Fundamentos de las aplicaciones web

La mayoría de los ataques informáticos actuales tienen un punto en común: ocurren a través de aplicaciones web. Desde plataformas bancarias hasta redes sociales, sistemas corporativos o tiendas online, casi todo hoy funciona a través del navegador. Esto significa que comprender cómo funcionan las aplicaciones web no es solo conocimiento técnico: es la base para entender cómo se producen muchos de los ataques más críticos en seguridad informática.

Para cualquier persona interesada en ciberseguridad, pentesting o hacking ético, dominar los componentes fundamentales del funcionamiento web permite identificar debilidades que muchas veces pasan desapercibidas. En este artículo vamos a explorar los elementos clave que sostienen la arquitectura de una aplicación web moderna, cómo interactúan entre sí y por qué cada uno de ellos puede convertirse en un punto de ataque si está mal implementado.

---

Por qué las aplicaciones web son el principal objetivo de los atacantes

Las aplicaciones web tienen tres características que las convierten en un objetivo ideal:

1. Están expuestas a Internet

2. Procesan información sensible

3. Interactúan con múltiples usuarios y sistemas

Una plataforma web típica puede almacenar contraseñas, datos personales, información financiera o propiedad intelectual. Si un atacante logra explotar una vulnerabilidad en ese entorno, puede acceder a una enorme cantidad de datos valiosos.

Además, muchas organizaciones concentran gran parte de su infraestructura en aplicaciones web: paneles administrativos, APIs, dashboards de negocio, sistemas internos, etc. Una sola vulnerabilidad puede abrir la puerta a toda la organización.

---

Cómo funciona realmente una aplicación web

Cuando escribes una URL en el navegador, ocurre una cadena de eventos que suele pasar desapercibida para el usuario. Sin embargo, cada uno de esos pasos puede convertirse en un punto vulnerable.

El proceso básico funciona así:

1. El navegador interpreta la URL.

2. Se consulta el sistema DNS para encontrar la dirección IP del servidor.

3. Se establece una conexión con el servidor.

4. Se envía una solicitud HTTP.

5. El servidor procesa la solicitud.

6. El servidor devuelve una respuesta.

7. El navegador renderiza la página.

Parece simple, pero detrás de ese flujo hay múltiples capas de tecnología.

Ejemplo práctico

Imaginemos que un usuario entra a:

El navegador envía una solicitud como esta:

El servidor responde:

Luego el navegador muestra la página de login.

Si un atacante puede modificar esta comunicación, manipular parámetros o interceptar datos, podría explotar múltiples vulnerabilidades.

---

HTTP: el lenguaje de las aplicaciones web

HTTP es el protocolo que permite la comunicación entre el navegador y el servidor. Funciona mediante solicitudes y respuestas.

Cada solicitud HTTP incluye:

• Método

• Ruta

• Encabezados

• Cuerpo (opcional)

Los métodos HTTP definen la acción que se quiere realizar.

Métodos más importantes

GET
Se utiliza para obtener información.

Ejemplo:

Un problema común ocurre cuando los parámetros de la URL se pueden manipular.

Ejemplo vulnerable:

Un atacante podría cambiarlo a:

Si el sistema no valida correctamente los permisos, podría acceder a datos de otro usuario.

Este tipo de vulnerabilidad se conoce como IDOR (Insecure Direct Object Reference).

---

POST

Se utiliza para enviar datos al servidor.

Ejemplo:

Cuerpo de la solicitud:

Aquí suelen aparecer vulnerabilidades como:

• SQL Injection

• bypass de autenticación

• manipulación de parámetros

---

PUT y DELETE

Se usan principalmente en APIs para modificar o eliminar recursos.

Un error común es que estas funciones queden accesibles sin autenticación.

Ejemplo peligroso:

Si un usuario normal puede ejecutar esa operación, el sistema tiene un grave problema de control de acceso.

---

HTTPS y la importancia del cifrado

HTTPS protege la comunicación mediante cifrado. Esto evita que un atacante pueda leer o modificar los datos durante la transmisión.

Cuando un navegador establece una conexión segura, ocurre un proceso llamado handshake TLS, donde se negocian claves criptográficas entre cliente y servidor.

Si el sistema utiliza configuraciones antiguas o inseguras, pueden aparecer vulnerabilidades.

Ejemplo práctico

Algunos servidores aún permiten versiones antiguas de protocolos de cifrado.

Un atacante podría aprovechar esto mediante ataques como:

• downgrade attacks

• explotación de cifrados débiles

• interceptación de tráfico

Por eso es importante que los servidores utilicen versiones modernas de TLS y deshabiliten protocolos obsoletos.

---

Cookies: el mecanismo que mantiene la sesión

HTTP es un protocolo sin estado. Esto significa que cada solicitud es independiente.

Para mantener sesiones de usuario, los servidores utilizan cookies.

Una cookie es un pequeño fragmento de información que el servidor envía al navegador.

Ejemplo:

Luego el navegador envía esa cookie en cada solicitud.

Esto permite que el servidor identifique al usuario.

---

Ejemplo de ataque con cookies

Si una cookie no tiene ciertas protecciones, un atacante podría robarla mediante una vulnerabilidad XSS.

Ejemplo de script malicioso:

Si el sistema no utiliza la bandera HttpOnly, ese valor podría ser enviado a un servidor atacante.

Con esa cookie robada, el atacante podría suplantar al usuario.

Esto se conoce como session hijacking.

---

Gestión de sesiones y sus riesgos

La sesión representa la identidad del usuario dentro del sistema.

El servidor suele almacenar información como:

• usuario autenticado

• permisos

• tiempo de expiración

El navegador solo almacena el identificador de sesión.

Problemas comunes en sesiones

1. IDs de sesión predecibles

2. Sesiones que no expiran

3. Sesiones que no cambian tras el login

4. Sesiones válidas incluso después del logout

---

Ejemplo práctico de fijación de sesión

Un atacante podría enviar a la víctima un enlace con una sesión predefinida:

Si el usuario inicia sesión y el servidor no genera un nuevo ID, el atacante ya conoce la sesión válida.

Esto se conoce como session fixation.

---

Autenticación y autorización: conceptos que suelen confundirse

Dos conceptos fundamentales en seguridad son:

Autenticación
Verifica quién es el usuario.

Autorización
Determina qué puede hacer ese usuario.

Muchas vulnerabilidades críticas aparecen cuando estos dos conceptos se implementan incorrectamente.

Ejemplo de fallo de autorización

Supongamos que existe un panel administrativo:

Un sistema vulnerable podría permitir que cualquier usuario autenticado acceda a esa ruta.

Esto produce una escalada de privilegios.

---

APIs: el nuevo gran objetivo de los ataques

Las APIs son el motor de muchas aplicaciones modernas. Permiten que aplicaciones móviles, frontends web y servicios externos interactúen con el sistema.

Sin embargo, muchas APIs tienen controles de seguridad más débiles que las interfaces web.

Un ejemplo típico:

Un atacante podría probar:

Si el sistema devuelve información de otros usuarios, existe una vulnerabilidad grave.

---

Ejemplo de ataque de asignación masiva

Supongamos que una API permite crear usuarios.

Solicitud legítima:

Cuerpo:

Un atacante podría intentar:

Si el backend no valida correctamente los campos permitidos, el atacante podría crearse una cuenta con privilegios administrativos.

---

DevTools: una herramienta fundamental para análisis

Todos los navegadores modernos incluyen herramientas de desarrollo extremadamente poderosas.

Estas herramientas permiten:

• inspeccionar solicitudes HTTP

• analizar respuestas del servidor

• ver cookies

• revisar almacenamiento local

• ejecutar JavaScript en el contexto de la página

Para un analista de seguridad, esto es esencial.

---

Ejemplo práctico con DevTools

Imaginemos que un formulario tiene un botón deshabilitado:

Un usuario puede abrir las herramientas del navegador, eliminar el atributo disabled y activar el botón manualmente.

Esto permite probar si el backend realmente valida la lógica o si confía únicamente en el frontend.

Muchos fallos de seguridad surgen precisamente por confiar demasiado en la validación del lado del cliente.

---

El modelo de seguridad del navegador

Los navegadores implementan una política llamada Same-Origin Policy.

Esta política impide que scripts de un sitio web accedan a datos de otro sitio.

Sin esta protección, cualquier página podría leer datos de servicios como correo electrónico o banca online.

Sin embargo, existen mecanismos como CORS que permiten compartir recursos entre dominios.

Si CORS está mal configurado, puede permitir que sitios maliciosos accedan a datos sensibles.

---

Ejemplo de mala configuración de CORS

Un servidor responde con:

Si además permite credenciales, un sitio atacante podría leer información privada de un usuario autenticado.

Esto puede derivar en filtración masiva de datos.

---

Tecnologías modernas que también deben analizarse

Las aplicaciones actuales utilizan tecnologías adicionales que amplían la superficie de ataque.

Entre ellas:

• WebSockets

• GraphQL

• APIs en tiempo real

• aplicaciones SPA

Ejemplo con GraphQL

GraphQL utiliza un único endpoint, generalmente:

Un atacante podría enviar una consulta para descubrir toda la estructura del sistema.

Ejemplo:

Esto puede revelar:

• nombres de campos

• tipos de datos

• funciones internas

Con esa información se pueden construir ataques mucho más efectivos.

---

Por qué entender estos fundamentos es tan importante

Muchas personas quieren aprender técnicas avanzadas de hacking inmediatamente. Sin embargo, la mayoría de las vulnerabilidades críticas se encuentran precisamente en estos fundamentos.

Un analista que comprende:

• cómo funcionan las solicitudes HTTP

• cómo se gestionan las sesiones

• cómo operan las APIs

• cómo interactúan los navegadores con los servidores

puede detectar vulnerabilidades que las herramientas automáticas no encuentran.

La diferencia entre un escaneo superficial y un análisis profesional suele estar en la comprensión profunda de estos mecanismos.

Cuando se entienden estos conceptos, cada solicitud web se convierte en una oportunidad para descubrir debilidades.