Detección de fallos comunes

Un puñado de clases de vulnerabilidades concentra la mayoría de las recompensas de bug bounty porque son comunes y tienen un gran impacto. Domine primero estas tres:

• IDOR — acceder a los datos de otros usuarios mediante identificadores predecibles
• XSS — inyectar un script en una página
• SSRF — hacer que el servidor obtenga URL elegidas por el atacante

En esta lección aprenderá a buscar cada una de forma metódica.

Insecure Direct Object Reference (IDOR) ocurre cuando una aplicación usa un identificador proporcionado por el usuario para obtener un objeto sin comprobar que dicho usuario sea su propietario.

Cambie el ID y acceda a los datos de otra persona. Es un fallo de control de acceso, no una inyección.

Para encontrar un IDOR, cree dos cuentas y compárelas. Cualquier elemento que haga referencia a un objeto mediante un ID es un posible candidato.

• Capture una solicitud de la cuenta A que obtenga los datos de A
• Repítala con la sesión de la cuenta B, pero usando el ID del objeto de A
• Si B ve los datos de A, se trata de un IDOR

Busque ID en URL, cuerpos JSON, encabezados e incluso en formatos base64 o UUID.

Cross-Site Scripting (XSS) consiste en inyectar JavaScript que se ejecuta en el navegador de otro usuario. Hay tres tipos principales:

• Reflejado — el payload se devuelve en la respuesta inmediata
• Almacenado — el payload se guarda y se sirve a otros usuarios (es el de mayor impacto)
• Basado en DOM — el JS del cliente escribe de forma insegura la entrada del atacante en el DOM

Primero inyecte un marcador único para ver dónde y cómo se refleja su entrada; después cree un payload que encaje en el contexto (cuerpo HTML, atributo o script).

El contexto determina qué payload permite salir del contexto y ejecutarse.

Un simple alert(1) demuestra la ejecución, pero los revisores quieren conocer el impacto. Demuestre qué podría robar o hacer realmente un atacante.

• Lea un token CSRF o información de sesión accesible para JS
• Muestre document.domain para demostrar el origen
• En el caso de XSS almacenado, demuestre que se ejecuta en la cuenta de una víctima

No robe nunca sesiones de usuarios reales; limítese a demostrar la capacidad.

SSRF, en el contexto de un bug bounty, consiste en encontrar una función que obtenga una URL bajo su control. Algunos candidatos habituales son:

• URL de Webhook y URL de callback
• Generadores de imágenes o PDF que obtienen recursos remotos
• Funciones de vista previa de URL o de expansión de enlaces
• Funciones de importación desde una URL

Apúntelos a endpoints internos o de metadatos para demostrar el impacto.

Cuando la respuesta no muestra el contenido obtenido, use un servidor fuera de banda para confirmar que el objetivo realizó una solicitud. Una llamada de retorno de interacción demuestra un SSRF ciego.

Herramientas como Burp Collaborator o interactsh le proporcionan una URL única que registra las conexiones.

Las tres clases de vulnerabilidades se encuentran interceptando y manipulando solicitudes. Un proxy de interceptación es la herramienta principal.

• Burp Suite u OWASP ZAP para capturar o modificar el tráfico
• Repeater para repetir y ajustar solicitudes individuales
• Intruder/fuzzer para probar muchos ID o payloads

Aprender a fondo a usar su proxy le será más útil que cualquier técnica aislada.

Las recompensas más grandes proceden de encadenar vulnerabilidades. Una vulnerabilidad de gravedad media puede convertirse en crítica al combinarla con otra.

• Un SSRF que alcanza metadatos de la nube puede provocar el robo de credenciales y la toma de control de una cuenta
• Un IDOR que expone tokens puede llevar al compromiso total de una cuenta
• Un XSS almacenado en un panel de administración puede permitir tomar el control de una cuenta de administrador

Pregúntese siempre: ¿con qué se puede combinar esta vulnerabilidad?

Estas vulnerabilidades afectan a datos y usuarios reales. Actúe de forma ética:

• Use sus propias cuentas de prueba y no consulte datos de usuarios reales más allá de lo necesario para demostrar el problema
• Evite payloads de XSS almacenado que puedan ejecutarse para usuarios reales; limítelos a su propia cuenta
• En SSRF, no profundice en los sistemas internos; demuestre la capacidad básica y deténgase

Demostrar el impacto de forma responsable le mantiene dentro del puerto seguro.

Inicia sesión como el usuario B, repite una solicitud usando la sesión de B pero con el ID del objeto del usuario A, y recibe los datos privados de A. ¿De qué vulnerabilidad se trata?

Ha aprendido a buscar las tres clases de vulnerabilidades de mayor valor.

• IDOR: compare dos cuentas, manipule los ID de los objetos y compruebe la aplicación de la propiedad
• XSS: compruebe la reflexión, adapte el payload al contexto y demuestre el impacto real
• SSRF: encuentre funciones que obtengan URL y confirme fuera de banda los casos ciegos
• Encadene vulnerabilidades para lograr un impacto crítico (por ejemplo, SSRF hacia metadatos de la nube)
• Use un proxy de interceptación y manténgase dentro del alcance

A continuación: convertir sus hallazgos en informes que obtengan recompensas.