¿Dónde Localizar los Recursos?
Mejor que una lista estática, conoce las fuentes primarias donde siempre encontrarás recursos actualizados — algunos proyectos se abandonan, otros se actualizan, y llegan otros nuevos continuamente.
VulnHub
Repositorio de máquinas virtuales vulnerables descargables para entorno local.
vulnhub.com ↗
HackThisSite
Vulnerabilidades a tu alcance para investigar y practicar ataques de forma legal.
hackthissite.org ↗
Hack The Box
Labs, CTFs y recursos premium para hacking. La referencia del sector profesional.
hackthebox.eu ↗
CTFlearn
Especialmente orientado a principiantes. Multitud de retos de dificultad creciente.
ctflearn.com ↗
OverTheWire
Wargames por SSH para practicar conceptos de seguridad — Bandit, Narnia, Leviathan.
overthewire.org ↗
PentesterLab
Lab para explorar las últimas CVEs. Ejercicios progresivos y certificados.
pentesterlab.com ↗
Game of Hacks
Aventura gamificada para ponerte a prueba en conocimientos de seguridad.
gameofhacks.com ↗
HackThis!
Plataforma interactiva de ciberseguridad donde practicar múltiples técnicas.
hackthis.co.uk ↗
W3Challs
Comunidad que provee retos tipo CTF sobre múltiples categorías de seguridad.
w3challs.com ↗
HellBound Hackers
Recursos adicionales para hacking — retos variados de dificultad media-alta.
hellboundhackers.org ↗
Plataformas Online de Entrenamiento
Las 14 mejores plataformas para practicar ciberseguridad online — desde principiante hasta nivel profesional Red Team.
TryHackMe
Principiante → Avanzado
La más amigable para empezar. Rutas guiadas, rooms interactivas, VPN integrada. 100+ temas.
Hack The Box
Intermedio → Avanzado
La referencia del sector. Máquinas reales, labs empresariales, certificaciones CPTS/CBBH.
Root-Me
Principiante → Avanzado
Miles de retos organizados por categoría. Sin VMs — todo vía web. 500+ retos disponibles.
OverTheWire
Principiante → Intermedio
Wargames clásicos por SSH. Bandit, Narnia, Leviathan — perfectos para bash y Linux básico.
VulnHub
Todos los niveles
Repositorio de VMs vulnerables descargables para entorno local. Miles de máquinas disponibles.
PicoCTF
Principiante
CTF permanente de Carnegie Mellon. Ideal para estudiantes. Categorías bien definidas.
PentesterLab
Principiante → Avanzado
Labs web enfocados en CVEs recientes. Módulos estructurados con ejercicios progresivos.
Hacker101
Principiante → Intermedio
CTF de HackerOne orientado a Bug Bounty. Aprende a encontrar vulnerabilidades reales.
CryptoHack
Criptografía
Retos de criptografía interactivos. Python-based. De RSA básico a ataques avanzados.
CMD Challenge
Bash/Linux
Retos de línea de comandos en el navegador. Perfecto para mejorar bash y scripting.
HackMyVM
Intermedio → Avanzado
Plataforma española con VMs de la comunidad. Especialmente activa en español.
TheHackersLabs
Intermedio
Labs de Active Directory y escenarios empresa. Contenido en español.
AttackDefense
Todos los niveles
Laboratorios online sin VPN. Entornos preconfigurados para prácticas específicas.
ImmersiveLabs
Profesional
Plataforma enterprise para equipos de seguridad. Retos con timer y scoring.
Sistemas y Máquinas Vulnerables
VMs y sistemas deliberadamente inseguros para practicar en entorno local. Desde web apps hasta sistemas operativos completos con retos de PrivEsc, RE y exploits.
Metasploitable
Descargar ↗
Ubuntu · múltiples versiones (1,2,3)
Vulnerabilidades intencionadas y configuraciones inseguras por defecto. La más usada en pentesting.
DVWA
Descargar ↗
PHP + MySQL
Damn Vulnerable Web App — niveles de seguridad ajustables, código fuente visible. Ideal para entender back-end.
WebGoat
Descargar ↗
Java · OWASP
App Java insegura de OWASP. Cada lección enseña un fallo de seguridad específico y permite atacarlo.
bWAPP
Descargar ↗
PHP + MySQL
Buggy Web Application — más de 100 bugs incluyendo XSS, CSRF, SQLi, SSRF, DoS, MITM y más.
Mutillidae II
Descargar ↗
PHP · OWASP
Entorno de hacking completo con XAMPP incluido. Modo seguro/inseguro intercambiable. Click-jacking, auth bypass.
Google Gruyere
Descargar ↗
Python
Proyecto de Google lleno de agujeros. Ideal para principiantes — caja negra y caja blanca.
Kioptrix
Descargar ↗
Linux · varios niveles
Sistema vulnerable con múltiples niveles y retos de dificultad creciente.
DVIA
Descargar ↗
iOS · Swift
Damn Vulnerable iOS App — siguiendo OWASP Mobile Top 10. Vulnerabilidades de iOS hasta v11.
DIVA
Descargar ↗
Android
Damn Insecure Vulnerable App para Android — equivalente al DVIA pero para el ecosistema Google.
Web Security Dojo
Descargar ↗
Ubuntu 12.04 VM
VM completa con Burp Suite, ratproxy y WebGoat integrados. Sin setup adicional necesario.
Juice Shop
Descargar ↗
JavaScript · OWASP
Web-app moderna vulnerable escrita en JS/Node. La más completa de OWASP para apps contemporáneas.
VulnOS
Descargar ↗
Linux
SO vulnerable para explotar vulnerabilidades y escalar privilegios hasta root.
LAMPSecurity
Descargar ↗
LAMP · Apache+MySQL+PHP
VM vulnerable con stack LAMP completo. Varias versiones disponibles.
Exploit Exercises
Descargar ↗
Múltiples VMs
Ingeniería inversa, análisis criptográfico, captura de paquetes, escalada de privilegios, password cracking.
Security Shepherd
Descargar ↗
OWASP
Para practicar ataques y comprobar seguridad web. Orientado a equipos y competición.
Owaspbwa
Descargar ↗
VM multi-app
OWASP Broken Web Application — máquina virtual con varias web-apps vulnerables integradas.
ROP Primer
Descargar ↗
Binarios
Para practicar explotación mediante Return Oriented Programming (ROP).
Morning Catch
Descargar ↗
Empresa simulada
Simula sistema de empresa real. Usa WINE para apps Windows vulnerables. Enfocado en phishing.
Aplicaciones Web Vulnerables
Entornos de hacking web seguros y legales. Aprende a detectar y explotar vulnerabilidades antes de enfrentarte a sistemas reales.
Las aplicaciones web vulnerables diseñadas intencionalmente ofrecen un entorno seguro y legal para practicar técnicas de pentesting. Los nuevos hackers aprenden a detectar vulnerabilidades, y los profesionales pueden descubrir nuevas técnicas sin comprometer sistemas reales.
Estas aplicaciones ("Malditamente Vulnerables") cubren los principales fallos del OWASP Top 10: XSS, CSRF, SQLi, LFI, SSRF, inyección de comandos, SSTI, subida insegura de archivos, gestión incorrecta de sesiones y más.
Links a Recursos Adicionales
Colección adicional de plataformas y recursos — especialmente útiles para CTFs específicos y labs en español.
Google CTF
CTF anual de Google — nivel avanzado. Archivos disponibles.
capturetheflag.withgoogle.com ↗TryHackMe — Rooms por Categoría
Más de 350 rooms organizados en 24 categorías. Desde introducción hasta CTFs Hard — todos con enlace directo. Usa el buscador para filtrar por nombre.
🔍 Buscar room:
Free Labs — Top 14 para CTF Skills
Los 14 mejores laboratorios gratuitos para desarrollar habilidades de CTF y pentesting desde cero.
1
TryHackMe
tryhackme.com
2
VulnHub
vulnhub.com
3
Root-Me
root-me.org
4
OverTheWire
overthewire.org
5
PicoCTF
picoctf.com
6
PentesterLab
pentesterlab.com
7
Google CTF
capturetheflag.withgoogle.com
8
CMD Challenge
cmdchallenge.com
9
HackTheBox
hackthebox.com
10
Hacker Security
capturetheflag.com.br
11
CTF Komodo Security
ctf.komodosec.com
12
Hackaflag BR
hackaflag.com.br
13
Attack-Defense
attackdefense.com
14
Hacker101
ctf.hacker101.com
Pentesting Training — GitHub Resources
Recursos especializados en reversing, pwnable y exploits binarios — mencionados en la comunidad GitHub.
crackmes.oneRetos de reversing y cracking subidos por la comunidad internacional.
pwnable.krWargame coreano de pwnable — exploits de binarios clásicos y avanzados.
pwnable.xyzRetos de pwnable modernos con categorías bien estructuradas.
pwnable.twPlataforma taiwanesa de exploits binarios — nivel intermedio-avanzado.
challenges.reRetos de ingeniería inversa de Dennis Yurichev — muy didácticos.
reversing.krRetos de reversing — desde básico hasta avanzado con soluciones.
ReversingHeroCurso interactivo de reversing en forma de reto progresivo.
IO NetgarageWargame de seguridad por SSH — explotación de binarios Linux.
Flare-On ChallengesCTF anual de Mandiant/FireEye centrado en reversing y malware analysis.
MicrocorruptionRetos de exploits en sistemas embebidos (MSP430) con depurador web.
ROP EmporiumEl mejor recurso para aprender Return Oriented Programming paso a paso.