Elección de objetivos

Bug bounty hunting consiste en encontrar y notificar de forma responsable vulnerabilidades de seguridad en sistemas cuyos propietarios invitan a probarlos, a cambio de reconocimiento o dinero. Es hacking legal y autorizado.

• Los programas definen qué está dentro del alcance y qué se recompensa
• Plataformas como HackerOne, Bugcrowd e Intigriti los alojan
• Las empresas también gestionan programas independientes

Elegir el objetivo adecuado marca la diferencia entre obtener recompensas y perder el tiempo.

El alcance define exactamente qué activos puede probar. Probar cualquier elemento fuera del alcance no está autorizado, resulta ineficaz y puede provocar que se le expulse o se le procese.

• Dentro del alcance: los dominios, aplicaciones y API que puede atacar
• Fuera del alcance: los activos que debe dejar intactos
• Vulnerabilidades excluidas: los tipos de problemas que el programa no recompensará

Lea el alcance antes de hacer cualquier otra cosa.

Todos los programas tienen una página con su política. Trátela como un contrato. Estudie estas secciones clave:

• Listas de activos dentro y fuera del alcance
• Intervalos de recompensa según la gravedad
• Reglas de participación (límites de frecuencia, ausencia de escaneo automatizado, etc.)
• Declaración de puerto seguro que protege la investigación de buena fe

Interpretar mal la política es el error más común de los principiantes.

La amplitud del alcance determina su estrategia.

• El alcance comodín, como *.example.com, cubre todos los subdominios: ofrece una superficie enorme y es ideal para investigadores centrados en el reconocimiento
• El alcance de un único activo, como app.example.com, es reducido y recompensa las pruebas manuales exhaustivas

Los comodines favorecen la automatización y la amplitud; los activos individuales, la paciencia y la profundidad.

Existen dos tipos principales de programas:

• VDP (Vulnerability Disclosure Program): acepta informes, pero solo ofrece reputación o agradecimientos
• Bug Bounty (BBP): paga recompensas económicas

Los VDP son ideales para que los principiantes construyan su reputación; los programas remunerados son el objetivo una vez que se tienen las habilidades necesarias. Algunos investigadores utilizan VDP para practicar en objetivos reales sin riesgo.

Los programas pueden ser públicos o solo mediante invitación.

• Públicos: cualquiera puede participar; hay mucha competencia y las vulnerabilidades fáciles ya suelen estar descubiertas
• Privados: se accede por invitación según la reputación y la calidad demostrada; hay mucha menos competencia

Construir un historial en programas públicos permite recibir invitaciones a programas privados lucrativos, donde la superficie está menos explorada.

Adapte el objetivo a sus fortalezas y a su nivel de paciencia:

• ¿Se le da bien la lógica de las aplicaciones web? Elija aplicaciones SaaS complejas
• ¿Le encanta la automatización? Elija alcances comodín amplios
• ¿Tiene conocimientos de dispositivos móviles? Elija programas que incluyan aplicaciones en su alcance

Considere también la madurez: un programa recién creado probablemente tenga vulnerabilidades fáciles, mientras que uno maduro requiere creatividad para encontrar lo que otros no detectaron.

Las plataformas registran su calidad (proporción de informes válidos frente a inválidos) y sus puntos de reputación. Estos factores condicionan las invitaciones privadas y pueden afectar a los multiplicadores de recompensas.

• Enviar ruido (falsos positivos) perjudica su calidad
• Los informes válidos y de calidad aumentan su reputación

Proteja su calidad: informe únicamente de vulnerabilidades confirmadas cuyo impacto pueda demostrar.

Las recompensas aumentan según la gravedad, normalmente asignada a niveles similares a los de CVSS. Una tabla habitual:

• Crítica (RCE, elusión de autenticación): recompensas más altas
• Alta (SQLi, SSRF, toma de control de cuentas)
• Media (XSS almacenado, IDOR)
• Baja (redirección abierta, fuga menor de información)

Diríjase a los tipos de activos que se correspondan con vulnerabilidades de gran impacto que se le dé bien encontrar.

Los investigadores serios toman notas de cada programa: cambios en el alcance, activos probados y pistas que deben revisarse. El alcance no es estático: se añaden activos nuevos y reaparecen vulnerabilidades antiguas.

Un archivo sencillo de seguimiento le ayuda a organizarse y evita volver a probar lo mismo.

La invitación al programa es su única autorización. No la exceda nunca.

• Pruebe únicamente activos dentro del alcance
• Respete los límites de frecuencia y evite las pruebas disruptivas
• No acceda, modifique ni extraiga nunca datos de otros usuarios más allá de lo necesario para demostrar el impacto
• No divulgue información públicamente antes de que el programa lo permita

Las protecciones de puerto seguro solo se aplican a pruebas de buena fe y dentro del alcance.

Ha aprendido a elegir objetivos de bug bounty de forma inteligente.

• El alcance es un contrato: léalo antes de probar cualquier cosa
• Los alcances comodín favorecen el reconocimiento y la amplitud; los activos individuales favorecen la profundidad
• Distinga entre VDP (sin remuneración) y los programas de recompensas remuneradas
• Los programas públicos construyen una reputación que permite acceder a programas privados menos explorados
• Proteja su calidad informando solo de vulnerabilidades confirmadas y con impacto

A continuación, ampliaremos el reconocimiento para encontrar más superficie de ataque.