Python

Security

Spanish

alice-and-bob

Qué es un huevo de pascua

Por qué querríamos un huevo de pascua

Conceptos básicos

Métodos nativos de Python

Usando “eval”

Usando “exec”

Usando “compile”

Usando “types”

Usando “codeops”

Usando “subprocess”

Ejecutando un huevo de pascua

Métodos, herramientas y tipos de detección. Análisis estático y dinámico

Ocultando el método “exec”

Nuestro primer huevo de pascua

Alias de funciones y monkey patching 

Usando Python byte codes

Usando cadenas ofuscadas (parte 1)

Usando cadenas ofuscadas (parte 2)

Usando base 64

Usando ROT 13

Haciendo el código indetectable

Herramientas de análisis de código estático para Python

Herramientas de análisis

<h1 id="efd05ca3-5bc1-4976-8bbf-b8e52066d368" data-toc-id="efd05ca3-5bc1-4976-8bbf-b8e52066d368" style="font-size: 32px; font-weight: 600; line-height: 1.2;">Si no sabes cómo ocultar código en Python, cualquiera puede detectar lo que haces.</h1>Este curso te enseña, paso a paso, cómo crear, ejecutar y ocultar código Python que necesitas mantener bajo el radar, ya sea para control post-entrega, gestión de licencias o protección de tu trabajo.<h2 id="be67b34c-f38d-4eaa-8463-dd9562fa5b00" data-toc-id="be67b34c-f38d-4eaa-8463-dd9562fa5b00" style="font-size: 24px; font-weight: 600; line-height: 1.2;">Si trabajas con Python y necesitas mantener el control sobre tu código después de entregarlo.</h2>Hay una diferencia enorme entre escribir código y escribir código invisible. Este curso está hecho para los que quieren estar en el segundo grupo.<h1 id="31cfe590-b32a-4ed5-815c-21dc7e90ffeb" data-toc-id="31cfe590-b32a-4ed5-815c-21dc7e90ffeb" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿De qué va este curso?</h1>De ejecutar código Python de múltiples formas sin levantar sospechas.Ocultar funcionalidad usando técnicas de ofuscación y evasión de análisis estático.Crear payloads que pasen desapercibidos incluso bajo revisión manual.<h1 id="a5fd2d9c-57e7-4ca5-80b7-e5298a6dde5c" data-toc-id="a5fd2d9c-57e7-4ca5-80b7-e5298a6dde5c" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿Quién es el instructor?</h1>El instructor es Daniel García (o cr0hn, como le gusta que le llamen)Trabaja en seguridad y es experto en Python.Ha creado herramientas de hacking que a día de hoy se siguen usando y ha ayudado a reforzar la seguridad de muchas.<h1 id="650ab709-6f93-45bf-8fc3-f97935d48b1a" data-toc-id="650ab709-6f93-45bf-8fc3-f97935d48b1a" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿Qué vas a aprender?</h1>✔️ Entenderás qué son los huevos de Pascua en programación y por qué Python tiene los suyos propios incorporados como <code>import this</code> y <code>import antigravity</code> que revelan filosofía y humor del lenguaje (Capítulo 1, minuto 1:33).✔️ Aprenderás las razones reales por las que necesitarías un huevo de Pascua en producción: gestión de licencias, control post-entrega, o un botón de pánico cuando algo va mal (Capítulo 2, minuto 1:30).✔️ Descubrirás cómo <code>eval()</code> ejecuta código Python desde una cadena de texto, perfecto para payloads simples de una línea que necesitas ejecutar dinámicamente (Capítulo 3, Lección 4, minuto 1:20).✔️ Dominarás <code>exec()</code> para código multilínea, la versión vitaminada de <code>eval()</code> que te permite ejecutar scripts completos desde strings (Capítulo 3, Lección 5, minuto 0:33).✔️ Aprenderás a compilar código Python a bytecode usando <code>compile()</code>, transformándolo en un formato binario que el ojo humano no puede leer pero Python ejecuta perfectamente (Capítulo 3, Lección 6, minuto 2:48).✔️ Descubrirás cómo usar el módulo <code>types</code> para crear funciones al vuelo y empotrar código ya compilado dentro de ellas, una técnica poco documentada pero tremendamente poderosa (Capítulo 3, Lección 7, minuto 0:40).✔️ Conocerás el módulo <code>codeop</code> como alternativa a <code>compile()</code>, dándote más opciones para evadir la detección al variar tus métodos de compilación (Capítulo 3, Lección 8, minuto 1:20).✔️ Aprenderás las diferencias entre <code>os.popen()</code>, <code>subprocess.run()</code> y <code>subprocess.Popen()</code> para ejecutar comandos del sistema operativo desde Python (Capítulo 3, Lección 9, minuto 1:30).✔️ Entenderás los dos métodos de detección: análisis estático (buscar keywords y patrones en el código fuente) vs análisis dinámico (monitorizar el código mientras se ejecuta) (Capítulo 4, Lección 1, minuto 2:30).✔️ Probarás 5 herramientas de análisis estático (pylint-security, Bandit, prospector, Pysa, Semgrep) para entender qué buscan los sistemas de detección y cómo evadirlos (Capítulo 4, Lección 1, minuto 9:00).✔️ Descubrirás cómo ocultar el método <code>exec()</code> usando <code>__import__()</code>, <code>getattr()</code> y <code>__builtins__</code> para que ninguna herramienta lo detecte mediante búsqueda de keywords (Capítulo 5, Lección 1, minuto 4:30).✔️ Crearás tu primer huevo de Pascua funcional: una conexión TCP que envía mensajes a un servidor netcat, todo en una sola línea de Python (Capítulo 5, Lección 2, minuto 3:00).✔️ Aprenderás alias de funciones y monkey patching para interceptar llamadas a funciones del sistema y ejecutar tu código cada vez que alguien use <code>print()</code> u <code>open()</code> (Capítulo 5, Lección 3, minuto 2:00).✔️ Dominarás el uso de bytecode con <code>marshal</code> para serializar código compilado, guardarlo como datos binarios y ejecutarlo después sin rastro del código original (Capítulo 6, Lección 1, minuto 5:30).✔️ Usarás Python-obfuscator para transformar tu código en algo prácticamente ilegible automáticamente, una primera capa de protección rápida y efectiva (Capítulo 6, Lección 2, minuto 1:45).✔️ Aprenderás ofuscación manual combinando <code>getattr()</code>, concatenación de strings y técnicas creativas para que incluso un revisor humano no entienda qué hace tu código (Capítulo 6, Lección 3, minuto 6:00).✔️ Usarás Base64 para encodear tu payload, reduciendo su tamaño y haciéndolo menos legible, fácil de partir en trozos y esconder en diferentes lugares (Capítulo 7, Lección 1, minuto 2:30).✔️ Aplicarás ROT13, el cifrado César de 13 posiciones, como capa adicional de ofuscación que Python puede revertir con una sola llamada al módulo <code>codecs</code> (Capítulo 7, Lección 2, minuto 1:20).<h1 id="c95c1c47-8e27-4e53-be0a-6ad35b279b21" data-toc-id="c95c1c47-8e27-4e53-be0a-6ad35b279b21" style="font-size: 32px; font-weight: 600; line-height: 1.2;">VAS A CREAR UN PAYLOAD OCULTO FUNCIONAL</h1>Crearás un huevo de Pascua que:<ul><li>Se conecta a un servidor remoto vía TCP</li><li>Envía información sin levantar sospechas</li><li>Está ofuscado usando múltiples técnicas combinadas</li><li>Evade análisis estático de las principales herramientas</li><li>Cabe en una sola línea de código ilegible</li></ul><h1 id="afbfa238-6fb0-461f-8228-02a6ad5f42e4" data-toc-id="afbfa238-6fb0-461f-8228-02a6ad5f42e4" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿Incluye algo más?</h1>De casi todo.Casi todo lo que necesitas saber para crear código Python que mantenga funcionalidad oculta.Hablamos de cómo ejecutar código dinámicamente, ocultarlo usando múltiples capas de protección, y:<h2 id="eee11942-9f05-450f-948c-2f6f31211f1a" data-toc-id="eee11942-9f05-450f-948c-2f6f31211f1a" style="font-size: 24px; font-weight: 600; line-height: 1.2;">Evitar los sistemas de detección más comunes.</h2>Y no solo eso. También te llevas las herramientas y los métodos para:<ul><li>Compilar código a bytecode y ejecutarlo sin rastro del original.</li><li>Ofuscar strings y funciones hasta hacerlas irreconocibles.</li><li>Combinar técnicas para crear capas de protección que ninguna herramienta automática puede penetrar.</li></ul>Dedicamos una parte especial a los errores más comunes que delatan un payload oculto. Sí, incluso los desarrolladores experimentados cometen estos fallos.Te vamos a enseñar a evitarlos desde el principio, porque aquí no venimos a que nos detecten a la primera de cambio.<h1 id="ec9a442e-c211-4a67-bd30-50abe305d549" data-toc-id="ec9a442e-c211-4a67-bd30-50abe305d549" style="font-size: 32px; font-weight: 600; line-height: 1.2;">Preguntas frecuentes (FAQ)</h1><h2 id="8afdea72-8f3b-40ce-a681-b4b5694f0f92" data-toc-id="8afdea72-8f3b-40ce-a681-b4b5694f0f92" style="font-size: 24px; font-weight: 600; line-height: 1.2;">¿Necesito saber Python?</h2>Sí, nivel intermedio mínimo.El curso se centra en técnicas avanzadas de ejecución y ocultación. Debes estar cómodo con Python básico (funciones, imports, manejo de strings).<h2 id="616e3e95-7825-44a0-8f42-896252fafc64" data-toc-id="616e3e95-7825-44a0-8f42-896252fafc64" style="font-size: 24px; font-weight: 600; line-height: 1.2;">¿Qué tipo de práctica se hace?</h2>Todo el contenido es práctico. Ejecutarás código dinámicamente, compilarás a bytecode, ofuscarás payloads y crearás tu propio huevo de Pascua funcional.<h2 id="c6aa66cd-768b-4dc4-a2cc-9a68a5104553" data-toc-id="c6aa66cd-768b-4dc4-a2cc-9a68a5104553" style="font-size: 24px; font-weight: 600; line-height: 1.2;">¿Es legal lo que enseñas?</h2>Este conocimiento es para proteger tu propio código, gestionar licencias de software que desarrollas, o entender cómo funcionan las técnicas de ocultación.Usar estas técnicas para fines maliciosos es tu responsabilidad, no la del curso.<h2 id="24df04bc-b8b1-4e51-aef3-6ca32e200f58" data-toc-id="24df04bc-b8b1-4e51-aef3-6ca32e200f58" style="font-size: 24px; font-weight: 600; line-height: 1.2;">¿Funciona en cualquier sistema operativo?</h2>Sí.Todo el código es Python puro y funciona en Linux, macOS y Windows. Algunas lecciones usan netcat, que está disponible en los tres sistemas.

De ejecutar código Python de múltiples formas sin levantar sospechas.

Ocultar funcionalidad usando técnicas de ofuscación y evasión de análisis estático.

Crear payloads que pasen desapercibidos incluso bajo revisión manual.

Course content

Técnicas de ofuscación y evasión de análisis con Python

Dani Garcia

This course includes