~/hackwithcarlos
Notas de campo de alguien que aprende mejor con acceso root.
Gobuster encuentra lo que no está enlazado: paneles ocultos, backups olvidados y vhosts sin registro DNS. Modos dir, dns, vhost y fuzz, cómo filtrar falsos positivos y por qué en CTFs casi siempre quieres el modo vhost.
Hydra ataca servicios en ejecución —SSH, FTP, formularios web y más— probando combinaciones de credenciales en paralelo. Sintaxis completa, módulo http-post-form paso a paso y cheatsheet de los comandos más usados en CTFs.
Guía completa de reverse shells: bash, Python, PHP, Perl, Ruby, Netcat, PowerShell, Java, Go, Node.js, socat SSL, msfvenom y más. Cómo configurar listeners, elegir el puerto correcto y estabilizar la shell a TTY completa.
Metasploit centralizado: arquitectura de módulos, flujo completo de explotación, payloads Staged vs Non-Staged, generación de payloads con msfvenom y post-explotación con Meterpreter.
Burp Suite es el proxy estándar para web hacking. Aprende a configurarlo, interceptar tráfico HTTPS, usar el Repeater para probar payloads manualmente y el Intruder para automatizar ataques.
Mi experiencia preparando y completando la Cyber Security 101 de TryHackMe: qué áreas cubre, mis puntuaciones en cada bloque, cómo me preparé y qué recomendaría a quien quiera afrontarla.
Qué es SQL Injection, cómo funciona el bypass de autenticación y los ataques UNION-Based, y cómo automatizar la explotación completa con SQLMap: enumeración de bases de datos, tablas y extracción de credenciales.