Mejores máquinas de Hack The Box para preparar la OSCP

Preparar la OSCP con Hack The Box funciona, pero solo si eliges bien las máquinas: muchas son demasiado CTF (esteganografía, adivinanzas) y otras demasiado difíciles para lo que pide el examen. Esta lista reúne 42 máquinas retiradas con el estilo del examen, ordenadas para que cada una añada algo nuevo, con lo que enseña cada una según el catálogo de PwnAtlas (que enlaza cada técnica al minuto del vídeo de IppSec donde se usa).

Cómo es el examen (OSCP+)

Desde noviembre de 2024 el examen tiene este formato:

Parte	Máquinas	Puntos
Máquinas independientes	3 (Linux o Windows)	20 cada una: 10 por el acceso inicial y 10 por la escalada
Active Directory	1 dominio con 3 equipos	40, todo o casi nada. Empiezas con un usuario y su contraseña (assumed breach)

Apruebas con 70 de 100 en 23 horas y 45 minutos, más 24 horas para el informe. Ya no hay puntos extra por los ejercicios del curso. Traducido a HTB: tienes que saber resolver sin ayuda una máquina fácil o media en unas 4 horas y comprometer un dominio pequeño partiendo de un usuario.

Cómo usar esta lista

• Primero sin ayuda. Dale a cada máquina al menos 2 horas antes de mirar nada. Si te atascas, mira solo la técnica que te falta en la ficha de la máquina en PwnAtlas (no el writeup entero) y sigue.
• Después, el vídeo. Aunque la resuelvas, mira el vídeo de IppSec: casi siempre hay otra forma de hacerlo o un truco que no conocías.
• Necesitas VIP. Las máquinas retiradas solo están disponibles con la suscripción VIP de HTB (salvo unas pocas gratuitas que rotan). Es la forma legal de practicar: son sistemas preparados para atacarse.

Linux fácil: el método

Máquina	Lo que aprendes
Nibbles	Encontrar una ruta oculta, entrar en un CMS con credenciales débiles, subir una shell y un sudo sobre un script que puedes editar. La primera que deberías hacer.
Networked	Un backup del código, subida de ficheros con doble extensión, inyección de comandos en una tarea programada y un sudo sobre un script de red.
Blocky	Credenciales dentro de un .jar descompilado y reutilización de contraseñas hasta sudo.
OpenAdmin	Un CVE público de OpenNetAdmin, credenciales en ficheros de configuración, port forwarding a una web interna y una clave SSH cifrada.
Postman	Redis sin autenticación para escribir tu clave SSH, crackear la clave de otro usuario y un exploit de Webmin.
Tabby	LFI para leer tomcat-users.xml, desplegar un WAR y abusar del grupo lxd.
Armageddon	Drupalgeddon2 (atacar CMS), un hash sacado de MySQL y sudo snap.
Doctor	SSTI en una aplicación Flask y contraseñas en los logs gracias al grupo adm.
Academy	Mass assignment para hacerte admin, un CVE de Laravel, credenciales en un .env y sudo composer.
Busqueda	Inyección en una librería de Python, credenciales en un .git y un script de sudo que llama a otro por ruta relativa.
Precious	Un CVE de pdfkit, credenciales en la configuración de Bundler y deserialización YAML con sudo.
Sau	SSRF hacia un servicio interno, una inyección de comandos sin autenticar y sudo systemctl.
Keeper	Credenciales por defecto, un volcado de memoria de KeePass y una clave de PuTTY convertida a OpenSSH.

Linux: un paso más

Máquina	Lo que aprendes
Nineveh	Fuerza bruta de un login, LFI encadenada con phpLiteAdmin y una tarea programada vulnerable.
Jarvis	Inyección SQL manual hasta phpMyAdmin, un script de sudo con inyección de comandos y systemctl con SUID.
Tartarsauce	Un plugin de WordPress con RFI, sudo tar y una tarea de backup que se engaña con enlaces simbólicos.
Admirer	Credenciales en ficheros olvidados, leer ficheros con un MySQL propio y secuestro de librerías de Python con sudo SETENV.
Valentine	Heartbleed para leer memoria del servidor, una clave SSH cifrada y un exploit de kernel (o una sesión de tmux de root).
Irked	Un IRC con puerta trasera y un binario SUID propio.

Windows: de la web a SYSTEM

Máquina	Lo que aprendes
Jerry	Tomcat con credenciales por defecto y un WAR malicioso. Tu primera máquina Windows.
Devel	FTP anónimo que escribe en la raíz de IIS, una web shell .aspx y un exploit de kernel.
Optimum	Un CVE de HttpFileServer y exploits de Windows buscados con las actualizaciones que faltan.
Bounty	Subir un web.config que ejecuta código en IIS y SeImpersonate con una Potato.
Love	Un SSRF para leer un servicio interno, subida de ficheros y AlwaysInstallElevated.
Remote	Un recurso NFS con la base de datos de Umbraco, un CVE autenticado y un servicio mal configurado.
Netmon	FTP anónimo con todo el disco, una contraseña en un backup de PRTG y su inyección de comandos.
ServMon	Path traversal en NVMS-1000, password spraying por SSH y NSClient++ a través de un túnel.
Buff	Un CVE de una aplicación PHP y un buffer overflow de CloudMe con port forwarding.
Access	Un .mdb y un .zip cifrado sacados de FTP, Telnet y credenciales guardadas para runas /savecred.
Bastion	Un disco virtual de un backup en SMB, volcar la SAM y contraseñas guardadas en mRemoteNG.
Heist	Contraseñas de una configuración de Cisco, password spraying y un volcado de memoria de Firefox.
Chatterbox	Un buffer overflow público de AChat y credenciales de autologon en el registro.
Querier	Credenciales en una macro, robar el hash de MSSQL con xp_dirtree (ataques a MSSQL) y GPP en caché.
Jeeves	La consola de scripts de Jenkins, una base de datos de KeePass y pass-the-hash.
Driver	Un fichero .scf en un recurso para capturar un hash NTLM y PrintNightmare.

Active Directory: la parte de 40 puntos

El dominio del examen empieza con un usuario y su contraseña. Estas máquinas cubren lo que necesitas; la explicación completa está en la lista de mejores máquinas de HTB para aprender Active Directory.

Máquina	Lo que aprendes
Active	Contraseñas en GPP y tu primer Kerberoasting.
Forest	Usuarios sin credenciales, AS-REP Roasting, BloodHound y una cadena de ACL hasta DCSync.
Sauna	Generar nombres de usuario, AS-REP Roasting y credenciales de autologon.
Cicada	Password spraying y SeBackupPrivilege para volcar la SAM.
Resolute	Una contraseña en la descripción de un usuario y el grupo DnsAdmins para ejecutar código en el DC.
Monteverde	Password spraying con el nombre de usuario como contraseña y las credenciales de Azure AD Connect.
StreamIO	Inyección SQL en MSSQL, credenciales de Firefox, abuso de ACLs y LAPS. Lo más parecido a un dominio del examen.

Un plan de 10 semanas

Semanas	Qué hacer
1-2	6 Linux fáciles. Objetivo: el mismo método en todas y una shell estable (reverse shell y TTY)
3-4	6 Windows. Objetivo: whoami /priv y winPEAS sin pensar
5-6	Las Linux medias y el resto de Windows
7-8	Las 7 de Active Directory, con BloodHound y NetExec
9	Repetir sin mirar notas las que más te costaron
10	Simulacro: 3 máquinas que no hayas hecho + 1 dominio, 24 horas seguidas, e informe

Y después

Si prefieres un camino guiado con estas máquinas, guías y chuletas intercaladas y tu progreso guardado, sigue la ruta De cero a OSCP. Para ver cuánto cuesta y cuántas ofertas de empleo la piden, mira la ficha de la OSCP en el comparador de certificaciones.