En el mundo digital, no todo está seguro solo porque es “online”. Muchas veces, lo que parece oculto viaja en texto claro, expuesto a quien sepa mirar. Hoy veremos cómo interceptar información que debería ser secreta y cómo descifrarla para revelar lo que otros ocultan.
Burp Suite: La lupa del hacker moderno
Burp Suite es una herramienta esencial en el arsenal de cualquier pentester o hacker ético. Actúa como un proxy entre tu navegador y el servidor, permitiéndote:
- Ver y modificar las peticiones HTTP/HTTPS en tiempo real.
- Analizar los datos que viajan entre cliente y servidor.
- Automatizar ataques, como fuerza bruta o análisis de vulnerabilidades.
Con Burp Suite puedes detener el flujo normal y jugar con las solicitudes y respuestas, descubriendo secretos en lo que parecía una conversación segura.
Criptografía y codificación: ¿Qué ocultan los datos?
Es vital diferenciar entre codificación y criptografía.
- Codificación: Transforma datos para que sean legibles por sistemas específicos. No es seguridad. Ejemplo: Base64, Hexadecimal, URL Encoding.
- Criptografía: Protege los datos para que solo quien tenga la clave pueda entenderlos. Ejemplo: hashes, cifrados simétricos/asimétricos.
Base64: El disfraz más común
Base64 es un método de codificación que transforma datos binarios en texto ASCII. Se usa para enviar información por canales que solo aceptan texto. No es una protección. Es solo una forma de empaquetar datos. Cualquiera que conozca Base64 puede decodificarlo fácilmente.
CyberChef: La navaja suiza de la manipulación de datos
CyberChef es una herramienta online que permite:
- Codificar y decodificar en múltiples formatos (Base64, Hex, URL…).
- Aplicar operaciones criptográficas básicas.
- Realizar transformaciones complejas sin necesidad de programar.
Con CyberChef, un solo clic puede revelar lo oculto tras capas de codificación.
El flujo para detectar y revelar secretos
- Intercepción: Con Burp Suite, capturamos la comunicación entre navegador y servidor.
- Análisis: Observamos qué información viaja en texto claro.
- Extracción: Identificamos el dato cifrado o codificado.
- Decodificación: Usamos CyberChef para quitar la capa de Base64 u otra codificación.
- Crackeo: Si el dato es un hash, lo atacamos con herramientas como hashcat o John The Ripper para recuperar la contraseña o información oculta.
- Acceso: Usamos lo aprendido para avanzar, escalar o capturar la flag.
Mindset de la creadora: Sentir y desvelar
Este reto es un ejercicio de paciencia y sensibilidad. No solo hay que ver, hay que sentir la comunicación, leer lo que viaja oculto pero no protegido. La seguridad no está solo en el código, está en cada byte, en cada paquete que viaja en el aire.
Recapitulando
- No todo lo que parece seguro viaja cifrado.
- Burp Suite es tu ventana al tráfico oculto.
- Base64 es solo un disfraz; no una barrera.
- CyberChef simplifica la decodificación y análisis de datos.
- Los hashes pueden ocultar secretos que solo herramientas especializadas pueden revelar.
- La paciencia y la curiosidad son las armas más poderosas en la exploración.
Escuchar con atención y saber interpretar lo que se dice en silencio es clave en hacking. En esta clase, la intercepción es más que técnica: es un arte. Tu misión es aprender a escuchar y descifrar lo que no te cuentan abiertamente.