Limpieza de laboratorio reverse shell: la parte que se salta hasta que la evidencia se ensucia
Una prueba reverse shell autorizada debe dejar notas claras, listeners apagados, artefactos conocidos y logs útiles.
La limpieza no luce, así que se salta. Luego pasa una semana y nadie recuerda qué listener estaba activo, qué variante funcionó, qué host conectó o si un proceso raro viene de la prueba o de un incidente real.
El trabajo autorizado con reverse shells necesita higiene. No porque el comando sea difícil, sino porque la evidencia se mezcla rápido.
Guarda los datos mínimos
Para cada test, registra objetivo, hora, dirección del listener, puerto, familia de payload, camino de ejecución y resultado. No hace falta escribir una novela. Hace falta poder reproducir el hallazgo y explicarlo a alguien que no vio tu terminal.
Una nota simple vale:
2026-05-27 14:12 UTC
target: lab-web-02
listener: 10.10.14.3:4444
payload: bash tcp
path: vulnerable upload worker
result: callback received, www-data, no PTY
Esa nota ahorra discusiones cuando llegan los logs.
Apaga listeners con intención
Dejar listeners vivos es mala costumbre. Genera confusión en pruebas posteriores y puede aceptar conexiones que no esperabas. Apágalos al terminar. Si usas tmux, pon nombres claros a las ventanas en vez de dejar diez paneles llamados zsh.
Busca restos:
ss -lntp
En laboratorios compartidos importa todavía más. El listener olvidado de un operador se convierte en el misterio de otro.
Conoce los artefactos creados
Algunas pruebas crean archivos temporales, historial de shell, logs de procesos, consultas DNS, scripts, intentos de autenticación o crash reports. En un lab controlado, limpia lo que las reglas permitan y documenta lo que queda.
No borres evidencia que el equipo defensivo espera revisar. No dejes basura por prisa. La respuesta correcta depende del alcance, por eso cleanup debe hablarse antes.
La herramienta puede ayudar
Un generador puede mostrar una nota copiable, el comando del listener y una checklist corta de cierre junto al payload. Esa pequeña función vale más que otro one-liner raro.
La madurez operativa suele ser repetición aburrida hecha con cuidado.
También reduce ruido para el equipo azul. Un artefacto bien identificado se investiga en minutos; uno ambiguo consume horas.