Un usuario de GitHub ha creado la navaja suiza definitiva para hackers
Un desarrollador ha compartido numerosas herramientas de hacking ético para juntarlas con toda la potencia de la inteligencia artificial de Claude Code en lenguaje natural.
Independientemente del conocimiento que pueda tener un hacker ético, un periodista de investigación o un usuario al que le apasione el tema de la ciberseguridad, uno de los aspectos más importantes es contar con un kit de herramientas fiables.
Hay muchísimas disponibles para realizar las conocidas como pruebas de penetración, el escaneo de redes, la búsqueda de técnicas de typosquatting –la introducción de caracteres parecidos en un término legítimo–, etc.
Aunque he encontrado una forma muchísimo mejor para tener toda la ayuda de la inteligencia artificial de Claude Code junto a herramientas imprescindibles, como Nmap, TruffleHog, Maigret y hasta 183 en total.
Todo esto gracias a un repositorio de GitHub conocido como hackingtool-plugin, una extensión que es prácticamente una navaja suiza dentro de Claude Code, y cuyo corazón es Z4nzu/hackingtool, un repositorio conocido de esta plataforma, que recopila numerosas utilidades de seguridad.
Aunque tal y como explica su desarrollador, AKCodez en GitHub, el plugin está exclusivamente diseñado para pruebas de seguridad autorizadas, programas de recompensas por errores –bug bounty– e investigaciones legítimas en entornos controlados.
Dicho esto, te cuento todas las herramientas que puedes utilizar junto a Claude Code, además de cómo usarlo de forma que sea segura y controlada, para evitar problemas de seguridad.
Qué herramientas podrás tener
Lo fundamental de este plugin es que reúne muchísimas aplicaciones imprescindibles para realizar investigaciones; de las 183 disponibles, aquí puedes ver 10 herramientas clave que puedes probar junto a Claude Code:
- Maigret. Es probablemente una de las más potentes de la lista, ya que permite rastrear por diferentes nombres de usuario en más de 3.000 webs al mismo tiempo. Si necesitas encontrar perfiles o verificar diferentes identidades digitales, es clave para una investigación.
- The Harvester. Un clásico muy popular para la investigación de fuentes abiertas (OSINT), ya que cuenta con capacidad para recolectar desde nombres y subdominios hasta direcciones IP, siempre de fuentes públicas, como buscadores y diversas bases de datos.
- DNSTwist. Esta herramienta es un estándar para la investigación de phishing, los correos maliciosos que buscan engañar al usuario con dominios que se parecen a nivel visual. Por ejemplo, reconoce perfectamente si los caracteres introducidos han sido modificados e intentan suplantar un dominio legítimo, como hacer pasar por "google.com" con "g00gle.com".
- Nmap. Es otra de las insignias principales para el escaneo de redes, ya sea que quieras asegurar tu red propia en casa o de algún negocio. Además de descubrir qué puertos están abiertos en un servidor, revela posibles vulnerabilidades y puertas de entrada a la red.
- TruffleHog. Como su propia traducción indica, este término hace referencia a los cerdos que olfatean trufas muy valiosas bajo el suelo. Concretamente, puede buscar contraseñas, API y tokens que puedan haberse filtrado por errores en sistemas o en repositorios.
- Subfinder. Si lo que te interesa es la recopilación de subdominios, es permite localizar todas las ramificaciones de una web, de forma muy rápida.
- Nuclei. Esta herramienta es otro escáner de vulnerabilidades de código abierto, y permite realizar automatizaciones para detectar diferentes fallos de seguridad, servicios expuestos en diferentes ámbitos y muchas otras funciones básicas, teniendo como origen plantillas, con un índice muy bajo de falsos positivos.
- Holehe. Con esta podrás ubicar en más de 120 sitios web, mayormente de redes sociales como Instagram, X, LinkedIn, etc. cualquier correo electrónico.
- Sqlmap. La inyección SQL es una de las principales preocupaciones de los equipos de seguridad. Gracias a Sqlmap, se pueden detectar a tiempo fallos de este tipo en bases de datos web, quizá de los ámbitos más importantes de la seguridad defensiva.
- Sherlock. Es muy parecida a la primera de esta lista, y funciona para buscar cuentas en diferentes redes sociales mediante un nombre de usuario.
Y estas son apenas una pequeñísima parte del conjunto de herramientas, aunque para probar el plugin siempre lo mejor es crear un entorno controlado y seguro, para que tu máquina principal no se vea afectada.
Cómo probar este plugin de forma segura
En mi caso, la he probado con Windows 11 como sistema anfitrión; lo más importante es que necesitas Claude Code, ya que lo demás es bastante sencillo de configurar.
Lo primero es instalar las últimas versiones de Python –es el lenguaje que permite a Claude Code comunicarse con el plugin–, de la Powershell si lo estás configurando en Windows, además de la última actualización de Docker Desktop.
Para obtener las últimas versiones de cada una de ellas, simplemente abre la Powershell en Windows y ejecuta el comando winget install de cada una de ellas; en cuanto a Docker Desktop, puedes descargarla desde la tienda de aplicaciones de Microsoft.
Docker te permitirá que cada herramienta se ejecute dentro de un contenedor aislado, por lo que tendrás aislamiento de tu sistema Windows en un entorno de Linux, sin acceso a tus archivos más importantes del sistema anfitrión.
Este plugin tiene la capacidad de reconocer si Docker está ejecutándose, por lo que lo elige como el método favorito; en caso contrario, funcionará mediante WSL o ya con instalación nativa.
Con Docker activado en segundo plano, simplemente tendrás que abrir la terminal de nuevo en la sesión de Claude y ejecutar el comando /plugin marketplace add AKCODEZ/hackingtool-plugin para añadirlo a los disponibles.
Para instalarlo, simplemente copia, pega y ejecuta el siguiente comando: /plugin install hackingtool@hackingtool-marketplace.
Tras esto, cada vez que la quieras usar, solo abre Claude Code y conversa en lenguaje natural para ejecutar la herramienta que prefieras, con un asistente inteligente que te ayudará en todo.