Rotación de Proxies en Pentesting: Guía para Bug Bounty Hunters Autorizados

Por qué la rotación de proxies es esencial en pentesting autorizado

Si alguna vez has visto cómo un WAF bloquea tu IP a mitad de una enumeración de subdominios, ya conoces el problema: los sistemas de defensa modernos detectan patrones de tráfico anómalos en segundos. Para los bug bounty hunters y pentesters que trabajan dentro de programas autorizados, esto no es solo una molestia — es tiempo perdido, hallazgos desperdiciados y recompensas que se escapan.

La rotación de proxies en pentest resuelve esto distribuyendo tus solicitudes a través de un pool de IPs residenciales reales, haciendo que tu tráfico se mezcle con el de usuarios legítimos. Pero aquí está la regla de oro: todo debe ocurrir dentro del scope autorizado. Fuera de él, no hay técnica que justifique el acceso.

En esta guía cubrimos cómo integrar proxies residenciales en tu flujo de descubrimiento de activos web con proxies, desde la enumeración pasiva hasta el escaneo activo, siempre dentro de los límites legales y de programa.

Disclaimer legal: Todas las técnicas descritas aquí deben aplicarse exclusivamente dentro de engagements autorizados — programas de bug bounty con safe harbor, contratos de pentest firmados, o autorización explícita del propietario del activo. Escanear o probar sistemas fuera de scope es ilegal en la mayoría de jurisdicciones. ProxyHat no respalda ni facilita actividad no autorizada.

Scope: la línea que no se cruza

Programas de bug bounty y safe harbor

Antes de lanzar cualquier herramienta, necesitas claridad absoluta sobre el scope. Los programas de bug bounty (HackerOne, Bugcrowd, Intigriti) definen explícitamente:

• In-scope domains: subdominios y aplicaciones que puedes probar.
• Out-of-scope: sistemas de terceros, infraestructura compartida, servicios no listados.
• Safe harbor: protección legal siempre que operes dentro de las reglas del programa.

Algunos programas especifican techos de solicitudes (rate limits), horarios permitidos, o métodos prohibidos. Si el programa dice «no automated scanning», la rotación de proxies no te da permiso para escanear — significa que no debes escanear, punto.

Contratos de pentest

En engagements comerciales, el contrato define el scope técnico y temporal. Verifica siempre:

• Lista exacta de IPs, dominios y subdominios incluidos.
• Métodos permitidos (¿scanning activo? ¿fuzzing agresivo?).
• Ventana temporal de pruebas.
• Procedimientos de notificación ante hallazgos críticos.

Si tienes dudas, pregunta al cliente o al programa. Un falso positivo no vale una demanda.

Proxies residenciales vs datacenter vs móvil para pentesting

No todos los proxies son iguales para investigación de seguridad. La elección afecta directamente tu huella de tráfico y la probabilidad de ser bloqueado.

Para la mayoría de flujos de descubrimiento de activos web con proxies, los proxies residenciales ofrecen el mejor balance entre stealth y rendimiento. Los datacenter son útiles para verificaciones puntuales rápidas, pero los WAF modernos (Cloudflare, Akamai, Imperva) los detectan fácilmente.

Descubrimiento de subdominios distribuido con IPs residenciales

La enumeración de subdominios es típicamente la primera fase de reconocimiento. Herramientas como amass y subfinder consultan docenas de fuentes pasivas (certificados transparency, DNS aggregators, search engines). El problema: muchas de estas fuentes aplican rate limiting por IP.

Amass con proxy upstream

Amass soporta configuración de proxy HTTP a través de variables de entorno o su archivo de configuración. Con un proxy residencial rotativo, cada solicitud de resolución DNS o consulta API sale desde una IP diferente:

# Configurar proxy residencial rotativo para amass
export HTTP_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080
export HTTPS_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080

# Enumeración pasiva distribuida
amass enum -passive -d target.com -o subdomains_passive.txt

# Enumeración activa con resolución DNS distribuida
amass enum -active -d target.com -o subdomains_active.txt

La bandera -passive consulta fuentes OSINT sin tocar directamente la infraestructura del objetivo — ideal para mantener un perfil bajo. La bandera -active añade resolución DNS y conexiones directas, donde la rotación de IPs se vuelve crítica para evitar bloqueos en nameservers con rate limiting.

Subfinder: enumeración pasiva sigilosa

Subfinder es puramente pasivo — no toca la infraestructura del objetivo. Sin embargo, las APIs que consulta (Shodan, Censys, VirusTotal, SecurityTrails) sí aplican rate limits. Un proxy residencial rotativo evita throttling:

# Subfinder con proxy residencial
export HTTP_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080
export HTTPS_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080

subfinder -d target.com -all -o subfinder_results.txt

Con la bandera -all, subfinder consulta todas las fuentes disponibles. Sin rotación de IP, es casi garantizado que al menos una API te throttleará a mitad del proceso.

Por qué la geolocalización importa en OSINT

Algunas fuentes OSINT devuelven resultados diferentes según la IP de origen. Shodan y Censys, por ejemplo, pueden mostrar datos distintos a IPs estadounidenses vs europeas. Con ProxyHat puedes especificar país:

• user-country-US — resultados desde perspectiva US.
• user-country-DE — resultados desde perspectiva alemana.
• user-country-JP — resultados desde perspectiva japonesa.

Esto es especialmente útil cuando el objetivo usa CDN con geo-routing: un subdominio puede resolver a diferentes IPs según tu ubicación.

Flujos de descubrimiento de activos con rotación de proxies

Una vez tienes los subdominios, el siguiente paso es descubrir contenido, endpoints y configuraciones. Aquí es donde el descubrimiento de activos web con proxies se vuelve indispensable.

DNS brute-forcing distribuido

El brute-forcing DNS (probar miles de posibles subdominios contra nameservers) es una de las operaciones más susceptibles a rate limiting. Los nameservers autoritativos pueden bloquear tu IP tras unos cientos de queries.

Con un proxy residencial rotativo, cada query DNS puede salir desde una IP diferente, distribuyendo la carga entre cientos de residencias:

# DNS brute-forcing con amass y rotación residencial
# El proxy rotativo asigna una IP nueva por solicitud
export HTTP_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080

# Usar resolución DNS a través del proxy
amass enum -brute -d target.com -rf resolvers.txt -o brute_results.txt

# Alternativa: dnsx con proxy para resolución masiva
cat subdomains.txt | dnsx -r resolvers.txt -proxy http://user-country-US:PASSWORD@gate.proxyhat.com:8080 -resp -a -o dns_resolved.txt

Content discovery con ffuf y gobuster

El fuzzing de directorios y archivos es donde más se nota la diferencia entre usar y no usar proxies residenciales. Un WAF como Cloudflare bloqueará intentos de fuzzing desde IPs datacenter en minutos. Con IPs residenciales rotativas, cada solicitud parece venir de un usuario diferente.

ffuf con proxy residencial:

# Fuzzing de directorios con ffuf + proxy residencial rotativo
ffuf -u https://target.com/FUZZ \
  -w /usr/share/seclists/Discovery/Web-Content/common.txt \
  -x http://user-country-US:PASSWORD@gate.proxyhat.com:8080 \
  -mc 200,301,302,403 \
  -t 50 \
  -rate 100 \
  -o ffuf_results.json

# Fuzzing de subdominios virtuales (vhost)
ffuf -u https://target.com -H "Host: FUZZ.target.com" \
  -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
  -x http://user-country-US:PASSWORD@gate.proxyhat.com:8080 \
  -mc 200,301 \
  -t 30 \
  -rate 50

Notas importantes sobre estos comandos:

• -t 50: 50 hilos concurrentes. Cada hilo obtiene una IP residencial diferente a través del proxy rotativo.
• -rate 100: 100 solicitudes por segundo. Respeta los límites del programa.
• -mc: filtra solo los códigos de estado relevantes.
• El flag -x en ffuf especifica el proxy URL.

Gobuster con proxy:

# Gobuster dir mode con proxy residencial
gobuster dir -u https://target.com \
  -w /usr/share/seclists/Discovery/Web-Content/common.txt \
  -p http://user-country-US:PASSWORD@gate.proxyhat.com:8080 \
  -t 30 \
  -s "200,301,302,403" \
  --delay 10ms

Gobuster usa el flag -p para especificar un archivo de proxies o una URL de proxy. Con un proxy rotativo como ProxyHat, una sola URL genera IPs diferentes automáticamente.

Mezcla de tráfico de escáner: Burp Suite + proxy residencial upstream

Para pruebas manuales y semiautomatizadas, Burp Suite es la herramienta estándar. Pero cuando Burp envía cientos de solicitudes desde una sola IP, los WAF lo detectan rápidamente. La solución: configurar un proxy residencial upstream.

Configuración en Burp Suite Professional

1. Ve a Project Options → Connections → Upstream Proxy Servers.
2. Añade una regla para el destino del scope.
3. Configura el proxy: gate.proxyhat.com:8080.
4. Establece autenticación: user-country-US:PASSWORD.
5. Marca «Use for all destinations» si quieres que todo el tráfico pase por el proxy.

Con esta configuración, cada solicitud de Burp (Scanner, Intruder, Repeater) sale a través de una IP residencial diferente. El WAF del objetivo ve tráfico que parece de usuarios legítimos navegando, no de un escáner automatizado.

Optimización de Intruder con rotación

Los ataques de Intruder son especialmente propensos a bloqueos. Configura:

• Throttle: 50-100 ms entre solicitudes (depende del scope).
• Request count: limita el número total según las reglas del programa.
• Payload encoding: usa las opciones de encoding de Burp para variar firmas de solicitud.

Sessions sticky para flujos multi-paso

Algunas pruebas requieren mantener la misma IP a través de múltiples solicitudes (por ejemplo, un flujo de login → dashboard → settings). ProxyHat soporta sesiones sticky:

# Sesión sticky: misma IP residencial durante la sesión
http://user-session-abc123-country-US:PASSWORD@gate.proxyhat.com:8080

El identificador session-abc123 garantiza que todas las solicitudes con ese ID usen la misma IP residencial. Cambia el ID para rotar a una nueva IP.

Etiqueta de rate limiting: respeta los límites del scope

La rotación de proxies no es licencia para enviar solicitudes sin restricción. Muchos programas de bug bounty especifican techos explícitos:

• «No more than 100 requests per minute» — algunos programas lo indican explícitamente.
• «No aggressive automated scanning» — fuzzing ligero OK, scanning masivo no.
• «Do not affect availability» — si tu testing causa degradación, estás fuera de scope.

Buenas prácticas de rate limiting

• Comienza conservador: 10-50 solicitudes por segundo, ajusta según respuesta del servidor.
• Monitorea respuestas: si ves 429 (Too Many Requests) o 403 crecientes, reduce la tasa inmediatamente.
• Usa delays aleatorios: los patrones regulares son detectables. Añade jitter: -rate 50 en ffuf, --delay 50ms-200ms en gobuster.
• Distribuye temporalmente: si el scope es amplio, divide el escaneo en ventanas de tiempo.
• Documenta tus tasas: si un programa pregunta, poder demostrar que respetaste límites es tu mejor defensa.

¿Cuándo la rotación de proxies ayuda con rate limiting?

La rotación distribuye tu tráfico entre muchas IPs, pero no aumenta la capacidad total del servidor objetivo. Si el servidor puede manejar 1000 rps y envías 2000 rps distribuidos en 100 IPs, sigues sobrecargándolo. La rotación evita bloqueos por IP, pero la cortesía de rate limiting sigue siendo tu responsabilidad.

OSINT y atribución: por qué los investigadores necesitan proxies

Más allá del pentesting activo, los proxies residenciales para bug bounty son esenciales para la fase de OSINT:

• Evitar atribución al objetivo: si estás investigando una empresa, no quieres que vea tu IP corporativa o personal en sus logs. Un proxy residencial oculta tu identidad real.
• Acceso a contenido geo-restringido: algunos sitios muestran contenido diferente según la ubicación. Un proxy en el país del objetivo te da la vista correcta.
• Consultas a múltiples fuentes sin throttling: las APIs OSINT (Shodan, Censys, WHOIS) limitan por IP. Rotar IPs maximiza tus consultas.
• Protección de tu infraestructura: si tu IP se expone, el objetivo podría bloquearte o contrainvestigarte.

Flujo de OSINT con proxies

1. Configura tu proxy residencial con la geolocalización del objetivo.
2. Ejecuta enumeración pasiva (subfinder, amass passive) a través del proxy.
3. Consulta APIs OSINT rotando países para obtener perspectivas diferentes.
4. Verifica subdominios con resolución DNS distribuida.
5. Accede a sitios web del objetivo desde la IP residencial para ver contenido real.

Escaneo distribuido de vulnerabilidades

Para escaneo de vulnerabilidades automatizado (Nuclei, Nikto, httpx), la rotación de proxies residenciales ofrece dos ventajas: evitar bloqueos y distribuir la carga.

Nuclei con proxy residencial

# Nuclei con proxy residencial rotativo
export HTTP_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080
export HTTPS_PROXY=http://user-country-US:PASSWORD@gate.proxyhat.com:8080

# Escaneo de vulnerabilidades con templates específicos
nuclei -l targets.txt -t cves/ -t vulnerabilities/ \
  -severity critical,high,medium \
  -rate-limit 100 \
  -bulk-size 25 \
  -o nuclei_results.txt

Nuclei respeta las variables de entorno HTTP_PROXY/HTTPS_PROXY. Con -rate-limit 100 limitas a 100 solicitudes por segundo, y -bulk-size 25 controla la concurrencia de templates.

Verificación de puertos con httpx

# httpx con proxy para verificación masiva de subdominios
cat subdomains.txt | httpx \
  -proxy http://user-country-US:PASSWORD@gate.proxyhat.com:8080 \
  -status-code -title -tech-detect \
  -rate-limit 50 \
  -threads 20 \
  -o httpx_results.txt

Consideraciones éticas y legales

Lo que SÍ puedes hacer

• Enumerar subdominios dentro del scope del programa.
• Descubrir endpoints y contenido accesible públicamente.
• Probar vulnerabilidades autorizadas dentro de los métodos permitidos.
• Usar proxies para proteger tu identidad mientras operas legalmente.

Lo que NO puedes hacer

• Escanear infraestructura fuera del scope (third-party CDN, hosting compartido).
• Usar rotación de proxies para evadir bloqueos que indican «no escanee esto».
• Realizar DoS accidental o intencionalmente bajo la justificación de «testing».
• Acceder a datos de otros usuarios o cuentas que no son de tu propiedad.
• Continuar testing después de que el programa lo revoque.

GDPR, CCPA y datos personales

Si tu testing implica acceder a datos personales (incluso accidentalmente), debes considerar regulaciones de privacidad. Los programas de bug bounty suelen tener cláusulas de safe harbor, pero la protección no es absoluta:

• No almacenes datos personales más de lo necesario para demostrar el hallazgo.
• Reporta inmediatamente si accedes a datos de otros usuarios.
• Elimina cualquier dato personal una vez validado el reporte.

Métricas de rendimiento para pentesting con proxies

Cuando eliges un proveedor de proxies para investigación de seguridad, estas métricas importan:

• Tasa de éxito: porcentaje de solicitudes que no reciben error de proxy. ProxyHat mantiene tasas superiores al 99% en pools residenciales.
• Latencia: proxies residenciales añaden 50-200ms por solicitud. Planifica tus rate limits considerando esta latencia.
• Concurrencia: cuántas conexiones simultáneas soporta el pool. Para escaneo distribuido, necesitas al menos 50-100 conexiones concurrentes.
• Disponibilidad del pool: cuántas IPs únicas están disponibles. Más IPs = menos probabilidad de reutilización = menos detección.
• Geolocalización: si el objetivo usa geo-routing, necesitas IPs en ubicaciones específicas.

Conclusiones y próximos pasos

La rotación de proxies residenciales es una herramienta poderosa para pentesters y bug bounty hunters, pero es exactamente eso — una herramienta. No reemplaza el juicio ético ni la adherencia al scope. Úsala para ser más efectivo dentro de los límites autorizados, no para expandirte más allá de ellos.

Si estás listo para integrar proxies residenciales en tu flujo de pentesting:

1. Revisa las reglas de tu programa de bug bounty o contrato de pentest.
2. Configura tu proxy residencial en ProxyHat con la geolocalización apropiada.
3. Comienza con enumeración pasiva (amass, subfinder) a través del proxy.
4. Avanza a content discovery (ffuf, gobuster) con rate limits conservadores.
5. Documenta tus tasas de solicitud y resultados.

Para más información sobre casos de uso de proxies en investigación de seguridad, consulta nuestros artículos sobre web scraping y SERP tracking, o explora las ubicaciones disponibles de ProxyHat.

Puntos clave

• La rotación de proxies residenciales es legal y ética solo dentro de scope autorizado — bug bounty con safe harbor o contratos de pentest firmados.
• Los proxies residenciales evitan bloqueos WAF porque cada solicitud parece de un usuario legítimo, no de un datacenter.
• Amass y subfinder soportan proxies vía variables de entorno HTTP_PROXY/HTTPS_PROXY.
• ffuf y gobuster aceptan proxies directamente con flags -x y -p respectivamente.
• Burp Suite Professional permite configurar un upstream proxy residencial en Project Options → Connections.
• La rotación de IPs no aumenta la capacidad del servidor — respeta los rate limits del programa.
• Las sesiones sticky (session-abc123) mantienen la misma IP para flujos multi-paso.
• Documenta siempre tus tasas de solicitud y métodos como defensa ante preguntas del programa.