Redacción de informes excelentes

Encontrar una vulnerabilidad es solo la mitad del trabajo. El informe es lo que realmente entrega y lo que determina su recompensa. Una vulnerabilidad excelente con un informe deficiente puede recibir una clasificación inferior o ser rechazada.

• Los triagers leen decenas de informes al día
• Un informe claro y reproducible les ahorra tiempo y genera confianza
• Los mejores informes reciben clasificaciones de gravedad más altas y pagos más rápidos

Considere la redacción de informes una competencia fundamental, no algo secundario.

Un informe sólido tiene una estructura predecible que el triager puede revisar rápidamente:

• Título — tipo de vulnerabilidad + activo afectado + impacto
• Resumen — una o dos frases
• Pasos para reproducirla — numerados y exactos
• Impacto — qué obtiene un atacante
• Prueba de concepto — solicitudes, capturas de pantalla y vídeo
• Remediación — cómo solucionarla

El título es la primera impresión. Hágalo específico y centrado en el impacto, no vago.

Un buen título expresa el tipo de vulnerabilidad, su ubicación y su consecuencia.

La sección más importante son los pasos para reproducirla. El triager debe poder seguirlos exactamente y ver la vulnerabilidad. Sea preciso.

Numere cada paso e incluya las URL, los payloads y los resultados esperados y reales exactos.

La gravedad y, por tanto, la recompensa dependen del impacto. Explique concretamente qué puede conseguir un atacante.

• ¿De quién se exponen los datos y qué cantidad?
• ¿Puede provocar la toma de control de una cuenta, RCE o pérdidas económicas?
• ¿Se requiere autenticación? ¿Hay algún requisito previo?

Cuantifíquelo: «cualquier usuario puede leer las 200.000 facturas iterando los ID» es mucho más contundente que «filtración de datos».

Una PoC elimina cualquier duda. Incluya las solicitudes y respuestas sin procesar, además de pruebas visuales.

• Solicitud y respuesta HTTP completas (censure sus propios secretos)
• Capturas de pantalla que muestren el resultado
• Un vídeo breve para vulnerabilidades complejas de varios pasos

En el caso de vulnerabilidades automatizables, un script mínimo facilita enormemente la reproducción para el triager.

Muchos programas usan CVSS para asignar la gravedad. Comprender el vector le ayuda a justificar su clasificación y evitar disputas.

• Vector de ataque, complejidad, privilegios necesarios e interacción del usuario
• Impacto en la confidencialidad, integridad y disponibilidad

Proponga una puntuación CVSS razonada, pero deje que hablen las pruebas, no las cifras infladas.

Incluir una recomendación de corrección demuestra profesionalidad y ayuda al equipo a actuar con rapidez. Relacione la solución con la causa raíz.

• IDOR: aplique autorización a nivel de objeto (compruebe la propiedad en el servidor)
• XSS: codificación de salida según el contexto y una CSP estricta
• SSRF: permita únicamente hosts de salida incluidos en una lista de permitidos y bloquee las IP privadas o de enlace local

Una remediación concreta genera confianza y reputación.

Hay dos cosas que deterioran la calidad de sus hallazgos: los duplicados y los falsos positivos.

• Consulte primero los problemas conocidos del programa y sus propios informes anteriores
• Confirme que la vulnerabilidad funciona de forma fiable antes de enviarla
• No informe de hallazgos informativos que la política excluya

Un informe válido y bien fundamentado vale más que diez informes especulativos.

Después del envío, la comunicación profesional es importante.

• Responda rápidamente a las solicitudes de aclaración
• Mantenga la cortesía aunque no esté de acuerdo con la gravedad; argumente con pruebas
• No envíe spam ni exija una gestión más rápida

Una buena relación con el equipo de un programa puede llevar a invitaciones privadas y recompensas adicionales.

La divulgación debe respetar las reglas del programa y la ley.

• No publique detalles hasta que el programa autorice la divulgación
• No amenace nunca con publicar una vulnerabilidad para presionar por un pago; eso es extorsión
• Censure los datos de usuarios reales en su PoC y en las capturas de pantalla

La divulgación responsable protege a los usuarios y le mantiene dentro del puerto seguro.

Ha aprendido a convertir sus hallazgos en informes que obtienen recompensas.

• Use una estructura clara: título, resumen, pasos reproducibles, impacto, PoC y remediación
• Redacte títulos centrados en el impacto y cuantifique las consecuencias
• Proporcione una prueba de concepto sólida y sin procesar
• Justifique la gravedad (por ejemplo, con CVSS) mediante pruebas, no con cifras infladas
• Proteja la calidad de sus hallazgos, comuníquese de forma profesional y divulgue de manera ética

Con esto completa la búsqueda de vulnerabilidades mediante bug bounty. Ahora sabe cómo elegir objetivos, ampliar el reconocimiento, encontrar vulnerabilidades esenciales y comunicarlas correctamente.