De 0 a tu primer hackeo

con casos reales

Un entorno controlado que replica un hackeo real ya documentado en un programa de bug bounty. Te lo descargas, lo levantas en local, explotas la vulnerabilidad y validas la solución capturando una flag. Cada laboratorio incluye su writeup con la metodología completa.

Porque resuelven cosas distintas, y de hecho deberías usar las dos. PortSwigger enseña la técnica aislada en un entorno diseñado para que la aprendas: es excelente y es gratis. Aquí reproduces el caso completo — un fallo que alguien encontró en producción, con la recompensa que se pagó por él y el writeup de cómo llegó hasta ahí. Es la diferencia entre el ejercicio de examen y el expediente del caso. Además, todo en español, y el laboratorio se levanta en tu máquina con un comando, así que el entorno es tuyo y puedes romperlo.

Sí. Los laboratorios van de dificultad Easy hasta Insane, y cada uno incluye un writeup paso a paso con la solución completa. La idea es que aprendas haciendo, no leyendo.

Buena parte de ellos replican reportes reales de HackerOne, YesWeHack y Bugcrowd, con la recompensa que se pagó por cada bug. El resto son ejercicios construidos sobre esas mismas técnicas, para entrenarlas a fondo antes de encontrarte una en producción. En ningún caso son retos inventados.

14 categorías de vulnerabilidades web, con los labs repartidos según lo que más aparece en los programas reales: XSS (reflejado, almacenado y DOM), control de acceso roto (BAC), abuso de APIs, lógica de negocio, Open Redirect, CSRF, IDOR, exposición de información, Path Traversal, SSRF, bypass de autenticación, Race Conditions, SQL Injection y RCE.

Cada martes se publica un laboratorio nuevo basado en un hackeo reciente, así que el contenido se mantiene al día con las técnicas que están funcionando ahora mismo.

Hay más de 60 laboratorios repartidos en 14 categorías, y cada semana entra uno nuevo. Completar el roadmap entero, desde lo más básico hasta Insane y Extrema, lleva meses incluso a gente con experiencia.

Sí, sin permanencia ni penalización. Cancelas desde tu panel cuando quieras y mantienes el acceso hasta el final del periodo que ya has pagado. El plan Lifetime es un pago único, así que ahí no hay nada que cancelar.

Tarjeta (Visa, Mastercard, Amex), PayPal, Apple Pay, Google Pay, Revolut Pay y Amazon Pay, todo a través de Stripe con pago cifrado. Nosotros no vemos ni guardamos los datos de tu tarjeta.

No hay periodo de prueba: al comprar pides que el acceso se active al momento y, por ser contenido digital que recibes al instante, con ello renuncias a los 14 días de desistimiento (lo confirmas con una casilla en el pago). A cambio no hay permanencia: el mensual lo cancelas cuando quieras y conservas el acceso hasta el final del periodo que ya pagaste.

Solo con autorización expresa del propietario: en un programa de bug bounty, en una auditoría contratada o sobre infraestructura tuya. Los laboratorios de BBLABS son entornos propios y aislados precisamente para que practiques sin tocar sistemas de terceros. Hacerlo sin permiso es delito.