Web eXploitation Junior

WXJ (Web eXploitation Junior) es el curso base de SixHack Academy para aprender auditoría de seguridad web desde cero. El objetivo es que entiendas cómo funciona una aplicación web por dentro, aprendas a interpretar tráfico HTTP y HTTPS, y seas capaz de detectar vulnerabilidades frecuentes, validarlas con una prueba reproducible y documentarlas de forma profesional.

Durante el curso trabajaremos con una forma de hacer auditoría práctica y ordenada. Primero aprenderás a mapear la aplicación, después a identificar entradas, flujos y puntos sensibles, y a partir de ahí a plantear hipótesis y confirmarlas con evidencia clara. La herramienta principal será Burp Suite Community Edition, que usarás para interceptar, reproducir y modificar peticiones de manera controlada.

¿Para quién es WXJ?

WXJ está pensado para personas que quieren empezar en hacking ético y seguridad web sin experiencia previa. También encaja muy bien si estás estudiando o empezando tu carrera y quieres una base sólida con una metodología real de auditoría. Y si vienes de desarrollo, te ayudará a entender por qué ocurren los fallos web, cómo se verifican y cómo se corrigen con criterio.

Lo que aprenderás

Empezaremos por los fundamentos que de verdad se usan cuando auditas una web. Verás redes e Internet aplicados a auditoría, como IP, puertos, DNS, TCP y UDP, y el papel de los proxies cuando analizas una aplicación.

Después entraremos en HTTP y HTTPS de forma práctica. Rutas, parámetros, sesiones, cookies, autenticación, CORS, TLS y los detalles que suelen marcar la diferencia cuando algo “parece raro” pero todavía no sabes por dónde tirar.

Trabajarás con herramientas de auditoría manual como se usan en el mundo real. Burp Suite será el centro del flujo de trabajo, y lo acompañaremos con DevTools del navegador, curl y utilidades de apoyo para ganar velocidad sin perder control ni rigor.

También aprenderás a pensar como auditor. Dónde mirar primero, cómo priorizar, qué señales importan de verdad y cómo evitar conclusiones por intuición cuando todavía no hay pruebas.

Vulnerabilidades que aprenderás a detectar y validar

A lo largo del curso aprenderás a detectar y validar casos típicos como exposición de información y configuraciones inseguras, parameter tampering, fallos de autenticación y problemas de lógica de negocio. Verás en profundidad el control de acceso y escenarios de IDOR o autorización rota. Trabajarás gestión de sesión y vulnerabilidades del lado cliente como XSS, CSRF y errores habituales de CORS. También practicarás vulnerabilidades de impacto alto como SQL Injection, Path Traversal y LFI, subida de archivos insegura, además de casos como XXE, SSRF, SSTI, Command Injection y Open Redirect.

Cómo convertir el trabajo técnico en un informe profesional

No solo se trata de encontrar fallos, sino de saber explicarlos. Aprenderás a dejar evidencia reproducible con request y response, a describir impacto y riesgo de forma clara tanto para perfiles técnicos como no técnicos, y a priorizar hallazgos con recomendaciones realistas y verificables.

Qué te llevarás al finalizar

Terminarás con la capacidad de enfrentarte a una aplicación nueva, entenderla, probarla con método y documentar resultados como en una auditoría real. Te llevarás el hábito de trabajar con evidencia ordenada, pasos reproducibles y conclusiones defendibles. Y tendrás una base sólida para avanzar hacia niveles intermedios y avanzados en seguridad web con criterio, no solo siguiendo listas.

Marco ético y uso responsable

WXJ se imparte con un propósito estrictamente formativo. Las técnicas aprendidas deben aplicarse solo en laboratorios, sistemas propios o sistemas con permiso explícito. El objetivo es aprender a auditar y mejorar la seguridad, no causar daño ni acceder a información sin autorización.