Vengo del desarrollo. Llevo tiempo construyendo aplicaciones web con bases de datos, autenticación y pagos reales. Y justo por eso decidí aprender a romperlas: el que sabe cómo se construye una app ve los errores que otros no ven.
Este blog es mi registro público. Aquí voy a documentar cada vulnerabilidad que estudio, cada reto que resuelvo y cada hallazgo que se divulgue. No para presumir, sino porque explicar algo es la mejor forma de entenderlo de verdad.
Mi enfoque
No quiero ser un cazador de bugs genérico que pega payloads al azar. Me especializo en las vulnerabilidades que una máquina no puede encontrar sola:
- Control de acceso (IDOR / BOLA): cuando la app te deja ver o cambiar datos de otro usuario.
- Lógica de negocio: abusar del flujo que el desarrollador asumió “imposible”.
- Seguridad de APIs: la capa que casi nadie audita a fondo.
Qué viene
Los primeros writeups serán de laboratorios (PortSwigger, Hacker101), explicando la técnica paso a paso. Después, mis primeros reportes reales en programas con Safe Harbor.
Si llegaste hasta aquí: gracias por leer. Nos vemos en el siguiente.
$ whoami
0xkelvin
$ ./start --focus "access-control,api"