Escolha de alvos

Caça a recompensas por bugs consiste em encontrar e comunicar de forma responsável vulnerabilidades de segurança em sistemas cujos proprietários convidam à realização de testes, em troca de reconhecimento ou dinheiro. É invasão autorizada e legal.

• Os programas definem o que está dentro do escopo e o que é recompensado
• Plataformas como HackerOne, Bugcrowd e Intigriti hospedam esses programas
• As empresas também executam programas independentes

Escolher o alvo certo é a diferença entre ganhar recompensas e perder tempo.

O escopo define exatamente quais ativos você pode testar. Testar qualquer coisa fora do escopo é não autorizado, ineficaz e pode fazer com que você seja banido ou processado.

• Dentro do escopo — os domínios, apps e APIs que você pode atacar
• Fora do escopo — os ativos que você deve deixar em paz
• Vulnerabilidades excluídas — tipos de problemas que o programa não recompensará

Leia o escopo antes de fazer qualquer outra coisa.

Todo programa tem uma página de política. Trate-a como um contrato. Principais seções para estudar:

• Listas de ativos dentro e fora do escopo
• Faixas de recompensa por gravidade
• Regras de atuação (limites de taxa, nenhuma varredura automatizada etc.)
• Declaração de proteção para pesquisa realizada de boa-fé

Interpretar a política de forma errada é o erro mais comum de quem está começando.

A amplitude do escopo orienta sua estratégia.

• Escopo com curinga, como *.example.com, abrange todos os subdomínios, oferece uma superfície enorme e é excelente para caçadores focados em reconhecimento
• Escopo de ativo único, como app.example.com, é restrito e favorece testes manuais aprofundados

Curingas favorecem automação e amplitude; ativos únicos favorecem paciência e profundidade.

Existem dois tipos principais de programas:

• VDP (Vulnerability Disclosure Program) — aceita comunicações, mas oferece apenas reputação/agradecimentos
• Bug Bounty (BBP) — paga recompensas em dinheiro

VDPs são excelentes para iniciantes construírem reputação; programas remunerados são o objetivo quando você já tem experiência. Alguns caçadores usam VDPs para praticar em alvos reais sem riscos.

Os programas são públicos ou funcionam apenas por convite.

• Públicos — qualquer pessoa pode participar; há muita concorrência e as oportunidades mais fáceis já foram encontradas
• Privados — o convite é baseado em reputação e credibilidade; há muito menos concorrência

Construir um histórico em programas públicos gera convites para programas privados lucrativos, nos quais a superfície é mais nova.

Combine o alvo com seus pontos fortes e sua paciência:

• Você é bom em lógica de apps web? Escolha apps SaaS complexos
• Gosta de automação? Escolha escopos amplos com curingas
• Tem experiência com dispositivos móveis? Escolha programas que incluam apps no escopo

Considere também a maturidade: um programa recém-criado provavelmente tem bugs fáceis, enquanto um programa maduro exige criatividade para encontrar o que os outros não encontraram.

As plataformas acompanham sua credibilidade (proporção entre comunicações válidas e inválidas) e seus pontos de reputação. Esses fatores controlam os convites privados e podem afetar os multiplicadores das recompensas.

• Enviar ruído (falsos positivos) prejudica sua credibilidade
• Comunicações válidas e de qualidade aumentam sua reputação

Proteja sua credibilidade: comunique apenas bugs que você confirmou e cujo impacto consegue demonstrar.

As recompensas aumentam conforme a gravidade, geralmente distribuídas em níveis semelhantes aos do CVSS. Uma tabela típica:

• Crítica (RCE, bypass de autenticação) — maiores pagamentos
• Alta (SQLi, SSRF, controle da conta)
• Média (XSS armazenado, IDOR)
• Baixa (redirecionamento aberto, pequeno vazamento de informações)

Priorize os tipos de ativos associados a bugs de alto impacto que você sabe encontrar.

Caçadores sérios mantêm anotações por programa: alterações no escopo, ativos testados e pistas para revisitar. O escopo não é estático; novos ativos são adicionados e bugs antigos reaparecem.

Um simples arquivo de acompanhamento mantém tudo organizado e evita testar novamente a mesma coisa.

O convite para o programa de recompensas é sua única autorização. Nunca ultrapasse os limites dele.

• Teste apenas ativos dentro do escopo
• Respeite os limites de taxa e evite testes que causem interrupções
• Nunca acesse, modifique ou extraia dados de outros usuários além do necessário para comprovar o impacto
• Não divulgue publicamente antes de o programa permitir

As proteções para pesquisas de boa-fé aplicam-se apenas a testes dentro do escopo e realizados de boa-fé.

Você aprendeu a escolher alvos de recompensas por bugs com critério.

• Escopo é um contrato; leia-o antes de testar qualquer coisa
• Escopos com curingas favorecem reconhecimento e amplitude; ativos únicos favorecem profundidade
• Diferencie VDP (sem pagamento) de programas de recompensas remunerados
• Programas públicos constroem a reputação que libera o acesso a programas privados mais novos
• Proteja sua credibilidade comunicando apenas bugs confirmados e de impacto

Em seguida, ampliaremos o reconhecimento para encontrar mais superfície de ataque.