Curso de pentesting de aplicaciones web, individual

A quién va dirigido

• Pentesters júnior y de nivel medio que quieren un método de nivel profesional, no una lista de payloads.
• Cazadores de bug bounty que quieren entender por qué existe una vulnerabilidad y reportarla con su impacto.
• Desarrolladores e ingenieros de seguridad de aplicaciones que prueban las aplicaciones de su propia empresa.

Qué será capaz de hacer

• Definir el alcance de una prueba web o de API con autorización por escrito, reglas de actuación y un plan de pruebas.
• Cartografiar la superficie de ataque tanto desde la aplicación en ejecución como desde su código fuente.
• Encontrar y confirmar fallos de autenticación, control de acceso y multicliente con un método repetible.
• Explotar vulnerabilidades del lado del servidor y del navegador en un laboratorio, y elegir pruebas seguras para sistemas en producción.
• Probar la lógica de negocio y las condiciones de carrera que los escáneres automatizados no pueden modelar.
• Redactar un informe con impacto, evidencias y corrección, y verificar después la corrección en una versión parcheada.

Antes de empezar

• Entiende HTTP, las cookies, las cabeceras y cómo funcionan las aplicaciones web y las API.
• Ha utilizado Burp Suite o Caido y ha resuelto algunos laboratorios de seguridad web, por ejemplo en PortSwigger Web Security Academy.
• Lee algo de código, trabaja con Linux y Docker y puede seguir una formación en inglés. Empezamos con una breve evaluación de su nivel.

Temario

Ocho módulos en el orden de un encargo real, adaptados a su nivel.

1. 01Fundamentos del encargoAcuerde qué puede probar y cómo, antes de enviar una sola solicitud.

   • Autorización por escrito y reglas de actuación
   • Definir el alcance de aplicaciones, API, entornos, cuentas y roles
   • Un plan de pruebas alineado con OWASP WSTG y ASVS
   • Tratar las evidencias y los datos personales de forma segura
2. 02Reconocimiento y mapeo de la superficie de ataqueEncuentre todas las vías de entrada, desde fuera y desde el código.

   • El rastreo frente a las rutas que declara el código fuente
   • Especificaciones OpenAPI, esquemas GraphQL y bundles de JavaScript
   • Una matriz de roles por endpoints
   • Elegir qué probar primero
3. 03Pruebas de autenticación y sesionesPruebe cómo decide la aplicación quién es usted.

   • Inicio de sesión, MFA, restablecimiento de contraseña y gestión de sesiones
   • Fallos de JWT, OAuth y OpenID Connect
   • Cadenas de toma de control de cuentas
   • Confirmar la causa en el código
4. 04Control de acceso y entornos multiclienteDemuestre si un usuario puede acceder a los datos o funciones de otro.

   • El método de las dos cuentas para BOLA, IDOR y BFLA
   • Escalada de privilegios y salida del aislamiento entre clientes
   • Comprobaciones de autorización semiautomatizadas
   • Leer en el código la comprobación que falta
5. 05Inyección en el servidor y falsificación de solicitudesExplote el servidor y sepa hasta dónde llegar en un sistema en producción.

   • Inyección SQL, de comandos y de plantillas
   • SSRF, path traversal, XXE y deserialización insegura
   • Subida de archivos y abuso de analizadores
   • Pruebas seguras en producción frente a explotación completa en el laboratorio
6. 06Vulnerabilidades del lado del navegadorPruebe qué permite la aplicación hacer a un atacante en el navegador de la víctima.

   • XSS según el contexto, y qué frena y qué no frena la CSP
   • CSRF, CORS y clickjacking
   • postMessage y enrutamiento del lado del cliente
   • Demostrar el impacto de forma responsable
7. 07Lógica de negocio, condiciones de carrera y abuso de APIRompa las reglas del producto, no solo su analizador.

   • Abuso de flujos de trabajo y de estados
   • Condiciones de carrera en límites, saldos y cupones
   • Asignación masiva, límites de frecuencia y webhooks
   • El OWASP API Security Top 10 en la práctica
8. 08Impacto, informe y nueva pruebaConvierta los hallazgos en decisiones y confirme después las correcciones.

   • Encadenar hallazgos y expresar el impacto real
   • Severidad con CVSS v4.0 y contexto de negocio
   • Evidencias reproducibles y un resumen ejecutivo
   • Verificación de la corrección en una versión parcheada

Trabajo práctico

Evaluación final

Un encargo completo, del alcance a la nueva prueba

Una prueba de tiempo limitado sobre una aplicación SaaS con varios roles creada para el curso, con acceso al código fuente. Usted redacta el alcance y el plan de pruebas, prueba, redacta el informe y vuelve a probar una versión parcheada. Repasamos juntos su informe.

Cómo se evalúa

• Alcance y plan de pruebas coherentes con las reglas de actuación
• Cobertura de autenticación, control de acceso y lógica de negocio
• Hallazgos confirmados y reproducibles, con una severidad bien fundada
• Pruebas seguras y proporcionadas
• Un informe sobre el que pueden actuar tanto un desarrollador como un responsable
• Una nueva prueba precisa de las correcciones

En qué se diferencia este curso

Herramientas que utilizará

• Burp Suite Community / Pro
• Caido
• ffuf
• sqlmap
• curl / HTTPie
• Browser DevTools
• Semgrep
• Docker

Estándares y referencias

• OWASP Web Security Testing Guide (WSTG)
• OWASP API Security Top 10
• OWASP Application Security Verification Standard (ASVS)
• NIST SP 800-115, Technical Guide to Information Security Testing
• FIRST CVSS v4.0

Casos prácticos que puede leer ya

• CVE-2026-104935: Ivanti confía en la cabecera, no en la URL
• CVE-2026-85097: Bricksforge confía en el nombre de archivo que le das
• Revisión de seguridad del código o prueba de penetración: ¿qué debe contratar?

Preguntas sobre este curso

Siguiente paso

Profundice en el lado del código con el curso de revisión de código seguro.

• Curso de revisión de código seguro, individual
• Formación individual en revisión de código seguro para sus ingenieros