Recomendaciones de libros de pentesting en Perplexity (y de la mejor editorial para aprender pentesting en ChatGPT con GPT5)

El otro día un compañero, amigo, y mejor persona, me dijo que le había preguntado a Perplexity por recomendaciones de libros de pentesting e Español y que habían salido casi todos los de la editorial 0xWord, algo que nos hizo mucha ilusión. Por cierto, la imagen la he hecho con Perplexity también y me ha encantado el Pentesting con Rali.

Figura 1: Recomendaciones de libros de pentesting en Perplexity

(y de la mejor editorial para aprender pentesting en ChatGPT con GPT5)

Como sabéis, 0xWord la fundamos como tal en el año 2013, una de esas locuras que me dan a mí por hacer de emprendimiento, al igual que Singularity Hackers, MyPublicInbox, cuidar de Cálico Electrónico, o muchos side-projects en los que voy invirtiendo tiempo. 

Figura 2: Recomendaciones de libros en español sobre pentesting

Nació como un proyecto que cuidara mucho lo que publicara y en pequeñas dosis, y hoy en día supera los 100 títulos publicados - lo que es nada comparado con una editorial más grande que puede tener diez veces más catálogo -.

Figura 3: Libros de 0xWord

Lo cierto es que este proyecto está lejos de morirse, y estoy pensando en darle un nuevo empujón, para canalizar todo el conocimiento que vamos aprendiendo todos los días, además de para poder duplicar en breve el número de títulos. Pero para eso, tenemos que hacer antes otra cosa. 

Figura 4: Recomiéndame el mejor libro de Pentesting

con Inteligencia Artificial en Español

Por ahora estamos contentos con la aceptación que está teniendo el último libro de Hacking & Pentesting con Inteligencia Artificial, que no solo está teniendo mucha demanda por parte del público, sino que además para Perplexity también es una buena referencia a recomendar.

Figura 5: Hacking & Pentesting con Inteligencia Artificial.

En 0xWord, escrito por Pablo González, Fran Ramírez,

Rafael Troncoso, Javier del Pino y Chema Alonso, 

Os dejo este post con este detalle porque aún estamos comenzando a entender bien cómo funciona el "SEO en GenAI Search Engines", y ni tan siquiera tenemos un fichero LLMs.txt aún en 0xWord.com,  - que tendremos que hacerlo -, por lo que nos hizo especial ilusión ver nuestros libros en las recomendaciones de Perplexity.

Bonus Track con ChagGPT & GPT5

Para terminar de probar, he querido preguntarle a ChatGPT con GPT5 si el trabajo que llevamos haciendo años ha calado, y la realidad es que sí, que en Español, es considera nuestra 0xWord.com como la mejor editorial de libros de pentesting en Español.

Figura 6: ChatGPT te recomienda 0xWord.com por encima de

grandes editoriales como Ra-MA o Anaya Multimedia

Y eso os garantizo que nos hace feliz, porque son muchos años invertidos trabajando en este proyecto, que las cosas llevan años para conseguir que se hagan realidad.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

GenAI Search Engine Optimization (GenAI SEO) con LLMs TXT

Desde hace muchos años configuramos en las páginas webs el famoso archivo ROBOTs.txt, que le dice a los buscadores qué queremos que se rastree y qué no queremos que se rastree. Y a los hackers qué cosas hay por ahí escondidas en esa web. Esto se extendió a una versión más detallada donde se le da información a los buscadores sobre todas las URLs del sitio que deben ser rastreadas y analizadas correctamente, y apareció el fichero sitemap.xml, que hoy se usa de manera masiva en casi todas las webs que quieren tener presencia en los buscadores. Si quieres saber más sobre indexación, he hablado mucho durante años, que hasta Gmail tuvo problemas con esto, pero el post de hoy va de otro fichero que nada tiene que ver con esto.

Figura 1: GenAI Search Engine Optimization

(GenAI SEO) con LLMs TXT

Por el camino, ha habido otros ficheros TXT bastante curiosos, como el de HUMANS.txt que se propuso hace tiempo, y el que yo propuse para que los hackers supieran cómo iban a ser tratados cuando se buscaban o reportaban un bug, mi querido HACKERS.TXT. Esta misma idea luego se convirtió en una propuesta de formato estandarizado en el IETF llamada SECURITY.TXT. Pues con esa misma idea, pero pensando en hacer fácil la indexación de contenido para los LLMs, surgió LLMs.TXT, 

Figura 2: Libro de "Hacking con Buscadores: Google, Bing & Shodan + Robtex"

de Enrique Rando, publicado en 0xWord.

El formato es muy sencillo, y está definido por niveles. Se especifican las secciones de la web con una estructura por niveles, marcada por # o ##, se añaden descripciones, y luego se especifican las diferentes URLs de navegación de contenido, con una descripción opcional en ellas.

Figura 3: Definición de LLMs.txt

Lo que sí que es valioso para enriquecer el entendimiento de los enlaces, es especificar para cada uno de ellos la descripción en un formato sencillo como

#Datos de la web donde está el fichero LLMs.txt

> Resumen de la sección completa.

- Información sobre cosas que se pueden encontrar en esta sección

- Detalles de lo que hay en esta sección.

- Descripción de cosas importantes a saber.

## Sección 1 de la web

- [Título de la pagina a visitar] (URL de la pagina): Descripción de lo que hay allí.

- [Título de la pagina a visitar] (URL de la pagina): Descripción de lo que hay allí.

- [Título de la pagina a visitar] (URL de la pagina): Descripción de lo que hay allí.

- [Título de la pagina a visitar] (URL de la pagina): Descripción de lo que hay allí.

- [Título de la pagina a visitar] (URL de la pagina): Descripción de lo que hay allí.

Con una estructura similar a esa, puedes crear el fichero LLMs.TXT que ahora de forma automática te lo crean muchos gestores de páginas web, pero si aún no lo tienes en tu web y quieres tener un posicionamiento en los GenAI Search Engines, es importante que lo hagas correctamente.

Figura 4: Fichero LLMs.txt del portal de developers de CloudFlare

Si miramos los datos, el coste de un Refer por número de Crawls es altísimo, y es un dato que si quieres optimizar para reducir costes de tu infraestructura, cualquier mejora que hagas con el fichero LLMs.TXT te vendrá bien.

Figura 5 : Número de Crawls para conseguir

un HTTP-Referer de un GenAI Search

Al final, hay que tener en cuenta que para conseguirse un solo HTTP-Referer de los resultados de un GenAI Search Engine se tiene que dar un montón de pasos. Primero hay que tener en cuenta que el GenAI Search Engine puede tener la respuesta sin necesidad de buscar. Y después, si decide que hay que buscar en la web por el tipo de Prompt el flujo es muy largo, como se ve en la imagen siguiente.

Figura 6: Proceso para conseguir un HTTP-Referer

desde un GenAI Search Engine

Si quieres jugar con esto, tienes muchas herramientas ya disponibles en la web de LLMs.txt, que puedes utilizar en tus proyectos, pero si usas plataformas CMS para gestionar tus páginas web, seguro que tienen allí también estas acciones. 

Figura 7: Herramientas para hacer LLMs.txt a sites.

Lo que es importante es entender cómo funciona, para que sirve, y que los flujos de AI-Crawl to Human-Web/Mobile Content sea el que tú has definido, y que controles el flujo de cómo funciona tu contenido en los GenAI Search Engines. Esto aún va a dar muchas más vueltas, seguro...

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cómo se creó CodeName: "News Bender Project" con GenAI

En la presentación de RootedCON 2024 de este año presentamos News Bender Daily, un blog basado en la generación automática de contenido en medios digitales utilizando GenAI. La idea es tan sencilla que, gracias a la potencia de los LLM se puede re-escribir noticias de otros medios para tener siempre contenido fresco, además de hacerlo con el tono y el tinte que se quiera. 

Figura 1: Cómo se creó CodeName: "News Bender Project" con GenAI

Esto es un arma maravillosa para el SEO, para el BlackSEO, para la distribución de Malware, para las FakeNews, o para la desinformación interesada. Hoy os voy a contar cómo lo hicimos, que no tiene mucho misterio una vez que entiendes cómo funciona.

Figura 2: News Bender Daily

El objetivo era ver cómo se podría crear un medio digital re-escribiendo noticias de otros para luego orientarlo a lo que se quisiera. Así que elegimos el tema de la tecnología, y seleccionamos una serie de blog a los que utilizar como fuentes de noticias, como The Hacker News, TechCrunch, Wired y The Verge. De todos ellos bebemos los RSS de noticias.

Figura 3: Carga de fuentes RSS para re-escribir las noticias

Después, el funcionamiento es bastante simple, se seleccionan las noticas a re-escribir - que es lo que hacen muchos escritores de medios digitales -, y se asignan a un escritor de nuestra plataforma, que no es nada más que una configuración de un agente GenAI.

Figura 4: Asignación de noticias a escritores GenAI

Estos agentes escritores/redactores de noticias, están definidos por una persona que no existe creada por una StyleGAN, y una forma de escribir que se utiliza para darle el tono a la re-escritura de la noticia que se busca.

Figura 5: Los escritores son agentes de GenAI caracterizados

Estos escritores, dados una vuelta, son los que utilizamos para convertir este proyecto en un medio de difusión de ideologías políticas, como vimos en el programa de televisión con Iker Jiménez y Carmen Porter donde creamos a nuestros "periodistas GenAI de desinformación política".

Figura 6: Creando a nuestro escritor

Para hacer la re-escritura de noticias, lo único que se hace es usar la potencia de los LLM multimodales, que va desde crear el título, elegir la categoría, diseñar la imagen, hasta poner los enlaces en las noticias que se buscan.

Figura 7: Agentes de GenAI re-escribiendo las noticias

Para ello, todo lo que tenemos que hacer, es pedirle al modelo LLM que nos haga las cosas y luego unirlas todas para publicar la noticia. 

Figura 8: Le pedimos que nos haga el prompt para

hacer la imagen de un párrafo de texto

Primero, le pedimos que nos haga el Prompt para Dall-E de la imagen que vamos a usar como cabecera de la noticia. Como veis, le metemos el Prompt en lenguaje natural. Para darle un toque, definicmos una serie de estilos para las imágenes, que nos de variedad y uniformidad al mismo tiempo.

Figura 9: Estilos para nuestras imágenes

Ahora vamos a empezar con el trabajo de escribir. Primero elegimos el título que le vamos a dar a esta noticia, así que hay que configurar el agente escritor con algo como esto que tenéis aquí. Como podéis ver, le pasamos el título orinal de la noticia.

Figura 10: Prompt para el título de la noticia

Ahora que nos re-escriba el texto de la noticia, siguiendo el estilo del agente que hemos seleccionado en el interfaz para escribir la noticia. Cuando lo escribimos automáticamente esto es una función de selección de autor que puede ser aleatoria, secuencial o por temática. Como tú quieras.

Figura 11: Aquí le pedimos que nos re-escriba la noticia

(y que no salga el sitio original)

Le toca el turno a que le pidamos que esta noticia nos la re-escriba SEO-Friendly para tener mucho más impacto con nuestro medio digital. Aquí tenéis el prompt utilizado.

Figura 12: El Prompt para hacer la noticia SEO-Friendly

Como podéis ver, en la Figura 11 le hemos pasado el estilo que queremos que use para la re-escritura de la noticia. Esto es lo que se captura de la definición del agente, y que puede ser algo como esto que veis a continuación.

Figura 13: Definición de un estilo de escritura

Ahora vamos a decirle que nos ponga los enlaces en la noticia que nosotros hayamos seleccionado, o que nos interese. Esto, en una distribución de malware, o de BlackSEO, os podéis imaginar que es lo más importante.

Figura 14: Colocación de enlaces en la noticia

Y lo mismo para la elección de las negritas del texto de la noticia. Un pequeño prompt para hacer trabajar a GPT4 en el resaltado de los temas importantes de la noticia.

Figura 15: Elección de las negritas del texto

El resultado que se obtiene tras estos dos últimos procesados es el que se ve a continuación, donde tenemos enlaces y negritas dentro del mismo texto de la noticia. Siempre trabajando en formato JSON para luego poder publicarla directamente en el servidor de noticias.

Figura 16: Resultado de poner enlaces y negritas

Para terminar, vamos a elegir las categorías de las noticias, que esto tenemos que publicarlo en un WordPress, y necesitamos que estén todos los datos completos.

Figura 17: Elección de la categoría deda una lista de categorías del blog

Y listo. Una vez acabado esto, la notica está completa, se publica en el blog, tal y como podéis ver en la imagen siguiente.

Figura 18: Así nos quedaría una noticia

Después, todas las noticias se viralizan por las redes sociales para conseguir el máximo de alcance de cada una de ellas. Para ello, primero la publicamos en X (Twitter) automáticamente.

Figura 19: Sacando la noticia en Twitter (X)

Después, usamos por ejemplo el servicio de Tempos x Tweets de MyPublicInbox para conseguir que llegue mucho más lejos en esta red social.

Figura 2o: Tempos por Posts / Tweets en MyPublicInbox.

Como veis, yo saco mis posts de El lado del mal por aquí.

Y dejamos que Internet haga su magia y la noticia acabe referencia y enlazada en el máximo número de sitios posibles para conseguir relevancia con este medio digital.

Figura 21: La noticia de Newsbenderdaily referenciada

Al final, con este ejemplo vemos lo fácil que es crearse un medio digital para manipular la información, conseguir relevancia o hacer cosas malas con los visitantes. Además, creemos que esto pone de manifiesto el valor del buen periodismo y no de copiar noticias de otros, lo que lleva a que esos periodistas puedan ser reemplazados por un "GenAI Script muy pequeñito".

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Una charla entre Lucia Rico y Chema Alonso en Lucia y el SEO Talks

Pues para acabar el mes de Abril, y teniendo en cuenta que seguro que la mayoría estaréis descansado, de puente, de vacaciones, de relajación mental y física, os dejo hoy una entrevista en el podcast de Lucia y el SEO que dirige Lucia Rico y al que me invitó hace ya unas semanas.

Figura 1: Una charla entre Lucia Rico y Chema Alonso en Lucia y el SEO Talks

Es una charla de 45 minutos, en los que hablamos de tecnología en general, de ciberseguridad y de inteligencia artificial. Nada nuevo bajo el sol, teniendo en cuenta que es lo que hago yo habitualmente, así que todo dentro de los parámetros habituales.

Figura 2: Contactar con Lucia Rico a.k.a. Lucia y el SEO

Si queréis contactar con Lucia Rico, o visitar su programa, ella tiene su perfil en MyPublicInbox. Podéis ver todas las entrevistas que realiza en su canal de Youtube, donde ha entrevistado a Pablo BloweArts, dibujante de Las Tiras de Cálico, o a muchos otros grandes profesionales de este mundo nuestro.

Figura 3: Una charla entre Lucia Rico y Chema Alonso en Lucia y el SEO Talks

Os dejo subido el vídeo a mi canal de Youtube, pero con la esperanza de que lo veáis - o lo escuchéis - cuando podáis. Lucia Rico sube el programa en formato podcast, y lo tenéis en todas plataformas, así que por ejemplo, lo tenéis en Spotify.

Figura 4: Lucia y el SEO entrevista a Chema Alonso en Spotify

Y nada más, que es domingo, fin del mes de Abril, y puente, a disfrutar el día que es lo que hay que hacer hoy. Yo tengo lo mío con Mi Hacker v2.0 & Mi Survivor, así que os deseo mucha felicidad, relax y descanso. Y recordad: No hacer nada y estar feliz también es una buena alternativa.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Un par de citas ONLINE para la semana que viene con Lucia Rico & José Luis Garci

La semana que viene solo tengo un par de eventos que además puedes seguir ONLINE, y hoy os los traigo como recordatorio por si eres como yo que aprovecha el fin de semana para prepararse la agenda semanal, que es una buena costumbre que me permite aprovechar al máximo cada semana. Y para esta semana tengo dos citas confirmadas hace tiempo, que os dejo por aquí.

Figura 1: Un par de citas ONLINE para la semana que viene

con Lucia Rico  & José Luis Garci

La primera de ellas es este mismo Lunes 10 de Abril, que le prometí a Lucia Rico pasarme por su espacio en Lucia y el SEO para pasar un rato con ella hablando de tecnología en general, y de Inteligencia Artificial en particular. Y así será.

Figura 2: Contactar con Lucia Rico a.k.a. Lucia y el SEO

La sesión será a las 17:00 horas, y la puedes seguir en directo por Youtube, en el enlace que tienes a continuación, así que, como os decía en el título, la puedes seguir ONLINE desde donde estés.

Figura 3: Lucia y el SEO con Chema Alonso

Además, si quieres, contactar con Lucia Rico puedes hacerlo a través de su buzón público de MyPublicInbox que además dona todos sus Tempos a la organización Power To Code.

11 de Abril: 40 años del Oscar de Garci

La segunda de las citas es para este martes 11 de Abril, donde como ya os anuncié, tenemos un pequeño acto para recordar los 40 años exactos desde el día que le entregaron el Primer Oscar de la historia a una película en Lengua Española al grandísimo José Luis Garci.

Figura 4: Contactar con José Luis Garci

Sus Cowboys de Medianoche, el grandísimo Arturo Pérez-Reverte, y un servidor, le hemos preparado una pequeña reunión para recordar lo buen tipo que tipo que es, lo que sabe de fútbol, de boxeo, de radio, de escribir libros... y sí, también de cine. Que estamos allí para hablar de una gran persona.

Figura 5: Sigue en directo el homenaje a José Luis Garci

La sesión también la puedes seguir ONLINE a través del Canal Youtube de la Fundación Telefónica, que os dejo aquí mismo, así que basta con que te conectes el día a la hora (que son las 12:00 de la mañana), y lo sigas en directo.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Google Search Perfect Phishing con ReturnURL además de BlackSEO

Configurar un parámetro como ReturnURL en un proceso de autenticación es bastante común. La lógica detrás del programador de algunas de estas aplicaciones es sencilla. El usuario pide una URL que está protegida por una sesión autenticada, pero el usuario que ha demandado esa URL no lo está, así se hace un redirect a la página de Login con un parámetro ReturnURL que es la URL a la que debe navegar la web después de que termine el proceso de Login. Muy sencillo, pero si se hace mal, un posibile problema de seguridad.

Figura 1: Google Search Perfect Phishing con ReturnURL además de BlackSEO

Y es que si cualquier atacante puede manipular el valor de ReturnURL para poner la URL que quiera, y el código que procesa el valor de ReturnURL después de que se haya autenticado hace la redirección sin comprobar la seguridad del mismo, entonces se puede tener Perfect Phishing. Es decir, un enlace a la URL del sitio legítimo que cuando el usuario la visite y se autentique, llevará a una URL maliciosa para hacer lo que quiera. 

Figura 2: Sitios con ReturnUrl y protocolo http/s en el GET indexados en Google

Podrá lanzar un exploit, intentar instalar malware, o simplemente ir a una URL de Phishing de este sitio solicitando otra vez la contraseña pero esta vez con un dominio alojado en un sitio de typosquatting, tan común para engañar a víctimas.

Figura 3: Cross-Site Scripting Google Persistentes

Si además, esta URL maliciosa, con el parámetro ReturnURL malicioso se puede indexar en Google con técnicas de SEO, dando de alta la URL en el buscador con técnicas de BlackSEO, pues tendrás una URL maliciosa de Perfect Phishing, indexada en Google para el dominio legítimo, con lo que será un Google Search Perfect Phishing, igual que cuando hablaba de los Cross-Site Scripting Google Persistentes.

Figura 4: Sitio web explotado con BlackSEO por ReturnURL

Esto, los veteranos del desarrollo seguro lo tienen bastante controlado, sobre todo en aquellos sitios en los que el parámetro ReturnURL se usa para marcar URLs de redirección cuando hay situaciones de error, inesperadas, o simplemente para hacer un servicio de "volver atrás", pero sorprende la cantidad de sitios que aún tiene este problema de seguridad.

Figura 5: Libro de "Hacking Web Technologies Silver Edition"

de Enrique Rando, Pablo González, Amador Aparicio,

Ricardo Martín y Chema Alonso

Jugando con esto, que son temas de los que hablamos en el libro de Hacking Web Technologies 3ª Edición, es fácil encontrar en Google muchos sitios que hacen uso de parámetros de ReturnURL, y buscando con términos utilizados habitualmente en el mundo del BlackSEO aquellos que ya están explotados e indexados, como este caso de este dominio.

Figura 6: ReturnURL vulnerable explotado

Basta con darse cuenta en la URL como se ha aprovechado un mal procesamiento de este parámetro por parte del programador, así que añadiendo un dominio sin protocolo (http/s) se hace una redirección perfecta. Teniendo en cuenta que no tiene protección contra indexación usando los parámetros de indexación adecuados, quedan en Google perfectamente indexados.

Figura 7: El dominio redirige con BlackSEO a diferentes URLs... de todo tipo

Así que, si alguien quiere hacer una web de phishing de un dominio como el anterior, y la indexa, tendrá un Google Perfect Phishing para éste, o cualquier otro dominio que tenga un ReturnURL vulnerable, y un dominio indexable por BlackSEO. Al final, cualquier debilidad sumada a cualquier vulnerabilidad, facilita esquemas de ataques que automatizados pueden hacer daño a tu organización.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)