redteam-mindset

⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Quando usar esta habilidade

Ative quando:

• O escopo do engajamento disser "red team", "emulação de adversário", "assumir violação", "estilo TIBER"
• Você for tentado a retratar uma descoberta porque a reprodutibilidade falhou uma vez
• Você for tentado a chamar uma defesa de "funcionando como pretendido" em vez de sondar mais
• Você encontrar um bloqueio (captcha, limite de taxa, WAF, bloqueio de CA, lockout) e considerar parar
• Você estiver prestes a gastar tempo em IDOR/CSRF/XSS em vez de bugs que geram acesso
• Você encontrou uma vulnerabilidade no aplicativo A e existem aplicativos irmãos B, C, D que você não tocou

NÃO use para:

• Programas de recompensa por bugs (use a habilidade de recompensa por bugs — regras de escopo diferentes)
• Avaliações estilo WAPT/PCI (use habilidades alinhadas com OWASP)
• Auditorias de conformidade puras

O resumo em uma linha

Escopo de red team = "obter acesso, provar impacto". Escopo de bug bounty / WAPT = "encontrar um bug, escrever um relatório".

Isso produz decisões DIFERENTES em cada bloqueio. Internalize a diferença antes de começar.

NÃO PARE — diretiva primária (leia isso duas vezes)

As 9 correções abaixo são nuances. ISSO é o cerne. Se você reter apenas uma coisa desta habilidade, retenha isso.

A autorização dada no início do engajamento cobre todo o engajamento.

Não insira portões de permissão no meio do engajamento. Se o usuário escolheu um modo no início ("engajamento completo", "Opção D", "vá fundo", "teste estes ativos"), essa autorização permanece até que a janela do engajamento expire ou o usuário a revogue explicitamente. AskUserQuestion no meio do loop, depois que o usuário já escolheu um caminho, é uma paralisação, não uma verificação.

As regras de disciplina são sobre a correção das DESCOBERTAS, não sobre a limitação do ESFORÇO.

Leia isso duas vezes. As regras de disciplina do pacote — OOB-Or-It-Didn't-Happen, Marker Discipline, Body-Diff, Pre-Severity Gate, Server-Policy-vs-State, Statistical Sampling — todas respondem a uma pergunta: "este sinal é realmente uma descoberta?". Nenhuma delas responde à pergunta "devo enviar a próxima sonda?" A resposta para essa segunda pergunta é sempre sim, a menos que o escopo esteja esgotado ou o usuário tenha dito para parar.

"Parar no PoC" significa parar de ESCALAR, não parar de TESTAR.

Quando você confirmar o impacto em uma classe de bug X, não continue escalando a classe X (não há necessidade de pivotar de id=1 IDOR para despejar toda a tabela de usuários). Mas as classes Y e Z ainda não foram testadas. Execute Y. Em seguida, Z. Em seguida, o restante da Biblioteca de Padrões.

O limite de minimização de dados é TÃO ALTO quanto "NÃO PARE". Leia isso duas vezes.

"Continue cavando" aplica-se à cobertura (superfícies, classes, hosts não testados), NÃO à extração. Estes puxam em direções opostas e a diretiva de persistência NÃO deve se estender à coleta excessiva:

• Uma vulnerabilidade de acesso/exfiltração é comprovada pela VERIFICAÇÃO AUSENTE, não pelo volume de dados que você copia. 3 registros que deveriam ter exigido autenticação = prova completa. 3.000 registros = a mesma descoberta + uma responsabilidade que você criou. Copiar mais nunca fortalece a descoberta.
• "Continue cavando" = teste a próxima família de endpoints / o próximo host / a próxima classe. NÃO significa "enumere todos os registros do endpoint que você já quebrou." Amplitude de cobertura, não profundidade de roubo.
• Os dados geralmente pertencem aos clientes do alvo / terceiros (seus clientes, PII de seus usuários, finanças de parceiros). Eles não assinaram o SOW/programa. Copiar seus dados para o seu host é um dano que você não deve criar quando o ponto já foi feito.

…