Dónde practicar de forma legal y crecer constantemente. Desde «completamente principiante» hasta «participar en torneos internacionales».
El curso ha terminado. ¿Qué sigue? ¿Libros? ¿Conferencias? No. Solo práctica.
Los corredores no leen «teoría de correr» — corren. Los hackers no «estudian el hacking» — hacen hacking en máquinas de práctica. Esto se llama CTF — Capture The Flag, «capturar la bandera».
La plataforma CTF = «gimnasio» para hackers. Cientos de máquinas especialmente vulnerables para practicar. De forma legal, legal, legal. Esta lección — qué plataformas elegir y en qué orden.
CTF = competencia/entrenamiento de hacking en máquinas de práctica.
En la «bandera» está escrito un texto secreto como flag{ab12cd34}. Te dan acceso a una máquina de práctica — tu tarea es hackearla y encontrar la bandera. La encuentras — la ingresas en el sitio de la plataforma, obtienes puntos.
Las plataformas tienen cientos de esas máquinas de diferentes niveles de dificultad: desde «5 minutos de calentamiento» hasta «3 semanas en equipo».
| Plataforma | Precio | Para quién | En resumen |
|---|---|---|---|
| PortSwigger Web Academy | Gratis | Todos | «El mejor pentest web del mundo, siempre gratis» |
| OverTheWire | Gratis | Completamente principiantes | «Linux y bases a través de un juego de SSH» |
| TryHackMe | $14/mes o Free-tier | Principiantes | «Tutoriales + laboratorios, camino suave al pentest» |
| HackTheBox | $14-20/mes | Después de TryHackMe | «Máquinas realistas, estándar de la industria» |
| Standoff (PHDays) | Gratis | Hablantes de ruso | «Plataforma rusa, premios en rublos» |
Al final de este camino, eres un verdadero junior pentester.
Si aún no has probado nada — ve a OverTheWire Bandit. Gratis, sin registro, juegas a través de SSH. Es el «continuación» ideal de las lecciones 2.x de este curso.
Después de Bandit (1-2 semanas) — abre PortSwigger Web Academy y resuelve las primeras 10 lecciones de SQL Injection.
En 2 meses, habrás completado más que muchos en 6 meses de «teoría».
Después de un año de práctica, puedes participar en verdaderas competencias:
Los mejores equipos reciben $50 000 — $500 000 en premios.
En ctftime.org hay un gran archivo de writeup — soluciones de tareas CTF de otros con explicaciones. Cuando te quedes atascado en una máquina de HackTheBox — lee los writeup de tareas similares. No copies, pero mira el enfoque. Es un gran tutorial.
Abre Claude y pide:
He terminado «Hacking desde cero». Estoy listo para ir a HackTheBox Tier 0.
Indícame el plan para el primer mes en HTB:
1. Con qué máquina específica empezar (nombre de Tier 0)
2. En qué centrarte la primera vez
3. Qué herramientas necesitarás (todo ya del curso)
4. Si te quedas atascado en una máquina — dónde buscar pistas
5. Qué 5 máquinas de Tier 0/Tier 1 resolver en un mes,
para entender los patrones
Explicámelo como a un niño de 10 años. Sin jerga.Lección 10.2 — certificaciones. OSCP, CRTO, CPTS — qué ofrecen, cuánto cuestan, en qué orden seguir. ¿Vale la pena o es suficiente la práctica de HackTheBox + bug bounty?