Categorías (pwn, web, cripto, forense)

Los CTF de tipo Jeopardy se organizan por categorías, cada una entrenando habilidades distintas. Conocerlas ayuda a elegir retos acordes a tu nivel y a saber qué fichas de esta wiki aplican a cada una.

Las categorías clásicas

Web        vulnerabilidades web (SQLi, XSS, SSRF, lógica...) -> ver área Web
Pwn/binary  explotación de binarios (BOF, ROP, heap...) -> ver pwn-reversing
Reversing  ingeniería inversa de binarios para entender/romper su lógica
Crypto     romper criptografía mal usada -> ver área Criptografía
Forensics  analizar artefactos (PCAP, memoria, discos, ficheros) -> ver DFIR/stego
Misc       de todo (programación, puzzles, OSINT, esoteric)

Web

- las mismas vulns del mundo real: SQLi, XSS, SSRF, SSTI, deserialización, lógica
- a menudo hay que leer el código fuente del reto si se da
- herramientas: Burp (tool-burp), curl, ffuf -> ver todas las fichas del área Web

Pwn (explotación de binarios)

- buffer overflow, format string, ROP, explotación de heap (ver pwn-reversing)
- protecciones: ASLR, NX, canary, PIE, RELRO -> hay que entender cuáles están activas
- herramientas: pwntools, gdb (+pwndbg/GEF), Ghidra, checksec, ROPgadget

Reversing

- entender qué hace un binario: a menudo encontrar una "password"/lógica de validación
- estático (Ghidra/IDA) + dinámico (gdb, depuración); anti-debug/ofuscación
- lenguajes variados: C, Go, Rust, .NET, Python compilado, Android

Crypto

- criptografía MAL usada: ECB, nonce reuse, padding oracle, RSA débil, RNG predecible
- ver TODA el área Criptografía (crypto-*); sage/z3/python para la parte matemática
- CyberChef para transformaciones y decodificación rápida

Forensics

- PCAP (Wireshark, ver dfir-red), memoria (Volatility, dfir-memoria), disco (dfir-disco)
- esteganografía (crypto-stego): binwalk, zsteg, steghide, espectrogramas
- recuperación de ficheros, análisis de logs, metadatos

Blue Team / aprendizaje

Cada categoría mapea a un área de esta wiki: usa las fichas correspondientes como referencia.
Empezar por tu categoría fuerte para ganar puntos, pero ampliar a las demás para crecer.
Las categorías entrenan habilidades transferibles al pentest real (web, AD, análisis).
Forense y cripto en CTF son excelentes para practicar DFIR y crypto de forma lúdica.

Consejos y errores comunes

Juega a tu categoría fuerte para puntuar rápido, pero no te encasilles: los retos de puntos altos suelen cruzar categorías.
Error típico: atacar por fuerza bruta un reto que pide análisis (crypto casi siempre esconde un fallo concreto, no brute force).
Lee las pistas del enunciado y los puntos: bajos = calentamiento, altos = cadena o vuln rebuscada.

Checklist de prueba

Identificar la categoría del reto y las fichas aplicables
Web → área Web + Burp/ffuf
Pwn/reversing → pwn-reversing + pwntools/Ghidra/gdb
Crypto → área Criptografía + CyberChef/sage
Forensics → DFIR + binwalk/volatility/wireshark
Empezar por tu fuerte; ampliar a las demás
Documentar la técnica aprendida (Cómo escribir writeups)