Pruebas de concepto

Una prueba de concepto, o PoC, demuestra que una condición puede producir un efecto. En un pentest no tiene por qué ser un script ni una fase aislada. La evidencia se recoge durante toda la evaluación y se consolida cuando ya puede explicarse el hallazgo de principio a fin.

Qué debe demostrar

Una PoC útil conecta:

1. estado inicial y prerrequisitos
2. entrada o condición controlada
3. pasos mínimos para provocar el comportamiento
4. resultado observable
5. impacto que ese resultado permite sostener
6. causa o control que debe corregirse

Si falta el estado inicial, el cliente no puede reproducir. Si falta la causa, puede bloquear una variante concreta y dejar intacta la vulnerabilidad.

Elegir el formato

Formato	Cuándo resulta útil
Petición y respuesta	Fallos de aplicación, API o protocolo con una interacción breve
Comando y salida	Configuraciones o permisos que se observan desde un sistema
Capturas anotadas	Evidencia visual donde la secuencia y el contexto ya están explicados
Cadena de ataque	Varios hallazgos que juntos permiten alcanzar un objetivo
Script mínimo	Repetición compleja que puede automatizarse sin ocultar el mecanismo

Un script no es automáticamente mejor. Puede introducir dependencias, realizar acciones innecesarias o animar a comprobar solo si su firma deja de funcionar.

Demostración segura

La PoC conserva el principio de evidencia mínima. Ejecutar una calculadora puede demostrar ejecución de código en un entorno gráfico, pero no siempre es la señal más clara. Un archivo temporal con identificador, una respuesta controlada o un comando inocuo pueden ofrecer mejor trazabilidad.

No incluyas payloads destructivos, secretos reales ni datos personales cuando un marcador permite demostrar lo mismo. Los valores se sustituyen por placeholders y se describe cualquier saneamiento aplicado a la evidencia.

Causa frente a variante

Supongamos que una contraseña débil permite comprometer una cuenta privilegiada. Cambiar esa contraseña corta la ruta observada, pero no corrige una política que permite contraseñas equivalentes, la ausencia de MFA o la exposición del servicio. La PoC debe separar el ejemplo explotado del control subyacente.

Lo mismo ocurre con un script. Si el cliente bloquea su cadena exacta, la corrección solo es válida cuando también elimina la propiedad que el script aprovechaba. El retest debe comprobar la causa, no ejecutar una única herramienta y aceptar su fallo como prueba suficiente.

Cadena de ataque

Cuando varios hallazgos se encadenan, documenta cada transición:

condición A → capacidad obtenida → condición B → objetivo alcanzado

Indica qué identidad y activo intervienen, qué evidencia respalda el salto y qué controles podrían romperlo. Los hallazgos individuales siguen existiendo aunque corregir uno corte la ruta completa.

Criterio de calidad

Otra persona con acceso autorizado debería poder reproducir el hallazgo sin adivinar variables ni ejecutar acciones ajenas al objetivo. También debería poder entender qué conclusión no demuestra la PoC.

La gestión de evidencias protege los artefactos originales. El cierre de la evaluación los convierte en entregables, limitaciones y retest.

Referencias

• NIST SP 800-115: Technical Guide to Information Security Testing and Assessment
• PCI Security Standards Council: Penetration Testing Guidance