¿Qué hace security-pentest-skill?
Habilidad de Codex: evaluación de seguridad web autorizada y generación de informes basados en evidencia.
Descripción
Esta habilidad permite a un agente de IA realizar evaluaciones de seguridad web de forma autorizada, identificando vulnerabilidades y documentando los hallazgos con evidencia clara y reproducible.
Plataformas compatibles
- Codex
Instrucciones de uso
- Asegúrate de contar con autorización explícita del propietario del sitio o aplicación web antes de iniciar cualquier prueba.
- Sigue el flujo de trabajo: reconocimiento → escaneo → explotación → reporte.
- Documenta cada paso con evidencia: capturas de pantalla, solicitudes HTTP, respuestas del servidor y logs.
- Genera un informe final que incluya resumen ejecutivo, hallazgos detallados, nivel de riesgo y recomendaciones de mitigación.
Comandos útiles
nmap -sV -sC target.com- Escaneo de servicios y versiones.gobuster dir -u https://target.com -w /usr/share/wordlists/dirb/common.txt- Enumeración de directorios.sqlmap -u "https://target.com/page?id=1" --batch- Detección de inyección SQL.
Notas importantes
- Solo usar en sistemas donde tengas permiso por escrito.
- No almacenes credenciales o datos sensibles en el historial del agente.
- Revisa las leyes locales sobre pruebas de penetración antes de ejecutar cualquier comando.
Ejemplo de reporte
# Informe de Seguridad - target.com
## Resumen Ejecutivo
Se encontraron 3 vulnerabilidades de riesgo alto.
## Hallazgos
### Vulnerabilidad 1: XSS Reflejado
- **URL**: https://target.com/search?q=<script>alert(1)</script>
- **Evidencia**: Respuesta HTTP contiene `<script>alert(1)</script>`.
- **Riesgo**: Alto.
- **Recomendación**: Sanitizar entrada de usuario.
### Vulnerabilidad 2: Directorio expuesto
- **URL**: https://target.com/admin/
- **Evidencia**: Respuesta 200 con listado de directorios.
- **Riesgo**: Medio.
- **Recomendación**: Deshabilitar listado de directorios.
## Conclusión
Se recomienda corregir las vulnerabilidades identificadas y realizar una nueva evaluación.