HIGIENE DE EVIDÊNCIAS — Disciplina de Captura e Redação de PoC

Use esta habilidade ANTES de capturar qualquer captura de tela, exportar qualquer HAR ou anexar qualquer evidência a uma submissão de bug-bounty. Ela detecta os erros mais comuns de higiene de evidências que causam vazamento de cookies, compartilhamento de PII sem consentimento ou capturas de tela inadequadas para triagem.

O princípio central: Evidências de bug-bounty servem para convencer um triador. Qualquer coisa além disso — cookies ativos, PII de usuários reais, IDs de rastreamento internos que não são úteis — não deve estar na evidência.

1. Duas Categorias de Dados Sensíveis

Cada artefato de PoC (captura de tela, HAR, requisição HTTP bruta, transcrição de terminal) potencialmente contém dados que precisam de tratamento diferente.

2. Protocolo de Redação de Cookies

2.1 O que deve ser mascarado

O valor do cookie de sessão é o segredo de maior valor em qualquer PoC. Mascare:

• O cookie de sessão (authn, session, sid, __Secure-id, etc. — o nome varia por alvo)
• csrf-token se estiver vinculado à sua sessão
• Cabeçalhos Authorization (tokens Bearer, JWT)
• Valores de cabeçalho de requisição Cookie para qualquer cookie que contenha sessão
• Valores de cabeçalho de resposta Set-Cookie para qualquer cookie que contenha sessão

2.2 O que é seguro deixar visível

• Cookies do Cloudflare (__cf_bm, _cfuvid) — estes são de gerenciamento de bots, não contêm sessão
• Cookies de analytics (ajs_anonymous_id, _ga)
• IDs de correlação de rastreamento (x-datadog-trace-id, x-request-id)
• Cabeçalhos de servidor / framework (Server: cloudflare, X-Frame-Options)
• Seu e-mail/UID da conta de teste (conforme a seção de alias do Bugcrowdninja em bugcrowd-reporting)

2.3 Métodos de redação (classificados por praticidade)

Método A — Não capture os cookies em primeiro lugar (preferível quando possível)

• Para PoCs no Console do DevTools: use credentials: 'include' para que o navegador envie os cookies automaticamente. A saída do Console não repetirá o cookie. Capture a saída do Console, nunca o painel de Headers da aba Network.
• Para PoCs no Burp Repeater: arraste o divisor do painel inferior de requisição/resposta para BAIXO para ocultar o corpo da requisição antes de capturar a tela. Capture apenas a tabela de Resultados para execuções do Intruder.

Método B — Barra preta em editor de imagem (quando a captura inevitavelmente inclui cookies)

• macOS: Abra a captura de tela no Preview → Tools → Annotate → Rectangle → defina a cor de preenchimento para preto → arraste o retângulo sobre o valor do cookie → salve
• Windows: Use as ferramentas de anotação do Snip & Sketch ou qualquer editor de imagem (Paint.NET, etc.)
• O próprio Burp: no Proxy do Burp → Match and Replace, você pode redigir preventivamente os valores dos cookies para strings de placeholder antes de capturar a tela

Método C — Encontrar/substituir em texto bruto (para arquivos HAR, transcrições de terminal)

• Veja §4 para os comandos jq

2.4 Checklist pré-captura de tela

Antes de clicar em Capturar:

[ ] Network tab Headers panel is collapsed or out of frame
[ ] Burp's Request panel is hidden behind the divider drag
[ ] No "Copy as cURL" output is visible on screen
[ ] DevTools Application → Storage → Cookies tab is closed
[ ] Browser URL bar doesn't show a session token in query string (rare but possible)

Após capturar:

[ ] Open the screenshot at full resolution before saving
[ ] Search for the session cookie name substring in any visible text — if present, redact
[ ] Search for the literal first 6 chars of your cookie value — if present, redact
[ ] Compare to the previous PoC screenshot in the same engagement — same redaction discipline

3. Protocolo de Barra Preta de PII

…