Buscadores de Exploits: Herramientas esenciales para la fase de enumeración
Durante las labores de pentest y auditoría técnica, una de las tareas fundamentales en la etapa de enumeración es identificar componentes desactualizados y fallos conocidos, alineados con la categoría A06:2021 (Vulnerable and Outdated Components) de OWASP. Tradicionalmente, estas búsquedas se realizaban consultando manualmente repositorios como Exploit-DB, 0day.today o las alternativas que surgieron tras la desaparición del proyecto milw0rm.
Tabla de Contenido
Búsqueda centralizada en bases de datos de exploits
Consultar cada repositorio individualmente consume tiempo valioso durante una prueba de penetración. Para agilizar el proceso, reunimos aquí los buscadores especializados más efectivos y actualizados, listos para consultar de forma directa desde esta página:
1. Buscador Multifuente DragonJAR (Google Custom Search)
Filtra de manera simultánea en las principales fuentes públicas de exploits y avisos de seguridad indexables por Google:
2. Sploitus (Exploits y PoCs de GitHub)
Metabuscador especializado que indexa en tiempo real Exploit-DB, Packet Storm, 0day.today y pruebas de concepto comunitarias en GitHub:
3. Vulners Database (CVEs, Exploits y Boletines)
Base de datos masiva que correlaciona identificadores CVE con módulos de explotación (Metasploit, exploit-db) y boletines oficiales:
4. Exploit Database (Offensive Security)
El catálogo estándar de la industria mantenido por OffSec, verificado y clasificado por categorías de ataque:
5. Packet Storm Security
Repositorio histórico y continuamente actualizado con exploits, análisis técnicos, whitepapers y herramientas:
Consejos prácticos para buscar exploits en un Pentest
- Búsqueda por versión exacta: Evita términos genéricos. Si en la enumeración detectas
Apache 2.4.49oProFTPD 1.3.5, busca la cadena exacta para dar con exploits funcionales de inmediato. - Búsqueda por identificador CVE: Si tus herramientas de escaneo previo arrojan una vulnerabilidad formal, busca directamente por su identificador (ejemplo:
CVE-2021-41773) en Sploitus o Vulners para acceder al código de la PoC. - Entornos offline: Si estás realizando la auditoría en un entorno aislado sin salida a Internet, recuerda que puedes consultar la base de datos de Exploit-DB de forma local desde la terminal:
searchsploit apache 2.4.49
Fuentes de referencia y repositorios recomendados
Actualización 2026 — El ecosistema hoy: qué sigue vivo y qué cambió
A octubre de 2026 verifiqué uno por uno los recursos listados en este artículo y la noticia es buena: casi todos siguen operativos. Exploit-DB continúa como el catálogo canónico, con su Google Hacking Database (GHDB) integrada y mantenida por Offensive Security desde que Johnny Long la cedió en 2010. NVD, Vulners, Shodan CVEDB, Rapid7 DB, CXSecurity y 0day.today responden con normalidad. Sploitus también está vivo y activo: sigue indexando Exploit-DB, Packet Storm y pruebas de concepto de GitHub, con entradas registradas este mismo mes.
El único cambio relevante que debes anotar: Packet Storm Security se mudó de dominio y hoy opera en packetstorm.news (el dominio antiguo redirige allí automáticamente). Actualiza tus bookmarks. Y una nota sobre el buscador multifuente de esta página: está construido sobre Google Custom Search; si algún día deja de responder, los motores dedicados de la lista son la ruta directa, sin intermediarios.
A continuación se clasifican las fuentes vigentes más relevantes para la investigación de vulnerabilidades y exploits:
Repositorios directos de Exploits y PoCs
- Exploit Database: Repositorio canónico mantenido por Offensive Security.
- Packet Storm Security: Archivo continuo de exploits, advisories y herramientas.
- Sploitus: Metabuscador rápido de exploits y PoCs de GitHub.
- CXSecurity: Base de datos de vulnerabilidades y exploits (WLB).
Bases de datos de Vulnerabilidades y CVEs
- NVD (National Vulnerability Database): Registro formal de CVEs gestionado por el NIST.
- Vulners: Motor analítico de vulnerabilidades correlacionadas con exploits.
- Shodan CVEDB: Base de datos y API rápida de CVEs desarrollada por Shodan.
- Rapid7 DB: Catálogo de vulnerabilidades y módulos para el framework Metasploit.
Actualización 2026 — De buscar exploits a priorizar vulnerabilidades
Encontrar el exploit es solo la mitad del trabajo. En 2026 la pregunta que manda ya no es «¿existe una PoC?» sino «¿esto se está explotando en la calle?». Para responderla existe el catálogo KEV (Known Exploited Vulnerabilities) de CISA, que lista las vulnerabilidades con explotación confirmada en el mundo real; cruzarlo con tu enumeración vale más que cien PoCs sin contexto. De hecho, Sploitus ya aparece citado como fuente en los reportes mensuales de explotación en curso.
Dos hábitos que no cambian: verifica siempre la PoC en laboratorio antes de ejecutarla contra un objetivo —muchas están incompletas y algunas son directamente maliciosas—, y recuerda el límite legal: estos buscadores son para tus propios sistemas o para auditorías con autorización escrita. Una nota técnica: Google retiró el operador `cache:`, así que si necesitas versiones antiguas de una página, el camino es el Wayback Machine de Internet Archive.
Si tu empresa necesita saber qué vulnerabilidades son realmente explotables en su infraestructura —no solo recibir una lista de CVEs—, en DragonJAR realizamos auditorías de seguridad y pruebas de penetración profesionales en Colombia y toda Latinoamérica, con metodología rigurosa y resultados accionables: servicios de seguridad informática.
