecnologia\/"]},{"@type":"Person","@id":"https:\/\/niixer.com\/#\/schema\/person\/d3e012777916c68c39e4e98c15fc4829","name":"eperezg","image":{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/secure.gravatar.com\/avatar\/9094acc24d44b2eb37628beea90a5cc5b7f32f4c691f549ff8b3448545d5a7b1?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/9094acc24d44b2eb37628beea90a5cc5b7f32f4c691f549ff8b3448545d5a7b1?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/9094acc24d44b2eb37628beea90a5cc5b7f32f4c691f549ff8b3448545d5a7b1?s=96&d=mm&r=g","caption":"eperezg"},"url":"https:\/\/niixer.com\/index.php\/author\/eperezg\/"}]}},"jetpack_featured_media_url":"https:\/\/niixer.com\/wp-content\/uploads\/2026\/05\/Imagen-de-portada-para-el-articulo-en-nixxer-convertido-de-png.webp","_links":{"self":[{"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/posts\/86617","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/users\/2063"}],"replies":[{"embeddable":true,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/comments?post=86617"}],"version-history":[{"count":9,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/posts\/86617\/revisions"}],"predecessor-version":[{"id":86723,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/posts\/86617\/revisions\/86723"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/media\/86652"}],"wp:attachment":[{"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/media?parent=86617"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/categories?post=86617"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/niixer.com\/index.php\/wp-json\/wp\/v2\/tags?post=86617"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}