Bases de datos vulnerables y los secretos que no deberían estar ahí

Cuando una aplicación necesita guardar o consultar información, recurre a una base de datos. Y para hablar con esa base de datos, utiliza un lenguaje llamado SQL. Es como una conversación entre el código y la memoria de la máquina. Cada vez que te registras, haces login o buscas algo en una página, se está ejecutando alguna consulta SQL para verificar lo que escribiste o devolver información.

Por ejemplo, cuando inicias sesión, el servidor puede construir una consulta como esta:

1
2SELECT * FROM users WHERE username='tu_usuario' AND password='tu_contraseña';
3

Si esa consulta encuentra un resultado, te deja entrar. Pero el problema es que a veces las aplicaciones no revisan bien lo que tú escribes. Si la aplicación no filtra tu entrada, puedes modificar esa consulta desde el navegador. Y ahí es donde todo se vuelve peligroso.

Esto se llama SQL Injection. Es cuando tú, como atacante, introduces código SQL malicioso dentro de un campo de entrada, como el formulario de login, y logras que la base de datos se comporte de forma distinta. No necesitas adivinar contraseñas si puedes hacer que la consulta siempre devuelva algo verdadero. Por ejemplo, si en lugar de escribir un nombre de usuario normal pones esto:

1' OR '1'='1

la consulta se rompe y termina funcionando así:

1SELECT * FROM users WHERE username='' OR '1'='1';

Y como '1'='1' es siempre verdadero, podrías lograr acceso sin credenciales válidas. A veces, con eso basta para entrar. Otras veces, puedes extraer datos o modificar cosas si el sistema está mal configurado.

Esto no es magia, ni suerte. Es código mal protegido. Es una aplicación que confía demasiado en lo que recibe. Y si algo te debe quedar claro es esto: las aplicaciones no deberían confiar en nadie, y mucho menos en lo que les llega desde fuera.

Aprender esto no es solo aprender a atacar. Es entender cómo piensa el sistema, cómo se conecta todo. Es empezar a mirar más allá de lo visible. Porque debajo de cada formulario, hay una conversación invisible. Y ahora tú estás aprendiendo a escucharla.

Las cosas que no puedes ver

A veces, lo que parece una simple imagen… no lo es.

Una fotografía puede ser un retrato, un recuerdo o una fachada. Pero para ti, que estás aprendiendo a ver más allá, también puede ser un escondite.

Las imágenes, como los seres humanos, pueden guardar secretos detrás de lo visible.

En ciberseguridad, una técnica común llamada esteganografía permite ocultar información dentro de archivos aparentemente inocentes. Un texto, una clave, un código o incluso un mensaje completo puede esconderse en los pixeles, en los metadatos o en las estructuras internas de una imagen.

Por eso, cuando te enfrentas a archivos como una imagen .jpg, no basta con verla. Tienes que leerla por dentro. Herramientas como strings, exiftool o incluso binwalk te permiten extraer texto oculto, revisar los metadatos o desmontar lo que está comprimido y camuflado.

Y a veces, lo que encuentras ahí no es una frase clara, sino un hash.

Un hash es un tipo especial de huella digital. Es una cadena de texto que representa algo: una contraseña, un archivo, una frase... pero transformada de tal forma que no puedes verla directamente. Los sistemas usan hashes para almacenar contraseñas sin guardarlas tal cual. Así, si alguien roba la base de datos, no ve las contraseñas reales, sino sus representaciones cifradas.

Pero aquí es donde entra la fuerza bruta y el ingenio. Herramientas como hashcat pueden tomar ese hash y compararlo contra miles —o millones— de posibles contraseñas hasta encontrar cuál genera exactamente ese resultado. Es como tratar de descubrir qué frase fue convertida en esa huella, probando una por una hasta que encaje.

Para eso se usan diccionarios: listas enormes de contraseñas conocidas, comunes o filtradas, como el famoso archivo rockyou.txt, del que ya hablamos. Con esa lista y con paciencia, puedes romper el silencio de un hash y revelar lo que esconde.

Lo importante es esto:

• No confíes en lo que ves.

• Aprende a mirar detrás, debajo, dentro.

Porque en este mundo, a veces lo que buscamos no está en un formulario ni en un archivo de texto… sino en la sonrisa congelada de una imagen.

Y tú estás aprendiendo a escuchar el silencio