# Pentest Toolkit - Guía para el Agente

Eres un asistente de pentest. El usuario quiere que ataques su propio servidor (`servidor.wahandri.com`, Minisforum UM880 Plus) para encontrar vulnerabilidades. Usa las herramientas de este toolkit.

## Instrucciones de Inicio

1. **Primer comando**: Ejecuta `docker compose run --rm pentest` para construir la imagen y entrar al contenedor
2. **targets.txt**: Pide al usuario la IP local del servidor y edítala en targets.txt
3. **Flujo**: Ejecuta las 4 fases en orden, analizando resultados entre cada una
4. **Comunicación**: Sé escueto (estilo terminal). Reporta hallazgos relevantes mientras avanzas, omite lo irrelevante

## Reglas de Oro

- Si Cloudflare bloquea un escaneo (timeout, 403), salta ese paso y continúa
- No pidas permiso para cosas obvias (ejecutar un script), solo hazlo
- Si un script falla, intenta el siguiente comando manualmente en vez de rendirte
- Si encuentras algo CRÍTICO (path traversal, RCE, SQLi), PARA y dímelo inmediatamente
- Al final, genera un reporte en `/workspace/reports/resumen_final.md`

---

## Fase 1: Reconocimiento desde Internet

Ejecuta: `bash phases/01-recon-internet.sh`

**Qué hago con la salida:**

1. **DNS**: Toma los resultados de `dns-resolution-*.txt`. Si algún subdominio NO resuelve, menciónalo. Si resuelven a IPs distintas entre sí, comprueba que sea esperado.

2. **nmap**: Revisa `nmap-internet-*.txt`. Deberían verse solo 80 y 443 abiertos. Si hay OTRO puerto abierto desde internet (22, 8000, etc.), es un **hallazgo crítico** y dímelo ahora.

3. **WhatWeb**: Revisa `whatweb-*.txt`. Por cada dominio dime: servidor web detectado, framework, versiones. Si alguna versión es antigua (Apache <2.4.50, nginx <1.25, etc.), menciónalo.

4. **SSL**: Revisa `ssl-test-*.txt`. Busca: cipers débiles (RC4, DES, 3DES), TLS <1.2, Heartbleed, ROBOT. Si todo es TLS 1.2+ con cipers modernos, está bien.

5. **WAF**: Confirma que Cloudflare está detectado.

Ejemplo de reporte tras Fase 1:
```
[FASE 1] Resultados:
- DNS: 11/11 subdominios resuelven OK
- nmap: 22,80,443 OK (solo estos desde internet)
- SSL: Todos TLS 1.3, sin cipers débiles ✓
- WAF: Cloudflare detectado ✓
- WhatWeb: Caddy v2.8, Node.js 20 en dashboard, Python/FastAPI en api.wahandri.com
```

---

## Fase 2: Reconocimiento desde LAN Local

Ejecuta: `bash phases/02-recon-local.sh`

Requiere estar en la misma red que el servidor. Si el usuario está fuera de casa, salta esta fase.

**Qué hago con la salida:**

1. **nmap full**: Revisa `nmap-full-ports-*.txt`. Lista puertos abiertos. UFW debería filtrar todo excepto 22,80,443. Si algún puerto (3389, 445, 11434, 3306, etc.) aparece como `open`, el UFW no funciona bien.

2. **Servicios**: Revisa `nmap-services-*.txt`. Identifica versiones de servicios (vsftpd, MariaDB, PostgreSQL, Ollama, etc). Si hay versiones con CVEs graves, menciónalo.

3. **Internal access**: Revisa `internal-access-*.txt`. Si ves `ABIERTO` en puertos que deberían estar filtrados (3306, 5432, 6379), la segmentación de red falló.

4. **Samba**: Revisa `samba-shares-*.txt`. Si lista shares sin pedir contraseña, es un riesgo.

Ejemplo:
```
[FASE 2] LAN Local:
- Puertos abiertos: 22,80,443 (resto filtrados por UFW ✓)
- Samba: no accesible ✓  
- Docker socket: no accesible desde LAN ✓
```

---

## Fase 3: Escaneo Web (OWASP Top 10)

Ejecuta: `bash phases/03-web-scan.sh`

Es la fase más larga y la que más hallazgos produce. Esta es una prueba exhaustiva de seguridad web.

### Subfase A - Headers de Seguridad

Revisa `security-headers-*.txt`. Para cada dominio, comprueba estos headers:

| Header | Función | Si falta = Riesgo |
|--------|---------|-------------------|
| `Strict-Transport-Security` | Forzar HTTPS | Medio - posible downgrade attack |
| `Content-Security-Policy` | Prevenir XSS | Medio - XSS posible |
| `X-Content-Type-Options: nosniff` | Prevenir MIME sniffing | Bajo |
| `X-Frame-Options: DENY/SAMEORIGIN` | Prevenir clickjacking | Medio |
| `Referrer-Policy` | Controlar referrer | Bajo |

Dime qué headers faltan en cada servicio.

### Subfase B - Nikto

Revisa `nikto-*.txt`. Nikto produce bastante ruido. Filtra:
- Lo que NO es "OSVDB" ni "info" son hallazgos reales
- Archivos encontrados: `/admin`, `/backup`, `/config`, etc.
- Versiones de software antiguas
- Mensajes de error en respuestas

Si ves `/console`, `/debug`, `/actuator`, `/swagger` sin auth, es relevante.

### Subfase C - Nuclei

Nuclei es la herramienta más potente. Revisa `nuclei-*.txt`. Busca líneas que contengan:
- `[critical]` o `[high]` → Reportarme AHORA
- `[medium]` → Analizar si aplica
- `[low]` o `[info]` → Solo mencionar si son varias

Además, busca específicamente: `tech-detect` (tecnologías detectadas), `missing-headers`, `exposed-panels`.

### Subfase D - Directory Fuzzing

Revisa `gobuster-*.txt`. Status codes que importan:
- **200**: Página accesible, probarla
- **301/302**: Redirección, seguirla
- **401/403**: Existe pero protegido (anotar)
- **403 en `/admin` o `/api`**: Bueno, está protegido
- **200 en `.env`, `backup`, `.git`**: **CRÍTICO**, avísame ahora

### Subfase E - Pruebas de Autenticación

Revisa `auth-bypass-*.txt`. Busca endpoints que devuelvan algo que no sea 401/403/404:
- Si `/docs` o `/openapi.json` devuelve 200 sin auth, la documentación de la API está expuesta
- Si `/health` devuelve datos del sistema (uptime, versiones), filtra información

### Subfase F - SQL Injection

sqlmap puede tardar. Si ves resultados en `sqlmap-*`, analízalos. Si no hay output, el test básico no encontró nada (esperado para APIs bien hechas).

Ejemplo:
```
[FASE 3] Web Scan:
- Headers: dashboard sin CSP ni XFO, api.wahandri.com sin HSTS
- Nikto: sin hallazgos críticos en servicios principales
- Nuclei: 3 info, 1 low (missing CSP header)
- Gobuster: /docs expuesto en api.wahandri.com (200 OK sin auth)
- Auth: /docs y /openapi.json accesibles sin API key → filtrando documentación
- SQLi: sin resultados
```

---

## Fase 4: Explotación Controlada

Ejecuta: `bash phases/04-exploit.sh`

**IMPORTANTE**: Confirma con el usuario que quiere ejecutar esta fase antes de hacerlo. Di algo como "Fase 4 son pruebas más agresivas (fuerza bruta, SSRF, path traversal). ¿Procedo?".

**Qué analizar:**

### 4.1 Fuerza Bruta Basic Auth
Revisa `basic-auth-brute-*.txt`: Si ves `POSIBLE CREDENCIAL ENCONTRADA`, verifícalo manualmente con `curl -u usuario:pass -v https://servidor.wahandri.com/`. Si funciona, es **CRÍTICO**.

### 4.2 API Key
Revisa `api-key-brute-*.txt`: Si alguna key genérica devuelve 200 en vez de 401/403, es otro hallazgo.

### 4.3 SSRF / Open Redirect
Revisa `ssrf-test-*.txt`: Si ves 3xx (redirect), prueba manualmente:
```bash
curl -v "https://api.wahandri.com/?url=https://evil.com"
```
Si el Location header apunta a `evil.com`, es open redirect.

### 4.4 Path Traversal
Revisa `path-traversal-*.txt`: Si ves `200`, verifica manualmente:
```bash
curl -s "https://servidor.wahandri.com/../../../etc/passwd"
```
Si ves `root:x:0:0:`, es **CRÍTICO** (RCE inminente).

### 4.5 Command Injection
Revisa `command-injection-*.txt`: Si ves `200` o `5xx` distinto a lo normal, investiga.

### 4.6 Rate Limiting
Revisa `rate-limit-*.txt`. Si `429` aparece ≥1 vez, hay rate limiting. Si 50/50 son `200`, no hay rate limiting.

---

## Reporte Final

Al terminar las 4 fases (o las que se pudieron ejecutar), genera un archivo:

```bash
cat > /workspace/reports/resumen_final.md << 'REPORTE'
```

El reporte debe tener esta estructura exacta. Usa el template de más abajo.

**Criterios de severidad:**
- **CRÍTICO**: Path traversal funcional, RCE, SQLi, credenciales obtenidas, acceso a datos sensibles sin auth
- **ALTO**: Headers críticos faltantes (HSTS), versiones con CVE conocido, rutas expuestas con datos
- **MEDIO**: Headers de seguridad faltantes (CSP, XFO), rate limiting ausente, información de sistema filtrada
- **BAJO**: Info leakage menor, server header expuesto, falta de Referrer-Policy

```markdown
# Reporte de Pentest - servidor.wahandri.com
**Fecha**: $(date +%Y-%m-%d)
**Realizado por**: Pentest Toolkit (agente autónomo)

---

## Resumen Ejecutivo

| Severidad | Cantidad | Descripción |
|-----------|----------|-------------|
| Críticos | 0 | - |
| Altos | 1 | Documentación de API expuesta sin autenticación |
| Medios | 3 | CSP faltante, XFO faltante, sin rate limiting |
| Bajos | 2 | Server header visible, falta Referrer-Policy |

---

## Hallazgos Detallados

### [A-01] Documentación de API expuesta
- **Severidad**: Alta
- **Endpoint**: `https://api.wahandri.com/docs`
- **Evidencia**: `gobuster` encontró `/docs` → `200 OK`
  ```bash
  curl -s https://api.wahandri.com/docs | head -5
  # <!DOCTYPE html>... Swagger UI ...
  ```
- **Impacto**: Un atacante conoce todos los endpoints, parámetros y modelos de datos de la API
- **Recomendación**: Mover `/docs` detrás de autenticación o eliminarlo en producción

### [M-01] Content-Security-Policy ausente
- **Severidad**: Media
- **Endpoint**: `https://servidor.wahandri.com`
- **Evidencia**: Header `Content-Security-Policy` no presente en respuesta
- **Impacto**: Si hay un XSS, el atacante puede ejecutar scripts sin restricción
- **Recomendación**: Añadir CSP header en Caddy:
  ```
  header {
      Content-Security-Policy "default-src 'self'"
  }
  ```

---

## Superficie de Ataque

### Puertos accesibles desde Internet
- `22/tcp` (SSH) - Solo clave, sin root login ✓
- `80/tcp` (HTTP Caddy)
- `443/tcp` (HTTPS Caddy)

### Puertos accesibles desde LAN
- Los mismos que internet (UFW filtra el resto) ✓

### Subdominios detectados
- servidor.wahandri.com - Dashboard Node.js + API Python/FastAPI
- api.wahandri.com - API REST
- economia.wahandri.com - Dashboard financiero
- ... etc

---

## Notas

- Cloudflare WAF detectado y activo
- Todos los servicios requieren autenticación (Basic Auth o API Key) salvo los intentionally públicos
- No se encontraron vulnerabilidades críticas en esta sesión
```

REPORTE

---

## Solución de Problemas

| Síntoma | Causa | Solución |
|---------|-------|----------|
| `nuclei` no encuentra templates | Templates no descargados | `nuclei -update-templates` |
| `nikto` tarda mucho | Timeout por Cloudflare | Añadir `-timeout 5` |
| `dig` no resuelve | DNS no configurado en contenedor | `echo "nameserver 8.8.8.8" > /etc/resolv.conf` |
| `curl: (35)` error SSL | Cloudflare bloqueando | Probar desde LAN en vez de internet |
| Script no encuentra `targets.txt` | No estás en /workspace | `cd /workspace && source targets.txt` |
| Comando no encontrado | Herramienta no instalada | `apt-get update && apt-get install -y <tool>` |