Bienvenida al curso

Bienvenido a Pentesting web: la metodología WSTG de OWASP. En las próximas horas va a dejar de probar aplicaciones "a ver qué sale" y va a aprender a hacerlo con método: siguiendo la OWASP Web Security Testing Guide, la guía que usan los equipos profesionales para que una prueba sea ordenada, repetible y completa. El objetivo no es romper por romper, sino encontrar fallos y reportarlos para que alguien los corrija.

Qué va a lograr

• Explicar qué es la WSTG y recorrer el flujo de una prueba web autorizada de principio a fin.
• Mapear una aplicación y dibujar su superficie de ataque antes de tocar nada.
• Probar autenticación, gestión de sesión y control de acceso con el lente del atacante, en laboratorio.
• Identificar y demostrar inyecciones, XSS, SSRF y cargas de archivos peligrosas en objetivos de práctica.
• Detectar fallos de lógica de negocio, probar una API con Burp Suite y redactar un informe profesional con hallazgo, impacto, prueba de concepto y remediación.

Para quién es y qué necesita

Este curso es para quien ya entiende cómo funciona la web y quiere probar su seguridad con método. Es de nivel intermedio: conviene haber hecho Pentesting ético desde cero: metodología y primeros pasos y Seguridad web con OWASP Top 10. Si nunca ha escrito una petición HTTP a mano ni ha abierto las herramientas de desarrollador del navegador, empiece por ahí.

Para practicar necesita:

• Una máquina con Linux, macOS o Windows, un navegador moderno y una terminal.
• Una cuenta gratuita en PortSwigger Web Security Academy y, para laboratorios locales, OWASP Juice Shop o DVWA.
• Burp Suite Community (gratuito) instalado a partir del módulo 4.
• Unos 45 minutos sin interrupciones por laboratorio.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. La metodología WSTG	Qué es la WSTG, el flujo de una prueba, reconocimiento, mapeo y recolección de información	Mapear una aplicación y su superficie
2. Autenticación, sesiones y autorización	Probar login, gestión de sesión y control de acceso (IDOR, escalada)	Encontrar un fallo de control de acceso
3. Validación de entradas	Inyección SQL y de comandos, XSS, SSRF y carga de archivos	Demostrar una inyección o XSS y proponer la corrección
4. Lógica de negocio, API y el informe	Fallos de lógica, pruebas de API, Burp Suite y el informe profesional	Redactar un hallazgo con PoC y remediación
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

• Lecciones: cada una se apoya en la anterior; respete el orden del temario.
• Preguntas rápidas: al final de casi cada lección hay un repaso corto.
• Laboratorios: terminan con una misión que usted mismo puede comprobar. Hágalos en plataformas legales o en su propio laboratorio, nunca contra sitios de terceros.
• Evaluación final: 6 preguntas; con 70 % recibe el certificado y la insignia del curso.

Escriba las peticiones a mano en lugar de copiarlas: así entiende qué prueba cada una.

Tiempo estimado

El curso completo toma unas 4 horas y media. Le sugerimos una lección por día y reservar los laboratorios para un momento sin prisa.