CWES de HackTheBox en 2025/2026 Review y Experiencia.
Qué tal comunidad, me alegra mucho que puedan pasar por mi página. En esta ocasión, les comparto mi experiencia y review de la certificación CWES (Certified Web Exploitation Specialist) de la plataforma HackTheBox. Como ya lo había mencionado en mi video, donde les comparto mi experiencia, la idea no era hacer el CWES, ya que mi preparación iba más enfocada al CPTS (Certified Penetration Testing Specialist). Sin embargo, al final, los planes cambiaron de rumbo, y puedo decir que estoy muy contento y con una satisfacción de presentar este examen, que es muy, pero muy bueno. Pero antes de pasar a mi experiencia y contar cómo fue que aprobé el examen, pasemos a explicar qué es esta certificación y quién la imparte.
Que es la Certificacion CWES
enfocándose en la práctica del bug bounty. Esta certificación es ofrecida por Hack The Box (HTB), una reconocida plataforma de ciberseguridad. Para acceder al examen de certificación CWES, es obligatorio completar al 100% el curso correspondiente en la HTB Academy. Este curso está diseñado para personas con poca o ninguna experiencia en el área, aunque se recomienda tener conocimientos básicos. El Hack The Box Certified Web Exploitation Specialist (HTB CWES) es una certificación que valida las habilidades y conocimientos en la identificación y explotación de vulnerabilidades en aplicaciones web, El curso consta de veinte módulos que abarcan desde conceptos básicos, como el protocolo HTTP, hasta la detección de vulnerabilidades específicas, como Cross-Site Scripting (XSS), XML External Entity Inyection (XXE) e inyecciones SQL (SQLi). Cada módulo incluye teoría y laboratorios prácticos integrados para aplicar los conocimientos adquiridos. La duración del curso es aceptable y dependera de cada usuario el tiempo que se tome para completarlo. El costo del curso y del examen puede variar y está sujeto a cambios. Se recomienda consultar directamente la página oficial de Hack The Box Academy para obtener información actualizada sobre precios y promociones vigentes. Una ves completado el curso se puede acceder al examen ya que es un requisito fundamental. Durante el examen, se deben identificar y explotar vulnerabilidades en entornos controlados proporcionados por HTB. El examen tiene una duración de 7 días, durante los cuales se espera que el candidato demuestre sus habilidades prácticas en la caza de bugs y realice un reporte detallado de tipo comercial.
Mi Experiencia al Enfrentar la Certificacion CWES
La idea de presentar el CWES comenzó de la siguiente forma: durante todo el tiempo que tuve el curso accesible, me di a la tarea de realizar modulos que no eran directamente para presentar el CWES; eran más para presentar la certificación CPTS. Durante mucho tiempo estuve completando módulos correspondientes al CPTS y a la certificación CAPE, que es un certificado dedicado al Active Directory. Es muy bueno y muy chulo saber que tienes todos los módulos accesibles, pero si no gestionas bien el tiempo, aunque los tengas disponibles, te puede pasar lo que a mí me pasó. Al final, tuve que presentar el CWES por cuestión de tiempo, ya que me enfoqué en curiosear en otros módulos en lugar de los de CPTS. A eso se sumaron los proyectos del trabajo (auditorías web y reportes).
Completé los 20 módulos del CWES para tener el pase al examen y ese mismo día lo inicié. Recuerdo que estaba cansado, ya que el último módulo lo terminé a las 3:00 a. m., mientras realizaba un reporte pendiente por entregar. Me dediqué a dormir y, a las 9:00 a. m., inicié con el examen. De primera instancia, logré obtener las primeras flags de forma fácil porque la tecnología empleada en la primera etapa ya la había auditado muchas veces. Eso me dio soltura para obtenerlas. Aunque el examen no exige escalar privilegios, es de suma importancia realizar una muy buena enumeración posterior a la explotación.
En los días siguientes encontré cuatro flags más, lo cual logré gracias a una extensa enumeración, a la réplica de algunos ataques enseñados en la academia y a la comprensión de cada aplicación. Pero, al final, llegué a la madriguera del conejo: no encontraba nada más y aún me faltaban algunos puntos para aprobar el examen. Busqué durante mucho tiempo, pero no hallaba esas brechas que me ayudaran a obtener las flags faltantes. El cuarto día me encontraba probando una aplicación. Inyecté de todo, incluso intenté con vulnerabilidades que no venían en el curso, por si acaso, pero nada funcionaba. Fue un caso muy chistoso porque no recordaba que hay vulnerabilidades que se dejan ver "guiño, guiño". Un servidor en local me ayudó a descubrir una brecha y continuar con mi examen. Estaba feliz, pero el problema fue que, durante mi trayectoria al completar los 20 módulos que conforman el CWES, algunos no los terminé en su totalidad. ¿A qué me refiero con esto? Que no los repasé o no me di a la tarea de estudiarlos a fondo, por lo que la vulnerabilidad detectada ni siquiera la tenía en el radar. Quiero mencionar que tengo un conocimiento de nivel medio en aplicaciones web. Sé cómo explotar XSS, XXE, SQLi, SSRF, SSTI, LFI, RFI, CSRF, IDOR, XSLT, CI, entre muchas más, pero hay vulnerabilidades que tienen variantes y es fundamental conocerlas, al menos lo básico, para identificarlas. Para explotar la vulnerabilidad que identifiqué, tuve que repasar el módulo correspondiente y así pude explotarla con éxito.
Para obtener los demás puntos, logré explotar la vulnerabilidad identificada. Los últimos puntos los obtuve gracias a una brecha en un punto que solo se puede encontrar dudando de todoooooooo, jejeje. En base a mi experiencia en el examen, puedo decir que mi curiosidad por aprender más de otros módulos no me permitió ver que el tiempo corría y que la fecha del examen se acercaba. Gestionar bien el tiempo para atender cada módulo es fundamental para obtener una buena comprensión de estos. Recomiendo encarecidamente dedicarle de uno a dos días por módulo, y en los módulos que duran dos días, darle el tiempo que sea necesario para lograr una comprensión sólida.
Al final, pasé el examen con un 80%. Me quedaban dos días de examen y aún tenía que hacer el reporte. Me dije a mí mismo: "Si termino el reporte antes, intento encontrar las flags faltantes y listo", pero al final terminé el reporte y ya no le dediqué más tiempo al examen. Es curioso cómo son las cosas, porque mi trabajo es muy flexible y, antes de presentar el examen, el líder de mi vertical me dio pase libre para hacerlo. Incluso estaba al pendiente de cómo iba :)). Sin embargo, el compromiso por no fallar estaba latente, ya que tenía otro reporte que entregar y una presentación ejecutiva. Al final, el compromiso ya no solo es contigo, sino con todas las personas que te apoyan para llegar hasta este punto.
Pasados siete días, la plataforma de HTB Academy me comunicó que había aprobado el examen con éxito, sin comentarios adicionales. Fue una experiencia muy buena, que me permitió ver dónde estoy parado y qué cosas debo corregir y mejorar para tener éxito en mis próximos proyectos y exámenes. Las certificaciones, al final, son solo papeles que avalan que sabes algo, pero si no identificas una vulnerabilidad en concreto, no significa que no tengas la habilidad o la capacidad para explotarla. Simplemente es cuestión de fortalecer los conocimientos y la metodología.
Tips para Aprobar la Certificaion CWES de HTB
A continuación, te compartiré algunos tips y consejos que pueden ayudarte a aprobar la certificación CWES de HTB:
1. Dedica el tiempo necesario para entender cada módulo del camino CWES
Sé que es mucho texto y puede volverse tedioso, pero esto te dará mucha soltura en la certificación. A pesar de los conocimientos que ya tenía, aprendí muchas cosas nuevas en este examen.
2. Desde que inicies el curso, toma notas detalladas
Asegúrate de incluir ejemplos claros y crear checklists que te ayuden a detectar todo tipo de vulnerabilidades. Utiliza diferentes recursos para obtener una variedad de payloads, como PayloadAllTheThings o HackTricks. Recuerda: entre más armas lleves a la guerra, más posibilidades tendrás de no "morir" en el intento.
3. Gestiona bien el tiempo para completar el curso y presentar la certificación
Es fundamental que organices tu tiempo para realizar el curso y el examen. Si trabajas, coméntalo con tu líder, y si no, planifica bien tus horarios para evitar interrupciones durante el examen.
4. Durante el examen, realiza una muy buena enumeración desde el inicio
Analiza el entorno por completo. No te preocupes, tienes siete días para completar el examen, que es un tiempo bastante razonable. Dedica al menos un día entero a enumerar todo antes de comenzar a explotar las vulnerabilidades.
5. Toma descansos estratégicos
Descansa entre 15 y 20 minutos cada 2 o 3 horas. Esto te ayudará a despejar la mente y a procesar mejor lo que estás detectando.
6. Piensa fuera de la caja
Deja a un lado las herramientas automatizadas y los escáneres de vulnerabilidades. Testea las aplicaciones manualmente, utiliza Burp Suite, realiza fuzzing y duda de todo. Intercepta todo lo que puedas. Recuerda que la certificación simula un escenario donde se busca encontrar vulnerabilidades que no son evidentes a simple vista.
7. Toma muchas capturas de pantalla y documenta todo
Deberás explicar paso a paso cómo encontraste cada vulnerabilidad. Esto mejorará la claridad de tu reporte cuando sea revisado por el equipo de HTB. También asegúrate de incluir los comandos o herramientas que usaste para detectar o explotar las vulnerabilidades. Muchos realizan el reporte con SysReptor, pero yo utilicé la plantilla que proporciona Hack The Box. Ambas son válidas. (Puedes revisar el video de mi canal en YouTube, "Autonomía Hacker", donde explico brevemente cómo hice mi reporte de vulnerabilidades).
8. Confía en ti mismo
El síndrome del impostor es muy común en cualquier profesión. Recuerda: "Eres un chingón y vas a pasar el examen sin problemas."Y bueno, camaradas, esta es mi experiencia y los consejos que puedo darles sobre la certificación CWES. Sé que puede parecer un reto complicado, pero créanme, con la preparación adecuada y la mentalidad correcta, ¡lo pueden lograr sin problemas! Si en algo puedo ayudarles, no duden en contactarme en cualquiera de mis redes sociales o en mi correo (lo encuentran en la sección de mi perfil). Siempre estaré dispuesto a echarles una mano, ya sea resolviendo dudas, compartiendo recursos o simplemente dándoles ánimos en el camino. Pronto estaré compartiendo más contenido de valor, así que estén atentos. ¡Mucho éxito en su camino como pentesters! Recuerden: la curiosidad, la perseverancia y las ganas de aprender son las claves del éxito en este mundo. Un saludo y nos vemos pronto.
Quiero dedicar este post a todas las personas que me han apoyado en mi camino como consultor entre ellos: Martin F., Rodrigo B., Ruben M. y Francisco M., por sus consejos y tips para rendir la certificación. ¡Muchas gracias!
