Escrita de ótimos relatórios

Encontrar uma vulnerabilidade é apenas metade do trabalho. O relatório é o que você realmente entrega e o que determina sua recompensa. Uma ótima vulnerabilidade com um relatório ruim pode receber uma classificação inferior ou ser rejeitada.

• Os avaliadores leem dezenas de relatórios diariamente
• Um relatório claro e reproduzível economiza tempo e gera boa vontade
• Relatórios melhores recebem classificações de gravidade mais altas e pagamentos mais rápidos

Trate a redação de relatórios como uma competência essencial, não como algo secundário.

Um relatório sólido tem uma estrutura previsível que o avaliador consegue examinar rapidamente:

• Título — tipo de vulnerabilidade + ativo afetado + impacto
• Resumo — uma ou duas frases
• Etapas para reproduzir — numeradas e exatas
• Impacto — o que o invasor obtém
• Prova de conceito — solicitações, capturas de tela e vídeo
• Correção — como resolver o problema

O título é a primeira impressão. Torne-o específico e orientado ao impacto, não vago.

Um bom título informa o tipo de vulnerabilidade, o local e a consequência.

A seção mais importante é etapas para reproduzir. O avaliador precisa conseguir segui-las exatamente e ver a vulnerabilidade. Seja preciso.

Numere cada etapa e inclua URLs, cargas úteis e resultados esperados e reais exatos.

A gravidade e, portanto, o pagamento são determinados pelo impacto. Explique concretamente o que um invasor pode conseguir.

• De quem são os dados expostos e qual é a quantidade?
• Isso pode levar à tomada de conta, RCE ou perda financeira?
• É necessária autenticação? Há algum pré-requisito?

Quantifique: “qualquer usuário pode ler todas as 200 mil faturas iterando os IDs” é muito mais forte do que “vazamento de dados”.

Uma PoC elimina qualquer dúvida. Inclua as solicitações/respostas brutas e uma comprovação visual.

• Solicitação e resposta HTTP completas (oculte seus próprios segredos)
• Capturas de tela mostrando o resultado
• Um vídeo curto para vulnerabilidades complexas com várias etapas

Para vulnerabilidades automatizáveis, um script mínimo torna a reprodução trivial para o avaliador.

Muitos programas usam CVSS para atribuir a gravidade. Entender o vetor ajuda você a justificar sua classificação e evitar contestações.

• Vetor de ataque, complexidade, privilégios necessários e interação do usuário
• Impacto na confidencialidade, integridade e disponibilidade

Proponha uma pontuação CVSS com justificativa, mas deixe que as evidências, não números inflados, falem por si.

Incluir uma recomendação de correção demonstra profissionalismo e ajuda a equipe a agir rapidamente. Relacione a correção à causa raiz.

• IDOR: aplique autorização no nível do objeto (verifique a propriedade no servidor)
• XSS: codificação da saída consciente do contexto e uma CSP rigorosa
• SSRF: permita hosts de saída por uma lista de permissões e bloqueie IPs locais privados

Uma correção concreta constrói confiança e reputação.

Duas coisas prejudicam sua credibilidade: duplicatas e falsos positivos.

• Pesquise primeiro os problemas conhecidos do programa e seus próprios relatórios anteriores
• Confirme que a vulnerabilidade funciona de forma confiável antes de enviar o relatório
• Não reporte descobertas informativas excluídas pela política

Um relatório válido e bem comprovado é melhor do que dez especulativos.

Após o envio, a comunicação profissional é importante.

• Responda prontamente aos pedidos de esclarecimento
• Mantenha a educação mesmo que discorde da gravidade; argumente com evidências
• Não envie spam nem exija um tratamento mais rápido

Um bom relacionamento com a equipe de um programa pode levar a convites privados e recompensas adicionais.

A divulgação deve seguir as regras do programa e a lei.

• Não publique detalhes até que o programa autorize a divulgação
• Nunca ameace divulgar uma vulnerabilidade para pressionar por pagamento; isso é extorsão
• Oculte dados de usuários reais da sua PoC e das capturas de tela

A divulgação responsável protege os usuários e mantém você dentro do porto seguro.

Você aprendeu a transformar descobertas em relatórios que sejam recompensados.

• Use uma estrutura clara: título, resumo, etapas reproduzíveis, impacto, PoC e correção
• Escreva títulos orientados ao impacto e quantifique as consequências
• Forneça uma prova de conceito sólida e bruta
• Justifique a gravidade (por exemplo, com CVSS) usando evidências, não exageros
• Proteja sua credibilidade, comunique-se profissionalmente e divulgue de forma ética

Isso conclui a Caça a Recompensas por Vulnerabilidades. Agora você sabe escolher alvos, ampliar o reconhecimento, encontrar vulnerabilidades essenciais e relatá-las bem.