BBLabs vs DVWA: ¿cuál elegir para practicar hacking web?

¿Qué es DVWA y por qué sigue siendo útil?

DVWA (Damn Vulnerable Web Application) es una aplicación web escrita en PHP y MySQL, deliberadamente insegura, que llevas años viendo en tutoriales y cursos. La instalas en tu máquina y practicas sobre ella las vulnerabilidades más clásicas: SQL injection, XSS reflejado y almacenado, CSRF, command injection, file inclusion. Su gran acierto son los niveles de seguridad (low, medium, high, impossible): empiezas con la explotación trivial y vas subiendo hasta ver cómo se mitiga cada bug.

Y todo eso gratis y offline. No hay excusa para no tenerla montada: es ligera, open source y no depende de nadie. Como primer contacto con el hacking web, es un recurso fantástico y lo reconocemos sin reservas.

Dónde se queda corta DVWA

El límite de DVWA es que es una sola app estática. Una vez la dominas, no hay nada nuevo: el contenido es fijo, las vulnerabilidades son las clásicas de manual y la app no se parece a las aplicaciones complejas que encuentras en un programa de bug bounty real. Tampoco trae writeups ni soporte: si te atascas, tiras de foros y de tutoriales de terceros, casi siempre en inglés.

BBLabs ataca justo ese hueco: cada lab replica un caso real de bug bounty, con su contexto, su cadena de explotación y el bounty que se pagó. Hay contenido nuevo cada lunes, ordenado por dificultad, y cada lab trae su writeup oficial paso a paso. No es un manual que recorres una vez: es un campo de prácticas que crece y que entrena el ojo para bugs que de verdad se recompensan.

Instalación: montar PHP vs abrir el navegador

Con DVWA pones tú la infraestructura: levantar un stack PHP + MySQL (con XAMPP, Docker o una VM) y configurar la app antes de atacar. Es parte del aprendizaje y no es difícil, pero es fricción real cuando empiezas. En BBLabs no montas nada: lanzas el lab directamente en el navegador con los live labs, o te descargas el ZIP y lo corres con Docker en local si lo prefieres. La comodidad tiene un precio (el plan PRO+); DVWA es gratis a cambio de que la infraestructura la pongas tú.

Idioma y aprendizaje: inglés genérico vs español guiado

DVWA está en inglés y no te acompaña: es una app para atacar, no un curso. Aprendes buscando por tu cuenta. BBLabs está 100% en español y cada lab viene con su writeup, además de una Academy gratuita con 16 categorías de vulnerabilidades (teoría, payloads y metodología). Puedes estudiar la teoría sin pagar nada y luego practicar sobre labs reales con soporte, en tu idioma. Para un hispanohablante que empieza, esa diferencia se nota muchísimo.

Para quién es cada uno

Veredicto: DVWA para empezar gratis, BBLabs para el salto a bugs reales

No es un duelo con un único ganador. DVWA es un recurso gratuito, offline y clásico que hace muy bien lo suyo: darte un entorno controlado donde perder el miedo a las vulnerabilidades básicas. Sigue siendo una recomendación honesta para tus primeros pasos y no cuesta nada. BBLabs hace otra cosa: convierte reportes reales de bug bounty en labs curados que practicas en español, con writeups, live labs y un roadmap que te guía de Easy a Insane. Si ya dominas DVWA y quieres entrenar sobre casos reales que se han pagado, BBLabs es el siguiente paso natural — y puedes empezar gratis con la Academy.