Intrusion Detection System: ACTIVO · autenticate con credenciales válidas o un payload real para abrir el gateway.
Tip: probá las credenciales filtradas… o cerrá la quote como en un login SQL de verdad 😉
| OLEADA | FASE | PAYLOAD | STATUS | MUTACIÓN | INYECCIÓN | VEREDICTO |
|---|
| OLEADA | FASE | PROBE | STATUS | VEREDICTO |
|---|
Mini-navegador con historial HTTP completo: request y response en crudo, Repeater, Intruder, comparador, decoder, mapa del objetivo y análisis. Todo sale por el Worker (scanner-proxy). Solo ve lo que pedís desde aquí, nunca el tráfico de otras pestañas.
Sin petición seleccionada.
Sin respuesta seleccionada.
(resultado)
| ID | SEV | FLUJO ORIGEN→SUMIDERO | LÍNEA | PARCHE ESTRUCTURAL |
|---|
| BREACH | FECHA | REGISTROS | DATOS EXPUESTOS | VERIFICADA | RIESGO |
|---|
Auditoría pasiva de postura DNS y autenticación de correo (SPF · DMARC · DKIM · DNSSEC · MTA-STS). 100% client-side vía DNS-over-HTTPS.
EN ESPERA
Ingresá un dominio y ejecutá la auditoría para evaluar si permite suplantación de identidad (email spoofing).
Motor de ingeniería inversa de flujos: pegá un HAR (DevTools → Network → Export HAR) o elegí un flujo de ejemplo. NEXUS reconstruye la coreografía de APIs, detecta qué token viaja de una llamada a la siguiente, decodifica JWTs y marca las debilidades. 100% en tu navegador.
[*] NEXUS — Motor de Ingeniería Inversa de Flujos de API
Reconstruye la coreografía de una app: qué llama a qué, en qué orden, qué token viaja de una llamada a la siguiente, y dónde están las debilidades. Todo corre en tu navegador — ningún dato sale de tu equipo.
── CÓMO SE USA ──
1 En DevTools → pestaña Network → clic derecho → Save all as HAR (ideal: filtrá por Fetch/XHR primero para un archivo liviano).
2 Tocá 📂 SUBIR HAR o arrastrá el archivo al cuadro. También podés usar los flujos de ejemplo de arriba.
3 NEXUS filtra el ruido (imágenes/CSS/JS) y desglosa el mapa completo abajo.
── QUÉ SIGNIFICA CADA PARTE ──
VEREDICTO / SCORE nota A–F y puntaje 0–100 de la postura de seguridad del flujo. Baja con cada hallazgo según su gravedad.
MAPA DE SERVICIOS todos los hosts del flujo. 1st=tu dominio, 3rd=terceros. Avisa cuando el flujo cruza una frontera de confianza (manda datos a otro dominio).
DIAGRAMA DE SECUENCIA cada flecha es una request (método + ruta + status). Las líneas punteadas verdes marcan un dato que nace en una llamada y se reutiliza en otra. ▶ reproducir re-anima el trazado.
CADENA DE DERIVACIÓN en prosa: qué hace cada paso, qué emite 🔑, qué usa ⛓ y a qué paso deriva. Es el "esta función crea X y deriva a esta otra".
CICLO DE VIDA DE TOKENS por cada secreto: dónde nace, dónde se consume, su vida (exp del JWT) y su exposición (en URL, a terceros, si es JWT).
INVENTARIO DE ENDPOINTS tabla de rutas únicas: método, host (1st/3rd), tipo de auth y cuántas veces se llamó.
DATOS SENSIBLES lo que la app expone en claro: emails, passwords, tarjetas (validadas por Luhn), JWTs, API keys, IPs internas.
DEBILIDADES cada hallazgo con severidad + tag OWASP API Top 10 + CWE. Clic en un paso del diagrama abre el INSPECTOR con request/response, tokens y relaciones.
REPORTE PDF exporta todo en 4 secciones: pasos, cadena de derivación, ciclo de tokens y debilidades.
── QUÉ DETECTA EL MOTOR ──
Secreto en la URL · JWT alg:none / HMAC / vida larga · token enviado a terceros · webhook sin firma · price-tampering (monto del cliente) · IDOR (ids secuenciales) · OAuth sin state · CORS permisivo con credenciales · cookies sin HttpOnly/Secure/SameSite · HTTP en texto plano · credenciales/tarjeta en la respuesta · Basic Auth · introspección GraphQL · errores verbosos · faltan headers de seguridad · session fixation · PII hacia terceros.
[+] 100% client-side · usalo solo sobre tráfico que tengas autorización de analizar.
Módulo de pruebas de robustez de endpoints HTTP, de propósito general y 100% client-side. Configurá una request y NEXUS genera variantes programáticas — baseline, replay, mutación de parámetros, sustitución de identificadores y concurrencia — con consola de resultados, comparación contra baseline, exportación a cURL y veredicto por categoría (siempre como candidato a verificar).
Qué hace: toma una request real que vos definís y la repite con variantes: replay (¿se duplica una acción?), mutación de campos (¿acepta valores inválidos?), sustitución de IDs (¿accede a recursos ajenos?) y concurrencia (¿hay race conditions?). Compara cada respuesta contra el baseline y da veredictos que son hipótesis a verificar, no hallazgos.
https://staging.tuapp.com/api/transferencias. Escribí la URL completa, incluido el path.Authorization: Bearer TU_TOKEN de una cuenta de prueba.{"monto": 1000, "id": 1}. También podés cargarlo desde un archivo .json con el botón de archivo.Demo rápida: botón ⚡ Cargar demo. Usa httpbin.org, un servicio público de pruebas que devuelve lo que enviás. Sirve para ver el flujo sin tocar nada tuyo.
Desde GASR: el botón ⇡ Enviar a NEXUS Active toma el objetivo del buscador y lo deja como https://objetivo/. No ejecuta nada; completá el path y autorizá.
| # | Categoría | Variante | Status | Latencia | Tamaño | Δ vs baseline |
|---|---|---|---|---|---|---|
| Sin pruebas todavía — configurá la request, confirmá autorización y ejecutá el baseline. | ||||||
Buscador de infraestructura global sobre datos públicos ya indexados. Consultá un dominio o IP contra varios motores de inteligencia de activos en paralelo — puertos, ASN, geolocalización, banners, certificados, CVEs y servicios mal configurados — enrutado por tu Cloudflare Worker (claves protegidas en el backend).
CL = hosts expuestos en Chile. Sin filtro devuelve todo lo indexado, así que conviene acotar.CL port:3306 busca MySQL expuesto. Los chips de FILTRO reemplazan el filtro del mismo tipo.CL port:9200 port:5601.ℹ Recon pasivo sobre datos públicos ya indexados por terceros. Las consultas se enrutan por tu Worker para evitar CORS y mantener las claves fuera del cliente. Si una fuente falla o da timeout, el resto sigue. El threat score es una heurística para priorizar revisión manual, no un veredicto.
// vista previa de cabeceras acá
| VECTOR | EVIDENCIA | IMPACTO | VEREDICTO |
|---|
| BANDERA ROJA | POR QUÉ ES SEÑAL | CÓMO DETECTARLO TÚ |
|---|
Crawler agresivo estilo Katana. Sigue enlaces y formularios del mismo dominio hasta la profundidad elegida, y parsea cada archivo JS encontrado para extraer endpoints que un crawler HTML normal nunca vería.
Motor agresivo multi-fuente: 5 fuentes OSINT (crt.sh, HackerTarget, OTX, Wayback, Anubis) + fuerza bruta activa con DNS-over-HTTPS round-robin + probing HTTP + detección de CNAME takeover con verificación real de body.
Fuzzer de contenido estructurado en 5 categorías tácticas independientes. Calibra un baseline de soft-404 antes de cada corrida y descarta automáticamente cualquier respuesta que coincida — pausable y cancelable en tiempo real, sin saturar el navegador.
| Status | Path | Size | RTT |
|---|---|---|---|
| Sin hallazgos todavía. | |||
Análisis estático de archivos sospechosos — nunca ejecuta nada. Hashes, tipo real por magic bytes, entropía, strings, indicadores de red, y para ejecutables Windows, estructura PE completa con imports.
⚠ Esto NO es un sandbox ni un antivirus. Es triaje: te dice por dónde empezar a mirar, no un veredicto. Un score bajo no significa que el archivo sea seguro — un score alto no confirma que sea malware. El archivo nunca sale de tu navegador: todo el análisis corre en tu máquina.
Motor de auditoría ofensiva de AGRESIVIDAD ABSOLUTA. Ingresa una URL y el Leviatán v9.0 despliega 350 FASES REALES DE ANIQUILACIÓN TOTAL:
resolución DNS, transporte SSL/TLS, headers, CORS, adaptive wordlists + parameter mining, robots/sitemap, parámetros peligrosos, fingerprint, cookies (cookie injection, session fixation, JWT decode, cookie tossing, auth bypass), métodos HTTP agresivos (PUT/DELETE/PATCH/TRACE/CONNECT con payloads reales, method override, verb tampering, WebDAV), enumeración de subdominios, escaneo de puertos, mutation engine + OOB callbacks (interactsh), CRLF / Header Injection, NoSQL Injection, Prototype Pollution, HTTP Request Smuggling, Race Conditions, API Abuse / IDOR / Mass Assignment, XXE Injection, SSTI, LDAP Injection, XPath Injection, Host Header Injection, Insecure Deserialization, File Upload Abuse, WebSocket Abuse (CSWSH), OAuth/SSO Misconfiguration, LLM Prompt Injection, ReDoS, HTTP Parameter Pollution (HPP), DNS Rebinding, Source Map Exposure, Cloud Bucket Enumeration, Open Redirect, Path Traversal / LFI, Command Injection, JWT Analysis, SSRF Deep Scan, Subdomain Takeover, Cache Poisoning, WordPress, GraphQL, SQLi Blind, XSS DOM, CSRF, Session Hijacking, Business Logic Abuse, HTTP/2 Rapid Reset, Clickjacking, IPv6 Enum, Virtual Host Brute, Backup File Discovery, Config File Exposure, WAF Evasion, Container Escape, Kubernetes API, Docker Registry, .git/.svn/.hg Exposure, OOB/Blind Callbacks (interactsh, DNS exfil), Auth Context Engine (multi-rol, IDOR activo, Mass Assignment real), JWT Advanced (alg confusion, jku/x5u, kid traversal), OAuth/OIDC/SAML Abuse, MFA/OTP Bypass, HTTP/1.1 + HTTP/2 Smuggling real (CL.TE, TE.CL, single-packet race), Cloud Metadata SSRF (IMDSv1/v2, GCP, Azure), Kubernetes/Docker/CI-CD Attack Surface, Supply Chain (dependency confusion, secrets verificados), Parameter Mining (Arjun-style), Adaptive Wordlists + Mutation Engine, Headless Browser (DOM XSS real, postMessage, prototype pollution client-side), GraphQL Deep + gRPC + OpenAPI Abuse, WAF Fingerprint + Encoding Diferencial, Crypto Attacks (padding oracle, CBC bit-flip, hash length extension), Correlation Engine (48 cadenas de exploit), PoC Verificado No Destructivo, Proxy Rotation + Distributed Scanning, Evidence Capture + Compliance Mapping (OWASP/CWE/CVSS), SQLi 2nd Order + WAF Bypass, Mutation XSS (mXSS), Service Worker Exploitation, SSRF Internal Port Scan + Redis RCE, SSRF Cloud Takeover Chain, TOCTOU + DB Race Conditions, Deser Multi-lang (Java/.NET/PHP/Python), GraphQL Batching + Depth DoS, S3 Bucket Takeover + IAM Privesc + Lambda Abuse, API Gateway Bypass, Prompt Injection Chain + RAG Poisoning + Model Extraction, DNSSEC Zone Walk, Web Cache Deception + CDN Bypass, Password Reset ATO Chain + MFA Fatigue, HTTP/3 QUIC + WebRTC Leak, PostMessage + CORS Exploitation Chains, Content-Type + MIME Sniffing Confusion, WebDAV Deep + Git/SVN/Mercurial Exploitation, Cloudflare/Akamai/ModSecurity WAF Bypass, JA3/JA4 TLS Fingerprinting, Certificate Transparency + Wayback Machine + Shodan Correlation, CVE Matching + 0-Day Hunting, Host Header Poisoning Deep, Prototype Pollution Server-Side, HPP Deep, WebSocket CSWSH, gRPC/OpenAPI Abuse, DNS Rebinding Protection, K8s/Docker API Deep, LLM Prompt Injection + RAG Poisoning, Web Cache Deception, CVE Exploit Correlation (107 CVEs), análisis de contenido (207 patrones de secretos), GraphQL Alias Abuse, OAuth Redirect URI Hijacking, JWT RS256/HS256 Confusion, 2FA/OTP Race Condition, Password Reset Token Enumeration, API Rate Limit Bypass, CRLF Parameter Injection, Blind SSRF Error-based, Certificate Transparency Subdomain Enum, Cloud Metadata Deep (AWS/GCP/Azure), Container Runtime Detection, API Versioning Abuse, Web Cache Deception Deep, DNS Rebinding Bypass, Server-Side PP via JSON, GraphQL Mutation Abuse, HTTP/2 H2C Desync, CORS Credential Theft Chain, JWT Claim Manipulation, Session Puzzle Attack, IDOR Deep Enum, Business Logic Flow Bypass, API Parameter Pollution, Blind Command Injection (time-based), Second-order SQLi, Stored XSS, HTTP Method Override Bypass, API Key Enumeration, SAML Assertion Injection, Open Redirect→SSRF Chain, Path Traversal Encoding Bypass, NoSQLi via JSON, HTTP CL.TE Desync, HTTP/2 Single-Packet Race, GraphQL Introspection Alternatives, Cloud Bucket Misconfig Deep, Docker API Exposure, K8s API Exposure, Etcd/Redis/MongoDB/Elasticsearch/Memcached Exposure, Jenkins/GitLab/Consul/Spring Boot Actuator Deep, AWS IAM Role Enum, GCP Service Account Detection, Azure Managed Identity Detection, OAuth Token Theft, SAML XSW Attack, OpenID Connect Abuse, Password Reset Poisoning Chain, MFA Fatigue Attack, HTTP/3 QUIC Detection, WebRTC IP Leak, Service Worker Abuse, Web Cache Deception via Path, CDN Origin IP Discovery, WAF Bypass via Encoding, SQLi via JSON, XSS via SVG Upload, CSRF via WebSocket, Race Condition on Balance/Credits, IDOR via UUID Prediction, Mass Data Export Abuse, GraphQL Cost Analysis Bypass, Blind XSS Detection, SSRF via PDF Generators (Server-Side XSS), BaaS & IdP Exploitation (Firebase/Cognito/Supabase), GraphQL CSRF (Bypass de Preflight), Fat GET Cache Poisoning, Client-Side Dependency Hijacking, H2.TE/H2.CL Smuggling (Downgrade Attacks), SMTP Header Injection, Unicode Homoglyph WAF Bypass, Type Juggling/Magic Hash Auth Bypass, JSONP Callback Hijacking, Reflected File Download (RFD), Webshell/Backdoor Detection, WebSocket Compression Bomb, gRPC Reflection Abuse, S3 Object Versioning Exploitation, GraphQL Field Suggestion Leak, Cloud Storage Non-AWS Enum (R2/DO/B2/Wasabi), NTLM Relay/SMB/WinRM Exposure, Blind RCE Detection (Time-based + OOB), Auth Bypass Deep (Default Creds + Brute), Credential Stuffing + Password Spraying, Host Header Injection Deep (RCE + Cache Poison), Blind SSRF Advanced (DNS Rebinding + Protocol Smuggling), Mass Assignment → Privilege Escalation, Server-Side Prototype Pollution → RCE Chain, Log4Shell JNDI RCE (CVE-2021-44228), Spring4Shell RCE (CVE-2022-22965), Subdomain CNAME Takeover (50+ fingerprints), JWT Secret Brute-Force (100 secretos comunes), CSP Bypass / Missing CSP Detection, H2C Upgrade Smuggling (HTTP/2 Cleartext), WebSocket Origin Spoofing + Auth Bypass, ImageMagick/ExifTool RCE (ImageTragick + CVE-2021-22204), MOVEit Transfer CVE-2023-34362, Citrix NetScaler CVE-2023-4966, Fortinet FortiGate CVE-2024-21762, F5 BIG-IP CVE-2023-4622, Cloud IAM Exploitation (AWS STS/GCP/Azure), GraphQL Arbitrary File Read, Reverse Proxy Auth Bypass (Direct Origin Access), HTTP Request Smuggling CL.TE/TE.CL Real, SSTI Deep (Jinja2/Twig/Freemarker/Velocity/Smarty/Mako), NoSQL Injection Deep (MongoDB/Redis/CouchDB), XXE Injection Deep (SOAP/SVG/XML-RPC), SQL Injection Deep (Error/UNION/Blind/Time-based), XSS Deep (Reflected/Stored/DOM/Mutation/Framework Bypass), OAuth/OIDC Token Theft Deep (Auth Code/Implicit/PKCE Bypass), Path Traversal/LFI Deep (Encoding Bypass/Null Byte/PHP Filter), Command Injection Deep (Time-based/OOB/Filter Bypass), Race Condition Deep (TOCTOU/Balance/Coupon/Rate Limit), Final Destrozo Correlation Engine, heurísticas y reporte. DESTROZO ABSOLUTO. 350 FASES REALES. Agresividad absoluta. Prepárate para la aniquilación. 💀🔥
Ingresa tu IP y selecciona un lenguaje...
Referencia completa de todas las cabeceras HTTP — de solicitud, respuesta, seguridad y pentesting. Cada cabecera con su función, ejemplo y riesgo de seguridad.
Motor de reconocimiento pasivo sobre fuentes abiertas. Ingresa un dominio o IP y obtén inteligencia de 12 fuentes simultáneas: DNS, WHOIS, subdomains, SSL certs, threat intel, passive DNS, URLs indexadas, geolocalización y más.
Más de 60 CVEs críticos pre-cargados + buscador en tiempo real contra la API oficial NIST NVD. Desde Log4Shell hasta vulnerabilidades 0-day de 2024.
Arsenal de payloads listos para copiar: desde los más básicos hasta los avanzados ofuscados y doble-encodeados para bypass de WAF y filtros. Cada payload trae su contexto de uso.
Varios de estos payloads pueden provocar ejecución de código, exfiltración de datos o daño real en un sistema. Úsalos EXCLUSIVAMENTE sobre objetivos donde tengas autorización explícita por escrito (programas de bug bounty activos o pentests contratados). El uso no autorizado es un delito informático. Los marcados con ⚠ alto son especialmente destructivos.
Guía de aprendizaje estructurada para convertirse en Bug Bounty Hunter / Ethical Hacker. Desde cero hasta profesional.
Terminal interactivo con Bash, CMD y PowerShell. Más de 300 comandos organizados por situación. Haz clic en cualquier comando de la referencia para insertarlo en el terminal.
Referencia completa de Burp Suite Professional: módulos, atajos, técnicas de explotación y workflows de pentesting web.
Laboratorio interactivo multi-ventana de seguridad ofensiva. Elegi un tipo de ataque, carga un payload, y lanza el ataque. La terminal simula la respuesta interna del servidor. 100% client-side - nada sale de tu navegador.
Pipeline secuencial del flujo de trabajo: del descubrimiento pasivo al PoC manual reproducible.
Instalacion y setup completo de la suite ofensiva. Copia los comandos con un clic.