Cheatsheet

Cheatsheet de targets chilenos

Contexto específico de Chile para engagements/bug bounty locales — complementa el [[cheatsheet-de-credential-spraying-con-patron-rut-y-seguridad-operacional-de-scripts-masivos|cheatsheet de credential spraying con patrón RUT]]. Cheatsheet de referencia publicable (threat-intel general, sin datos de clientes) — vive en Cheatsheets/.

RUT / RUN (el identificador universal)

  • Formato: NNNNNNNN-DV, DV = dígito verificador módulo 11 (0-9 o K). Se usa como username, id de cliente, y clave de búsqueda en casi todo servicio chileno → primer candidato a IDOR / enumeración.
  • Cálculo DV (para generar RUTs válidos en enumeración): serie 2,3,4,5,6,7 cíclica sobre los dígitos de derecha a izquierda, 11 - (suma % 11); 11→0, 10→K.
  • Bypass de validación frecuente: enviar con/sin puntos y guion (12345678-5, 12.345.678-5, 123456785); algunos backends validan formato pero no el DV, o normalizan distinto en front vs back.
  • Enumeración: rangos de RUT son predecibles (personas naturales ~4M–27M). Combinar con respuestas diferenciales (/perfil/{rut}, login, recuperación de clave) para user-enum. Ojo con rate-limit → espaciar.

Clave Única (claveunica.gob.cl) — SSO estatal

  • OIDC/SAML federado para servicios .gob.cl. Vectores: redirect_uri/RelayState laxos (open redirect → robo de code/assertion), replay de assertion, state/nonce no validados, downgrade de flujo.
  • Si el target integra Clave Única, revisar el callback (/auth/callback, /openid/...) y si valida iss/aud/firma. Muchos integradores confían en el claim sin re-validar contra el IdP.

Transbank (Webpay Plus / Oneclick / Klap-KCC) — pagos

  • Flujo Webpay: commerce inicia transacción → token_ws → redirect a Transbank → retorno a return_url → commerce hace commit. Vectores clásicos:
    • Tampering de monto/orden entre init y commit si el commerce no re-verifica el monto contra su DB.
    • return_url/final_url manipulables → confusión de estado de pago.
    • Reuso/replay de token_ws; falta de idempotencia en el commit.
    • Códigos de integración de prueba en producción (commerce code 597055555532 y sus test cards) — si el ambiente de test quedó expuesto, se simulan pagos.
  • Revisar que el commit valide status + monto + orden server-side, no solo la redirección de retorno.

SII / facturación electrónica (DTE)

  • DTE firmados con certificado digital + folios CAF (Código de Autorización de Folios). Fugas típicas: certificados .pfx/.p12 + password en repos/backups, CAF reutilizables, endpoints de emisión sin authz.
  • Si el target emite boletas/facturas, buscar el certificado y el flujo de folios.

Recon .cl

  • WHOIS por NIC Chile (nic.cl, no los TLD genéricos). Hosting local frecuente: SiteGround (visto en pwned.cl), tenpo/AWS sa-east-1, GCP. CDN: Cloudflare común.
  • Bancos/fintech regulados por CMF; retail grande (Falabella, Cencosud, Ripley) con apps propias.

Legal / manejo de datos (Chile)

  • Ley 19.628 (protección de datos, vigente) → reemplazada progresivamente por la Ley 21.719 (nueva ley de datos personales, con agencia y multas). Retención de PII exfiltrada tiene implicancias reales: minimizar, redactar en reportes, y no conservar dumps crudos fuera del alcance del engagement (ver política de datos del vault en [[Convenciones del vault]]).