Linux para pentesting: los 30 comandos que realmente necesitas

1. Un flujo pequeño vale más que cien comandos memorizados

La terminal es una composición: orientarte, inspeccionar, filtrar, registrar y verificar. El carácter | conecta la salida estándar de un programa con la entrada del siguiente. Las comillas protegen espacios o patrones frente a la shell. Esos operadores forman parte de la shell y no cuentan como comandos adicionales.

Preparación

Los ejemplos usan GNU/Linux y están pensados para Kali, Debian o Ubuntu actuales. Crea una instantánea de la VM. Si falta alguna utilidad, instala los paquetes desde los repositorios firmados de tu distribución. Los gestores siguientes preparan el entorno y no forman parte de los 30 comandos.

Las opciones largas que aparecen en la guía son propias de las implementaciones GNU o de los proyectos indicados. En BusyBox, macOS u otros Unix pueden cambiar: consulta man en ese sistema.

2. Contexto y archivos: comandos 01-10

Empieza siempre por responder «¿dónde estoy?» y «¿qué voy a tocar?». Esta decena reduce los errores de ruta y evita tratar una extensión, una fecha o un permiso como verdad absoluta.

1. 01

   pwd

   Confirma el directorio de trabajo antes de leer, copiar o borrar nada.

   $ pwd

   Cómo leerlo: La salida debe ser una ruta absoluta, por ejemplo /home/analista/cubix-lab.

2. 02

   ls

   Lista contenido y, con -la, muestra ocultos, permisos, propietario, tamaño y fecha.

   $ ls -la --time-style=long-iso ~/cubix-lab

   Cómo leerlo: La primera columna son permisos; las entradas que empiezan por punto están ocultas.

3. 03

   mkdir

   Crea el espacio de trabajo sin fallar si los directorios padre aún no existen.

   $ mkdir -p ~/cubix-lab/evidencia

   Cómo leerlo: No muestra salida cuando tiene éxito; ls -ld ~/cubix-lab/evidencia lo confirma.

4. 04

   cd

   Cambia el contexto de la shell a una ruta conocida.

   $ cd ~/cubix-lab

   Cómo leerlo: Tampoco imprime al acertar: ejecuta pwd después para verificar el destino.

5. 05

   cp

   Trabaja sobre una copia y conserva las marcas de tiempo cuando son parte de la evidencia.

   $ cp --preserve=timestamps /etc/os-release ~/cubix-lab/evidencia/sistema.txt

   Cómo leerlo: El archivo de destino debe existir y mantener las fechas del original.

6. 06

   mv

   Mueve o renombra; --no-clobber evita reemplazar un destino existente.

   $ mv --no-clobber ~/cubix-lab/evidencia/sistema.txt ~/cubix-lab/evidencia/sistema-base.txt

   Cómo leerlo: El nombre anterior desaparece y el nuevo aparece; si ya existía, no se sobrescribe.

7. 07

   rm

   Elimina un archivo explícito; -i obliga a confirmar la decisión.

   $ rm -i ~/cubix-lab/evidencia/copia-temporal.txt

   Cómo leerlo: Responde y solo continúa si la ruta mostrada es exactamente la copia desechable.

   Precaución: No uses rm -rf, comodines ni rutas construidas con variables mientras aprendes. La papelera no interviene.

8. 08

   find

   Localiza archivos por ruta, tipo, nombre y tiempo sin depender de un índice previo.

   $ find /var/log -maxdepth 2 -type f -name '*.log' -mtime -1

   Cómo leerlo: Cada línea es una coincidencia modificada en el último día; «Permission denied» es un límite, no un hallazgo.

9. 09

   file

   Estima el tipo por el contenido en vez de confiar en la extensión.

   $ file ~/cubix-lab/evidencia/sistema-base.txt

   Cómo leerlo: Esperas texto ASCII o Unicode; «data» solo significa que no reconoció un formato más específico.

10. 10

    stat

    Obtiene tamaño, permisos y marcas de tiempo precisas de un artefacto.

    $ stat --format='%n | %s bytes | %y | %a' ~/cubix-lab/evidencia/sistema-base.txt

    Cómo leerlo: Lee nombre, tamaño, modificación y modo; una fecha por sí sola no demuestra quién cambió el archivo.

3. Leer, reducir y conservar texto: comandos 11-20

Un análisis útil rara vez consiste en volcar todo. Primero conserva la fuente; después toma una muestra, filtra, ordena, cuenta y guarda el resultado. Cada tubería debe poder explicarse de izquierda a derecha.

11. 11

    cat

    Muestra archivos pequeños completos y resulta útil al encadenar salida hacia otra herramienta.

    $ cat /etc/os-release

    Cómo leerlo: NAME, VERSION y otros pares clave-valor describen la distribución, no necesariamente el kernel.

12. 12

    less

    Recorre texto grande sin cargarlo entero en una pantalla ni modificarlo.

    $ less /etc/services

    Cómo leerlo: Usa /ssh para buscar, n para la siguiente coincidencia y q para salir.

13. 13

    head

    Toma una muestra del comienzo de un archivo o flujo.

    $ head -n 20 /etc/services

    Cómo leerlo: Verás como máximo veinte líneas; no infieras el contenido del resto a partir de esa muestra.

14. 14

    tail

    Muestra el final, donde suelen aparecer los eventos más recientes de un registro cronológico.

    $ tail -n 20 /etc/services

    Cómo leerlo: Son las últimas veinte líneas del archivo, no necesariamente los últimos veinte eventos temporales.

15. 15

    grep

    Filtra líneas con un patrón y añade el número de línea para volver a la fuente.

    $ grep -nE '^ssh[[:space:]]' /etc/services

    Cómo leerlo: Una coincidencia confirma texto, no que el servicio SSH esté activo; para eso usarás ss.

16. 16

    sort

    Ordena líneas para comparar datos y preparar una deduplicación fiable.

    $ grep -Ev '^(#|$)' /etc/services | sort

    Cómo leerlo: La salida está ordenada según la configuración regional; aún puede contener duplicados.

17. 17

    uniq

    Agrupa líneas adyacentes repetidas; por eso normalmente recibe antes la salida de sort.

    $ grep -Ev '^(#|$)' /etc/services | sort | uniq -c

    Cómo leerlo: El número inicial indica repeticiones consecutivas, no frecuencia si omitiste ordenar.

18. 18

    wc

    Cuenta líneas para medir un conjunto y detectar cambios rápidos entre capturas.

    $ grep -Ev '^(#|$)' /etc/services | wc -l

    Cómo leerlo: Obtienes un total, no el detalle; conserva también la fuente si el número servirá como evidencia.

19. 19

    tee

    Muestra un resultado y lo guarda a la vez, evitando perder contexto durante la sesión.

    $ ip -brief address | tee ~/cubix-lab/evidencia/red.txt

    Cómo leerlo: La misma salida aparece en pantalla y en red.txt; sin -a, un archivo existente se reemplaza.

20. 20

    sha256sum

    Calcula una huella para comprobar después si un artefacto cambió.

    $ sha256sum ~/cubix-lab/evidencia/red.txt

    Cómo leerlo: El hash identifica ese contenido concreto; no prueba por sí solo su origen ni su veracidad.

4. Identidad y procesos: comandos 21-24

Antes de interpretar procesos, confirma tu identidad efectiva. Los listados son fotografías: cambian mientras los observas y necesitan contexto temporal. Aquí no se mata, migra ni modifica ningún proceso.

21. 21

    id

    Aclara con qué usuario, UID, grupo primario y grupos suplementarios estás operando.

    $ id

    Cómo leerlo: Compara uid, gid y groups con el alcance concedido; pertenecer a un grupo puede ampliar acceso.

22. 22

    chmod

    Reduce quién puede leer o escribir un archivo de evidencia.

    $ chmod 600 ~/cubix-lab/evidencia/red.txt

    Cómo leerlo: El propietario conserva lectura y escritura; grupo y resto quedan sin permisos.

    Precaución: Anota el modo anterior con stat. Si era correcto y necesitas restaurarlo, aplica explícitamente ese modo, no uno supuesto.

23. 23

    ps

    Toma una fotografía de procesos y los ordena por consumo de CPU.

    $ ps aux --sort=-%cpu

    Cómo leerlo: PID identifica el proceso; %CPU es una medición contextual y un valor alto aislado no demuestra actividad maliciosa.

24. 24

    pgrep

    Busca procesos por nombre y muestra PID junto a la línea de ejecución.

    $ pgrep -a ssh

    Cómo leerlo: Sin salida suele significar que no encontró coincidencias; comprueba el nombre antes de concluir que no existe.

5. Red y ayuda autónoma: comandos 25-30

Separa configuración local, sockets, conectividad, DNS y aplicación. Que una capa funcione no confirma las siguientes. example.com es un dominio reservado para documentación; en un laboratorio aislado, sustitúyelo por el nombre o la IP privada autorizada.

25. 25

    ip

    Resume interfaces y direcciones con la herramienta mantenida de iproute2.

    $ ip -brief address

    Cómo leerlo: UP describe estado de la interfaz; una dirección asignada no garantiza conectividad con otro host.

26. 26

    ss

    Enumera sockets en escucha y separa TCP, UDP, direcciones y puertos numéricos.

    $ ss -lntup

    Cómo leerlo: Local Address:Port indica dónde escucha; los datos de proceso pueden faltar sin permisos suficientes.

27. 27

    ping

    Comprueba localmente el intercambio ICMP y mide pérdida y tiempo de ida y vuelta.

    $ ping -c 4 127.0.0.1

    Cómo leerlo: Cuatro respuestas y 0% de pérdida validan la pila local; un host remoto puede bloquear ICMP y seguir disponible.

28. 28

    dig

    Consulta DNS y permite separar la respuesta del resolvedor de otras capas de red.

    $ dig example.com A +noall +answer

    Cómo leerlo: ANSWER muestra registros recibidos; ausencia de respuesta requiere revisar estado, servidor consultado y conectividad.

29. 29

    curl

    Realiza una solicitud controlada y, con --head, inspecciona solo las cabeceras HTTP.

    $ curl --fail --silent --show-error --head https://example.com/

    Cómo leerlo: La primera línea contiene el estado HTTP; --fail hace que errores 400 o superiores produzcan un fallo detectable.

30. 30

    man

    Convierte la propia máquina en la referencia principal de la versión instalada.

    $ man ss

    Cómo leerlo: Busca con /LISTEN, avanza con n y sal con q; SYNOPSIS separa opciones de argumentos.

6. Ejercicio final: inventario mínimo y verificable

Ejecuta este bloque en la VM. Produce cuatro archivos dentro de ~/cubix-lab/evidencia: identidad, red, sockets y hashes. No necesita sudo; si una asociación de proceso no aparece en ss, regístralo como límite en vez de ampliar privilegios.

El cierre correcto muestra OK para los tres archivos. Abre cada uno con less y escribe tres conclusiones separadas: qué observaste, qué infieres y qué dato falta para confirmarlo. Si repites la captura, un hash distinto indica contenido distinto; no explica la causa del cambio.

7. Errores habituales, recuperación y checklist

• □Puedo explicar qué consulta o cambia cada uno de los 30 comandos.
• □Sé salir de less y man con q y detener ping continuo con Ctrl+C.
• □No he usado sudo para saltar un límite de alcance.
• □He conservado identidad.txt, red.txt, escucha.txt y hashes.sha256.
• □Los tres archivos pasan sha256sum --check sin modificaciones posteriores.
• □Mis conclusiones separan observación, inferencia y dato pendiente.

Glosario