Caçador de Recompensas de Segurança

Use isso quando o objetivo for a descoberta prática de vulnerabilidades para divulgação responsável ou envio de recompensas, não uma revisão ampla de melhores práticas.

Quando Usar

• Escanear um repositório em busca de vulnerabilidades exploráveis
• Preparar um envio para Huntr, HackerOne ou programas de recompensa similares
• Triagem onde a pergunta é "isso realmente paga?" em vez de "isso é teoricamente inseguro?"

Como Funciona

Priorize caminhos de ataque remotamente alcançáveis e controlados pelo usuário, e descarte padrões que as plataformas rotineiramente rejeitam como informativos ou fora do escopo.

Padrões Dentro do Escopo

Estes são os tipos de problemas que consistentemente importam:

Ignorar Estes

Estes geralmente têm baixo sinal ou estão fora do escopo de recompensas, a menos que o programa diga o contrário:

• Problemas apenas locais pickle.loads, torch.load, ou equivalentes sem caminho remoto
• eval() ou exec() em ferramentas apenas de linha de comando (CLI)
• shell=True em comandos totalmente codificados
• Falta de cabeçalhos de segurança por si só
• Reclamações genéricas de limitação de taxa sem impacto de exploração
• Self-XSS exigindo que a vítima cole o código manualmente
• Injeção em CI/CD que não faz parte do escopo do programa alvo
• Código de demonstração, exemplo ou apenas para teste

Fluxo de Trabalho

1. Verifique o escopo primeiro: regras do programa, SECURITY.md, canal de divulgação e exclusões.
2. Encontre pontos de entrada reais: manipuladores HTTP, uploads, trabalhos em segundo plano, webhooks, parsers e endpoints de integração.
3. Execute ferramentas estáticas onde elas ajudam, mas trate-as apenas como entrada de triagem.
4. Leia o caminho de código real de ponta a ponta.
5. Prove que o controle do usuário atinge um "sink" (destino) significativo.
6. Confirme a explorabilidade e o impacto com o menor PoC (Prova de Conceito) seguro possível.
7. Verifique duplicatas antes de redigir um relatório.

Exemplo de Loop de Triagem

semgrep --config=auto --severity=ERROR --severity=WARNING --json

Em seguida, filtre manualmente:

• descarte testes, demonstrações, fixtures, código de terceiros (vendored)
• descarte caminhos apenas locais ou não alcançáveis
• mantenha apenas descobertas com uma rota clara de rede ou controlada pelo usuário

Estrutura do Relatório

## Description
[What the vulnerability is and why it matters]

## Vulnerable Code
[File path, line range, and a small snippet]

## Proof of Concept
[Minimal working request or script]

## Impact
[What the attacker can achieve]

## Affected Version
[Version, commit, or deployment target tested]

Portão de Qualidade

Antes de enviar:

• O caminho do código é alcançável a partir de um usuário real ou limite de rede
• A entrada é genuinamente controlada pelo usuário
• O "sink" é significativo e explorável
• O PoC funciona
• O problema já não está coberto por um aviso, CVE ou ticket aberto
• O alvo está realmente no escopo do programa de recompensas