¡Hola! En la lección anterior, equipaste tu máquina Kali Linux con las habilidades para gestionar su arsenal de herramientas usando apt. Ahora que tu "estación de ataque" está lista y sabes cómo mantenerla, es hora de construir el otro pilar de nuestro laboratorio: el objetivo.
El objetivo de esta lección es desplegar tu primera máquina virtual vulnerable, que servirá como campo de práctica para las técnicas de hacking que aprenderás. Sin un objetivo seguro y legal sobre el cual practicar, es imposible desarrollar habilidades reales en pentesting. Al final de esta lección, tendrás una máquina vulnerable, Metasploitable 2, instalada y funcionando en VirtualBox, lista para ser configurada en nuestro laboratorio.
¿Qué es un Laboratorio de Pentesting?
Hasta ahora, solo tienes la máquina del atacante. Para poder practicar, necesitas una víctima. En el mundo del hacking ético, no puedes simplemente atacar cualquier sitio web o servidor que encuentres; eso es ilegal y peligroso. La solución es crear un entorno de laboratorio controlado y aislado.
Un laboratorio de pentesting consiste, como mínimo, en dos componentes:
- La máquina atacante: Tu Kali Linux, equipada con todas las herramientas de hacking.
- La máquina objetivo (o víctima): Una máquina deliberadamente configurada con vulnerabilidades de seguridad para que puedas practicar su identificación y explotación.
El siguiente artículo de OpenWebinars introduce muy bien este concepto.
Creación de laboratorio para pentesting - OpenWebinars
Lee la introducción del artículo para afianzar la idea de por qué necesitamos un laboratorio local.
Concéntrate en la sección inicial, que define claramente el propósito de lo que estamos a punto de construir.
Metasploitable 2: Tu Primer "Saco de Boxeo" Digital
Existen muchas máquinas vulnerables diseñadas para la práctica, disponibles en plataformas como VulnHub. Para empezar, usaremos una de las más famosas y didácticas: Metasploitable 2.
Metasploitable 2 es una máquina virtual Linux creada por los desarrolladores del Metasploit Framework. Está intencionadamente repleta de fallos de seguridad, software desactualizado y configuraciones débiles. Es el campo de entrenamiento perfecto para principiantes.
Instalación de Metasploitable 2
Este recurso te dará una visión general de qué es Metasploitable 2 y qué tipo de vulnerabilidades contiene, para que sepas a qué te enfrentarás en futuras lecciones.
Lee la sección "¿Qué es Metasploitable 2?" para entender su propósito. Luego, echa un vistazo a la lista de vulnerabilidades comunes al final del artículo para hacerte una idea del potencial de aprendizaje que ofrece.
Desplegando Metasploitable 2 en VirtualBox
Ahora, a la parte práctica. A diferencia de Kali Linux, que instalaste desde una imagen ISO, Metasploitable 2 se distribuye como un archivo de disco virtual ya construido. El proceso consiste en descargar este archivo, crear una nueva máquina virtual en VirtualBox y, en lugar de crear un disco duro nuevo, le indicaremos que use el que hemos descargado.
El siguiente vídeo del canal "Bits of Alber" te guiará paso a paso en todo el proceso. Es muy claro y te recomiendo seguirlo con atención.
Como descargar e instalar Metasploitable 2 | Paso a Paso
Este vídeo te mostrará cómo descargar, descomprimir y configurar la máquina virtual Metasploitable 2 en VirtualBox.
Sigue las instrucciones del vídeo para completar la instalación: Descarga y descompresión: El vídeo muestra dónde descargar el archivo desde VulnHub y cómo descomprimirlo para obtener el fichero .vmdk, que es el disco duro virtual. Puedes seguir la explicación desde este punto. Creación de la VM en VirtualBox: Presta especial atención a esta parte. Al crear la nueva máquina, la clave está en la sección del disco duro. Observa cómo el autor selecciona "usar un archivo de disco duro virtual existente" y elige el archivo .vmdk que acaba de descomprimir. Sigue este proceso entre el minuto 1:06 y el 2:04. Primer arranque e inicio de sesión: Una vez creada la VM, el vídeo muestra cómo iniciarla y acceder con las credenciales por defecto. Míralo desde el minuto 2:04 hasta el 2:33.
Para reforzar el proceso, aquí tienes un resumen de los pasos clave que has visto en el vídeo:
-
Descargar y Descomprimir:
- Ve a la página de Metasploitable 2 en VulnHub (el vídeo proporciona el enlace).
- Descarga el archivo
.zip. - Descomprime el archivo. Dentro encontrarás varios ficheros, el más importante es
Metasploitable.vmdk.
-
Crear la Máquina Virtual:
- En VirtualBox, haz clic en "Nueva".
- Nombre y sistema operativo: Nómbrala "Metasploitable", selecciona Tipo:
Linuxy Versión:Ubuntu (64-bit).
* **Memoria:** La memoria RAM por defecto (generalmente 512MB o 1024MB) es suficiente.
* **Disco duro:** Aquí está el paso crucial. Selecciona la opción **"Usar un archivo de disco duro virtual existente"**. Haz clic en el icono de la carpeta para buscar y seleccionar el archivo `Metasploitable.vmdk` que descomprimiste.
- Iniciar Sesión:
- Inicia la nueva máquina virtual "Metasploitable".
- Cuando te pida las credenciales de acceso, usa las que se mencionan en los recursos:
- Usuario:
msfadmin - Contraseña:
msfadmin
- Usuario:
¡Felicidades! Si has llegado hasta aquí, tienes una máquina Metasploitable 2 funcionando. El hecho de que puedas acceder con credenciales tan simples y conocidas es, en sí mismo, tu primera lección sobre vulnerabilidades: las credenciales por defecto son un riesgo de seguridad enorme.
Conclusión
Hoy has dado un paso gigante en la construcción de tu entorno de práctica. Ya no solo tienes al cazador (Kali Linux), sino también a la presa (Metasploitable 2). Has aprendido qué es una máquina virtual vulnerable, por qué es esencial para tu formación y cómo desplegar una de las más importantes en tu propio VirtualBox.
Puntos clave de esta lección:
- Un laboratorio de pentesting requiere una máquina atacante y una máquina objetivo para practicar de forma segura y legal.
- Metasploitable 2 es una máquina virtual Linux diseñada específicamente para el entrenamiento en seguridad, llena de vulnerabilidades intencionadas.
- El despliegue de una VM pre-construida implica crear una nueva máquina en VirtualBox y adjuntarle un archivo de disco duro virtual (
.vmdk) existente. - Las credenciales por defecto (
msfadmin/msfadmin) son un ejemplo de una vulnerabilidad real y común.
En este momento, tus dos máquinas virtuales son como dos ordenadores en habitaciones separadas; existen, pero no pueden comunicarse. En la próxima lección, abordaremos esto de frente: configurarás una red virtual aislada para conectar tu Kali Linux con Metasploitable 2, completando así la construcción de tu laboratorio de hacking personal.