⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

hunt-dispatch

Carregador de conjuntos de habilidades para /hunt. Um conceito (quais habilidades carregar), um lugar.

contexto do engajamento

cada habilidade carregada abaixo opera sob um quadro, e isso se mantém para toda a sessão:

• autorizado e delimitado pelo escopo. o operador afirmou autorização por escrito para o escopo nomeado quando invocou /hunt. os testes permanecem dentro dele. um host fora do escopo encerra a execução — ele não a amplia.
• a saída é uma descoberta, não uma exploração. o entregável é uma prova reproduzível de que um defeito existe, escrito de forma que o proprietário possa remediá-lo. o suficiente para demonstrar o impacto; nada mais.
• a remediação é o ponto. essas habilidades existem para que os defeitos sejam corrigidos pelas pessoas que os possuem.

este quadro é declarado aqui porque é o ponto de estrangulamento por onde toda execução de /hunt passa antes que qualquer habilidade hunt-* seja carregada. não é um prompt e não precisa de resposta.

contrato de invocação:

hunt-dispatch mode=redteam
hunt-dispatch mode=wapt box=blackbox
hunt-dispatch mode=wapt box=greybox

passo 0 — linha de base 404 (TODOS os modos, obrigatório, antes de qualquer enumeração)

execute isso para cada host antes de sondar um único caminho. ele leva uma requisição por host e é a forma mais barata de eliminar falsos positivos em todo o kit de ferramentas.

muitos ambientes modernos (front-ends SPA / Next.js / React atrás de um CDN) retornam HTTP 200 com o shell da aplicação para caminhos que não existem. um código de status portanto, não prova nada. sem um controle registrado, /.well-known/security.txt, /api/revalidate, /__nextjs_original-stack-frame e /__nextjs_launch-editor todos "existem" em um host onde nenhum deles o faz.

for H in $HOSTS; do
  # two independent bogus paths — if they agree, that IS the soft-404 signature
  for P in /zzz-nope-12345 /qqq-other-98765; do
    printf "%-34s %-20s " "$H" "$P"
    curl -sk -m 12 -o /tmp/b -w "%{http_code} %{size_download} " "https://$H$P"
    shasum /tmp/b | cut -c1-12
  done
done

registre por host: status, comprimento em bytes, hash do corpo. esse trio é o controle.

a regra: nenhum caminho é "encontrado" até que sua resposta difira do controle. um 200 que corresponde ao hash de controle é um soft 404. um 404 cujo corpo difere do controle pode ser um manipulador real. compare corpos, nunca apenas códigos de status.

redescubra a linha de base por host — ela difere em um ambiente. um engajamento viu dois hosts servindo a mesma aplicação retornarem corpos soft-404 de tamanhos drasticamente diferentes, então um controle retirado de um host teria sido inútil no outro. redescubra-o também por profundidade de caminho, onde um framework renderiza fallbacks diferentes para /x e /a/b/x.

páginas de borda não são descobertas de origem: um corpo "Acesso Negado" / "Requisição Inválida" de um CDN significa que a requisição nunca chegou à aplicação. classifique-o como comportamento de borda e siga em frente.

passo 1 — impressão digital (apenas red team)

imprima a impressão digital de cada host ativo, não apenas o ápice. para alvos multi-host / curinga, o roteamento da plataforma-habilidade deve ser impulsionado por todos os banners, não por um host.

use -L (seguir redirecionamentos) — sinais de provedor de identidade e CDN (login.microsoftonline.com, okta, auth0, banners de CDN) rotineiramente ficam atrás de um 30x, então um curl -sI sem redirecionamento perde silenciosamente essas correspondências. recupere tanto os cabeçalhos quanto o HTML da página de destino (__NEXT_DATA__, VIEWSTATE, laravel_session, Ignition, marcadores de framework vivem no corpo, não nos cabeçalhos).

HOSTS="$TARGET"
if [ -f "recon/$TARGET/live-hosts.txt" ]; then
  HOSTS=$(cat "recon/$TARGET/live-hosts.txt")
fi
for H in $HOSTS; do
  echo "=== $H ==="
  # -L segue redirecionamentos, -D - despeja cabeçalhos, -o corpo; limita o corpo para manter o contexto pequeno

…