Decent Newsroom
Sign In

El Método CROX Sec: auditoría externa pasiva completa (guía definitiva)

By CROX Sec Notes October 26, 2026

El Método CROX Sec: auditoría externa pasiva completa

La guía definitiva en español para evaluar la superficie de seguridad de cualquier dominio sin tocarlo: cero paquetes intrusivos, cero autorización necesaria, cero excusas. Todo lo que sigue funciona desde una terminal y una tarde de tu tiempo.

FILOSOFÍA: ver lo que ve el atacante

Tu firewall interno, tus políticas y tus antivirus no le importan a quien te ataca: él ve lo que es público. La auditoría pasiva replica esa visión. Si encuentras puertas desde fuera, un atacante las encontraría. Si cierras esas puertas, el 90% de los ataques oportunistas rebota.

FASE 1 — Mapa de subdominios (20 minutos)

Todo certificado TLS queda registrado públicamente en los Certificate Transparency logs. Es el mapa más honesto que existe:

curl -s "https://crt.sh/?q=%25.DOMINIO&output=json" | jq -r '.[].name_value' | sort -u > subs.txt

Limpia wildcards y duplicados. Lo que queda es TODO lo que ha tenido HTTPS: incluido lo que el equipo ya olvidó.

Defensa: apaga en DNS lo que no exista. Un subdominio que no resuelve no puede ser secuestrado.

FASE 2 — Qué responde y con qué (15 minutos)

cat subs.txt | httpx -title -tech-detect -status-code -silent 2>/dev/null > alive.txt

O a mano para pocos dominios:

for s in $(cat subs.txt); do echo "== $s"; curl -sk -o /dev/null -w '%{http_code} %{redirect_url}
' --max-time 6 https://$s; done

Marca: paneles de login (403/401/200 con form), servicios conocidos (webmail, phpmyadmin, jenkins, grafana), subdominios de terceros (CNAME a SaaS).

FASE 3 — Radiografía de cabeceras (10 minutos por dominio vivo)

curl -sI https://DOMINIO | grep -iE 'strict-transport|content-security|x-frame|x-content|referrer|server|x-powered'

Tabla rápida:

  • Sin HSTS → downgrade posible en red hostil
  • Sin CSP/X-Frame → clickjacking e inyección de recursos
  • Server/X-Powered con versión → regalo de fingerprint
  • Sin security.txt → el investigador honesto no tiene cómo avisarte

FASE 4 — DNS de correo: la suplantación (15 minutos)

dig +short TXT DOMINIO | grep -i spf
dig +short TXT _dmarc.DOMINIO
dig +short TXT default._domainkey.DOMINIO
  • SPF ausente o con +all → cualquiera envía como tú
  • DMARC ausente o p=none → el phishing con tu marca tiene vía libre
  • DKIM ausente → los spoof no se detectan

El fix completo (SPF + DKIM + DMARC p=quarantine→reject) corta el phishing corporativo en seco y se configura en una tarde.

FASE 5 — Exposiciones típicas (30 minutos)

Rutas que casi siempre revelan algo:

for p in .git/config .env backup.zip backup.sql .well-known/security.txt xmlrpc.php wp-json wp-login.php phpmyadmin adminer.php; do
  code=$(curl -sk -o /dev/null -w '%{http_code}' --max-time 6 https://DOMINIO/$p)
  [ "$code" = "200" ] && echo "¡EXPUESTO! /$p"
done

Y consulta CT monitoring gratuito para alertas de nuevos certificados en tu dominio.

FASE 6 — TLS y criptografía (15 minutos)

echo | openssl s_client -connect DOMINIO:443 -servername DOMINIO 2>/dev/null | openssl x509 -noout -dates -issuer
nmap --script ssl-enum-ciphers -p 443 DOMINIO

Cadena completa, fechas, protocolos viejos vivos (TLS1.0/1.1 = problema), ciphers débiles.

FASE 7 — El informe que se ejecuta solo

Cada hallazgo se anota con: severidad, evidencia (comando + salida), fix concreto, comando de verificación del fix. Sin teoría: la lista se convierte en tickets directamente.

FRECUENCIA: vigilar, no auditar una vez

El recon pasivo cabe en un cron semanal. Lo que cambia entre semana y semana es lo que importa: un subdominio nuevo, un certificado extraño, un registro DNS modificado. Eso es señal de vida — legítima o no.

CROX Sec publica research de seguridad en español de forma abierta. Si esto te fue útil: BTC bc1qfulwc94ej036rauexs3aa76td0xpquhzld96lx · XNO nano_38ddjn4jd1pkgp6ugaoyyeqtkbaes7oby11m1u8asfr7bwg13h5x51uky9r1 · Nostr npub1grgfze827hsgh8hn2eh3glswg7fyyun3yrjx3uchqszguwwxufuq8uazte

#infosec #seguridad #bugbounty
Write a comment