64 Reportando uma falha de bug bounty

fala pessoal andrees Alonso aqui e nessa aula nós vamos falar de bug Bounty Mais especificamente Como que você após ter tido o conhecimento das aulas das falhas de segurança de todos os fundamentos que eu te passei você pode aplicar isso em sites reais em sites de empresas inclusive ganhar dinheiro reportando essas falhas de segurança Esse é o bug bount praticamente um caça recompensa em que as maiores empresas do mundo abrem para qualquer hacker não importa a sua idade de onde você é onde que você tá só importa que você encontre uma falha de segurança nessa empresa e ao reportar essa falha você pode ganhar uma recompensa desde 200 500 até mais de 10 20 30 50. 000 e nessa aula eu vou te mostrar como você pode começar nos programa de bug Bounty como que são as empresas como que a gente entra e também como reportar as falhas então bora aqui pra minha tela Então vamos lá o bug bount ele é como se fosse um programa de caça recompensa porque como eu disse várias empresas elas liberam para qualquer hacker ir lá e reportar uma falha e o primeiro hacker que reportar essa falha de segurança encontrar essa falha ele vai ser recompensado Mas aonde que isso acontece Aonde que tem essas empresas você manda um e-mail para ela você liga para ela manda no WhatsApp não existem as plataformas de bug bount que são os locais onde as empresas se registram para você poder hackear elas e Existem várias plataformas de bug bount eu separei aqui as três principais que eu queria mostrar para vocês e vocês podem criar uma conta em cada uma delas e a explicação que eu d de uma plataforma é praticamente a mesma da outra da outra porque elas tem as mesmas funcionalidades praticamente mas eu queria apresentar primeiramente a maior plataforma de bug bount de todas que é o hacker One o o hack Juan ele é uma plataforma que tem várias empresas que estão registradas nele praticamente uma das maiores a gente pode ver aqui Nintendo PayPal GM rat Então olha só 1 milhão de hackers cadastrados e tem várias empresas aqui no hacker One então ele é uma das plataformas a maior eu diria de bug Bounty que existe a segunda plataforma é o bug Crow a bug Crowd ela também é uma das maiores plataformas eu diria que quase lado a lado a hacker One e também tem diversas empresas e estão registradas nelas então se você fosse escolher entre o hacker One bug Crowd só mudaria o tipo de empresa que tem aqui dentro o hck One tem algumas empresas bug Crowd tem outras empresas inclusive você consegue até clicando aqui em programs V as empresas que estão registrad aqui na Crowd aqui tem a Tesla host gator tá aqui Open ai você pode hackar o chat GPT se você quiser e várias empresas eu vou te mostrar como olharas do hacker One também estão registradas Mas passando pra terceira plataforma que eu queria mostrar é a integrity e a integrity ela também é uma plataforma de bug bound que as empresas se registram como todas as outras mas ela tem uma peculiaridade que ela é a maior plataforma de bug bount da Europa não do mundo então ela tem sites aqui da Europa ela é a maior plataforma da Europa e isso tem um ponto bom que é que ela não é tão competitiva porque eu disse que no programa de bug Bounce quem é o o primeiro hacker a encontrar a falha é o que leva a recompensa uma falha específica em uma empresa então quanto mais hackers em uma plataforma talvez mais difícil é de encontrar mais gente vai estar olhando lá então tigro seria uma opção também para começar para você criar sua conta e entrar aqui porque nos programas eles têm se a gente vir aqui em Public programs a maioria dos Sites Talvez seja em espanhol em uma linguagem não tão como inglês por exemplo e até facilita aqui pra gente brasileiro e a gente é mais fácil da gente entender espanhol do que os hackes indianos por exemplo na hora de hackear então eles também tem vários programas com empresas aqui integrity nex port intergram várias empresas mas eu queria entrar aqui por dentro da hacker onean que é a principal plataforma aí queos hackers se se inscrevem a maior plataforma que que existe de bug bount e a gente vai entrar junto com ela para ver como que funciona esse processo esse processo das empresas das Recompensas das falhas Então vamos lá primeiramente as empresas como que a gente pode ver as empresas no hacker Juan Quando você entar no hacker Juan você vai poder vir aqui e fazer o seu cadastro então eu recomendo que a primeira coisa para você fazer antes de tudo é entrar aqui no hacker One e criar sua conta para você fazer junto comigo aqui pode pausar o vídeo fazer junto comigo criar sua conta para navegar entre a plataforma se você vir aqui em e vou vir aqui em login no hacker One E aí eu vou clicar em Create hacker One account aqui embaixo eu vou selecionar I'm a hacker E aí eu posso colocar meu nome Andreas Alonso um username Alonso posso colocar aqui um e-mail e a senha e é simplesmente isso que precisa para criar sua conta no hack One é bem simples você não precisa colocar informação de pagamento não precisa colocar documento nada isso você vai fazer depois que você encontrar uma fha de segurança aí você conecta com a sua conta do PayPal com a sua conta de Bitcoin você saca o dinheiro eu vou te mostrar também aqui como que funciona PR você poder sacar o dinheiro então vamos lá depois que você criar sua conta colocar seu e-mail e senha você vai entrar aqui dentro da plataforma do hacker e aqui do lado inclusive esse layout foi atualizado o layout anterior e há um tempo atrás era um pouquinho diferente e aqui a gente pode ver que a gente tem algumas partes aqui oportunidades dashboard inbox activity leaderboard e directory o primeiro de oportunidades ele é como se fosse e uma dashboard sabe quando você abre a aba inicial do YouTube várias propostas de vídeo para você aqui também tem Então olha só no no yaho a gente tem a empresa do yaho que tá aqui registrada do programa de bug Mount eles têm eles recompensam até 15. 000 por Fes de segurança eles TM a a eficiência da resposta quando você envia uma falha para eles eles TM uma eficiência de 91% de resposta se você clicar em ver detalhes a gente entra aqui dentro do chamado programa de bug bount Então dentro do bug bount a gente tem as empresas e os programas das empresas Então esse daqui é o programa de bug bount do yaho entrando aqui dentro você consegue inclusive ver as recompensas que eles dão então para uma falha baixa eles dão de 100 a 00 para uma falha média de 500 a 300 3.

000 falha alta 3. 000 a 10. 000 falha crítica 10.

000 a 15. 000 eles recompensam você com esse tipo de falhas inclusive Olha só 22 milhões de falhas pagas pagamento para hackers aqui dentro também eles explicam todas as informações as regras sobre o programa então alguns programas eles não deixam você fazer por exemplo engenharia social tentar mandar algum link de Fishing eles colocam aqui nas regras que não pode então recomendo você ler as regras aqui do programa caso você não saiba inglês você pode utilizar o Google Tradutor ir aqui no seu navegador traduzir para português ou copiar o texto e ir lá no tradutor colar para traduzir aqui e ver tem os termos legais aqui da empresa e no final sempre tem aqui das empresas a gente tem eh deixa eu vir até o final aqui olha só a gente tem aqui as falhas out scope que são falhas sem recompensa então caso você encontre essas falhas aqui você não vai ser recompensado porque são falhas inválidas mas normalmente sempre é por exemplo Deixa eu voltar pro inglês aqui que tá aqui ataques físicos não deixa self exploration que é uma falha que meio que só Haia você e boas práticas aqui eles não deixam Então são algumas falhas que eles não não adicionam aqui vamos voltar aqui PR PR home para ver algumas outras outras empresas aqui olha olha sócia que a empresa de nfts ela paga até 3 milhões de dólares caso você encontre uma falha de segurança tem a Amazon Snapchat vamos ver o Snapchat aqui dentro se gente entrar no programa do Snapchat cada programa ele tem um layout um pouquinho diferente às vezes então aqui ó PR falhas médias Tier que é dentro da dos locais principais do yahu do Snapchat Eles pagam de 250 a 4000 E aí as críticas de 20 a 35 e agora você deve est se perguntando também o que que é falhas baixas e falhas críticas eu vou dar uma explicação básica mais para frente a gente vai entrar nisso na hora de reportar a falha mas é basicamente por exemplo vamos comparar uma falha que você pode simplesmente ver o CPF de uma pessoa ver o CPF dos usuários é uma falha que ela é tem um nível de de perigo né você pode ver o CPF das pessoas uma informação que era para ser confidencial mas agora pega uma falha que dá para ver o cartão de crédito dela a gente pegaria uma CPF médio cartão de crédito crítico Então depende da quantidade de coisas que você pode acessar se você pode derrubar o site por exemplo já é uma falha alta se você pode ver alguma informaçãozinha editar alguma coisa talvez baixa Então depende aí do do tipo da falha também a gente tem aqui e agora outra parte importante aqui dos programas é que você já entendeu tem empresa que tem os pagamentos Mas aonde que eu hackeio eu hackeio o aplicativo do Snapchat blog deles a gente tem uma um local aqui que que é chamado de scopo que é os locais que você pode hackear dos programas de bug bount se a gente clicar aqui a gente pode ver que a gente pode hackear tudo isso do Snapchat blog. playcanvas deve ser uma empresa do Snapchat tá aqui dentro ã corpay canvas.

com aqui tem todas as urls que a gente pode hackear aqui no escopo Então a gente vai para outros locais e também o nível dessas urls algumas são médias algumas são altas o o nível de perigo né se você encontrar uma falha nela algumas urls inclusive elas são sem recompensa quando tá aqui menor uma empresa que não tá tão habituada com bug bount talvez ela não pague Recompensas ela apenas envie por exemplo uma camisa para você algum algum brinde talvez Então a gente tem aqui no bug bount e no hacker One essa área aqui já Passando pro dashboard ele é uma visão Geral do perfil Acabei de criar minha conta aqui então não tem muita coisa os reportes criados Impacto tal a gente tem também inbox quando você reportar tá uma falha tá conversando com uma empresa vai abrir aqui um inbox com todas as conversas que você teve das falhas reportadas e tem essa telinha aqui hacktivity que é a minha tela favorita que eu chamo ela de tela da Inveja por qu você consegue ver em tempo real as falhas que são reportadas nas empresas Olha só o vx reportou uma falha pro gitlab há 20 horas atrás e ganhou 000 por essa falha de segurança e tem aqui também a descrição dessa falha um Storage xss um xss persistente que vocês aprenderam inclusive aí no treinamento aqui autenticação 50 500 reportado no próprio rer Juan itlb Olha só o departamento de defesa dos Estados Unidos está aqui também e foi reportada uma falha há 3 horas atrás uma outra curiosidade também é que o departamento de defesa dos Estados Unidos é uma das empresas com mais reportes de falhas foi reportada mais de 25. 000 falhas pro Departamento de Defesa isso por uma coisa interessante é que o escopo deles é gigantesco até eles não colocaram o escopo aqui porque eles têm um site próprio do departamento que tem todos os sites que ele que eles têm desde Marinha não sei o que de tal país de tal governo tem um monte de site mais de centenas talvez milhares de sites que eles têm Então são muitas falhas reportadas aqui dentro uma coisa até legal é que se você vi aqui no perfil do Departamento de Defesa vi aqui ó vai ter o perfil deles no Twitter eles até enviam Recompensas para Haas camisetas muitas empresas fazem isso então tem alguns hackers que eles são recompensados aqui deixa eu ver se eu acho em alguma alguma postagem do Twitter deles e algumas Recompensas para hackers aqui tem um crashar deles vamos ver se a gente tem apr de alguma recompensa eu não encontrei lá no Twitter mas se você pesquisar aqui no Google a gente tem olha só alguns crachá que eles dão algumas camisetas que eles dão de recompensa para hackers por programas de bug Bounty eles dão para para hackers E clicando em algumas dessas falhas reportadas você pode ver a mensagem que foi enviada pelo Hacker como que ele reportou essa falha tudo em inglês Claro você pode também traduzir como eu já disse E ele passa desde como que ele encontrar essa falha os passos para reproduzir ela aqui a gente tem alguns códigos alguns scripts que ele colocou para poder demonstrar e provar pra empresa que essa falha ela tinha alguma importância tanto que ele ganhou 00 por uma falha baixa então mesmo sendo uma falha baixa 00 traduzido pro Brasil já é um um baita de um valor então a gente consegue ver aqui as empresas as falhas reportadas os programas que tem e várias outras coisas e por fim a gente tem aqui também o leaderboard o s que mais reportaram falhas aqui então doxim tá ganhando two days New try to hack Aqui também tá no no nos leaderboards aí da hacker Juan e por último a gente tem o directory que também é muito interessante que você consegue ver a lista de empresas que entraram pro Hacker Juan aqui a gente tem a lista de empresas que tá disponível aqui para você hackear empresas que talvez você conheça por exemplo Stanford tá aqui ah não sei Departamento de Defesa droper voris um monte de empresa tem aqui você pode inclusive pesquisar para tentar encontrar falhas em uma empresa em específico por exemplo quero encontrar no Twitter pesquisa aqui Twitter a gente tem a empresa do Twitter tem a Uber também a gente pode ver aqui as empresas para poder hackear pode acessar aqui os programas que elas têm para poder e entrar aqui dentro então ok passamos pelas empresas as fhas reportadas programas mas agora bora pra prática como que a gente pode onde que a gente pode reportar essa falha reportar uma falha para uma empresa então o passo a passo que você vai ter o progresso que você vai ter é criar sua conta na rck ran escolher uma empresa eu posso te dar algumas dicas também vou te dar algumas dicas de como escolher uma empresa pegar para encontrar falhas dentro dela analisa o subdomínios procura diretórios procura fal de segurança no Twitter por exemplo Analisa todas as funcionalidades como eu já te most mostrei nas aulas para encontrar dados sobre essa empresa você foca nessa empresa para hackear ela vamos supor que você pegou focou horas dias Talvez uma semana e encontrou uma falha de segurança nessa empresa como que você pode reportar essa falha para reportar essa falha nós temos um lindo botão aqui chamado submit report clicando em submit report chegou a parte que a maioria das pessoas trava que a maioria das pessoas T medo que é reportar falha pra empresa e talvez você tenha medo com razão porque o momento de reportar falha é um dos momentos mais importantes porque a empresa ela não sabe o processo que você teve a forma que você encontrou Quanto tempo você ficou quem você é ela não sabe nada ela só quer receber esse relatório esse reporte e entregar uma recompensa caso ele seja válido então é muito importante você escrever um bom relatório e eu vou te dar dicas práticas aqui para você fazer isso para você fazer isso rápido e com efetividade escrever no relatório aqui e a gente tem inclusive passos do relatório ele é passo a passo eu vou te mostrar esses Passos o primeiro passo aqui é o asset o escopo o site que você encontrou o local que você encontrou a falha de segurança então aqui a gente pode selecionar vamos supor que a gente encontrou a falha no vamos pegar o Facebook ele tem várias empresas Instagram WhatsApp não sei várias empresas você vai selecionar o site dessa empresa que você encontrou o Twitter aqui tem twitter. com twing.

com vine. co vamos selecionar o twitter vai selecionar a URL de onde você encontrou a falha Depois disso você vai selecionar tipo da falha então aqui a gente tá categorizando as falhas se categorizam por C então cwe é como se fosse uma categoria Geral de falhas de segurança então que quando falha de segurança são descobertas elas são adicionadas aqui mas por exemplo nas falhas que a gente viu aqui Cross S scripting Você pode pesquisar Cross S scripting ele vai ter todos os tipos aqui refletido Storage Doom idor A gente tem idor aqui também Você pode selecionar fal de segurança eh eh disclosure disclosure information disclosure a gente pode selecionar também então a gente tem várias Fes de segurança aqui que a gente pode selecionar e é simplesmente escrever aqui então vamos supor que a gente encontrou um xss no Twitter Então vamos lá e colocar que a gente encontrou um xss Storage no Twitter talvez no local de pesquisa do Twitter quando a gente ia pesquisar algum tweet a gente encontrou um xss lá então aqui no Twitter a gente entrar a gente encontrou um xss nesse local aqui nessa área de pesquisa quando a gente pesquisava a gente podia colocar um xss lá vamos supor isso Então vamos continuar aqui a nossa nosso reporte agora também uma parte que trava muita gente e ela é bem importante que é o nível da falha o nível de impacto da falha isso que vai definir quanto que você vai receber por ela se você reportar uma falha alta com nível baixo talvez você não receba tanto se você reportar uma falha alta com nível alto você vai receber o valor pela sua falha ou você talvez repa al com nível baixo você não sabia que essa falha causava tanto estrago ou você reporta uma falha que não é nada só que coloca um nível alto aqui os caras falam que você reportou isso tão alto o nível então aqui define o estrago da sua falha e aqui tem até uma calculadora para calcular isso então primeiro aqui a gente tem o ataque Vector tipo de ataque se ele é em rede ele é um ataque local um ataque físico Então vou colocar em rede a complexidade do ataque o ataque é complexo você precisou enumerar um subdomínio muito escondido para fazer uma uma coisa muito louca um payload que não sei o que que levou tanto tempo ou você simplesmente colocou alguma coisa no local encontrar a falha trocou algum identificador encontrar a falha ele é complexo um xss por exemplo ele não seria complexo precisa de privilégios Como assim quando você encontrar a falha de segurança vamos supor que você para você encontrar uma fha de segurança no Twitter você precisou ser um funcionário do Twitter que vai ter acesso a uma área administrativa e nessa área administrativa tinha uma falha de segurança você precisava de privilégios ou por exemplo você precisava comprar um aplicativo comprar uma função escondida para usar ele Talvez um privilégio baixo se você fosse um administrador um funcionário um privilégio alto só aqui a gente tem os privilégios teve a interação do usuário o que que é isso para você hackear a conta dessa pessoa o usuário precisou interagir alguma coisa ou você simplesmente Pode hackear a conta de qualquer pessoa então a gente tem a diferença por exemplo dos dois xss o xss que você precisa enviar um link pra pessoa você tem que enviar um link pra pessoa ela clicar e aí você hackear a conta dela ou você simplesmente pode ir lá pegar a conta dela e hackear sem ela nem saber aqui é a interação do usuário ele precisou interagir com você para ser hackeado E aí você pode colocar aqui então talvez se fosse um xss no Twitter na pesquisa do Twitter que você envia um link para uma pessoa Talvez precisasse se você fizesse um tweet com xss que roubaria a conta de todo mundo talvez não precisasse Então vai depender aí o escopo ele mudou ele é um escopo diferente do escopo original que tinha do twitter. com ele tiver mudado a gente coloca que mudou senão não mudou confidencialidade aqui a gente tem um dos pilares da segurança da informação ele quebrou a confidencialidade ele expôs alguma informação de alguma pessoa deixou a gente ver o CPF dela cartão de crédito dela ou só permitiu a gente deletar alguma coisa não ver alguma informação então a gente poderia colocar se a gente conseguisse ver uma informação de uma pessoa privada baixa ou alta dependendo dos tipo de informação integridade ele quebrou a integridade integridade seria a gente poder deletar alguma coisa de alguma pessoa a gente pudesse deletar uma postagem do Instagram de alguém delar um produto de uma loja sem a pessoa saberia uma falha de segurança e quebraria a integridade e último Pilar avaliabilidade disponibilidade se a gente conseguisse derrubar o site derrubei o Instagram Tiraria totalmente a disponibilidade então poderia selecionar aqui atir disso que ela poderia calcular o nível da nossa falha calcular se a nossa falha é alta com média se ela é baixa a gente poderia calcular por aqui por essa calculadora de de nível de falha de segurança Então se a gente colocar aqui que não precisava precisava de privilégios baixos aqui privilégios baixos integridade quebrava a confidencialidade totalmente quebrava a a disponibilidade seria alto mas se ela só quebrasse um pouquinho para ver uma informação simples de uma pessoa Talvez média se ela por exemplo não quebrasse nenhum Pilar aqui só a confidencialidade baixa então a gente pode calcular por aqui mas o principal é você ver qual que é o nível de estrago da sua fal agora chegou na parte de escrita que a gente vai colocar a mão na massa para poder explicar pra empresa Como que aconteceu essa falha de segurança Então vamos lá olha só aqui no na prova de conceito a gente primeiro tem que definir um título então normalmente como que são os títulos dos reportes de falha são a falha que você encontrou e o local a maioria das vezes então se a gente vir aqui no rectiv você pode pegar muita referência aqui mas você pode ver aqui que é ST xss via T diagrama tal uma funcionalidade lá dentro Basic header on request qualquer pessoa pode ver o eil do colaborador pelo local Então se fosse uma falha no Twitter por exemplo xss Storage no campo de pesquisa do Twitter no caso você reportaria ela em inglês então caso você não saba inglês você pode utilizar o Google Tradutor também aqui tradutor e alters termos claro que M ingl portug por ex bug fal de segurança ingl Twiter search Field poder alterar aqui então Twitter search poderia colocar aqui ou um local de redefinição de senha uma falha de segurança na redefinição de senha xss xss ou eh ou idor idor ou eh password password Jet poderia reportar assim ou o impacto dessa falha é ien delete Twitter account wi aid on local on password resit poderia colocar isso no título após isso a gente teria a descrição da nossa falha Inclusive eu coloquei até um exemplo aqui então o que que é descrição é primeiro sumário da falha uma descrição geral de uma falha de segurança depois os passos para reproduzir ela e depois o impacto dessa falha então a gente colocaria isso por exemplo em uma falha de segurança que permite você eh executar um código em um local de redefinição de senha que eu coloquei aqui a gente colocaria como impacto como descrição ao redefinir a senha de um usuário no Twitter é possível usar o campo não sei texte para para injetar um comando xss para injetar um comando x um comando JavaScript por exemplo HTML JavaScript e ao enviar o link para uma pessoa eh roubar as credenciais dela fazer uma review geral dessa falha de segurança então explicar essa falha de segurança passos para reproduzir no caso a gente trir isso para inglês Claro T escrevendo em português para ficar mais simples de explicar aqui reproduzir por exemplo você vai no site tal na área de refini senha coloca um código xss no parâmetro Tex e esse link aqui redefinir senha Twitter Alert e esse link ao enviar para uma pessoa então ao enviar o link malicioso pra vítima podemos ter acesso à conta dela e realizar o envio do link pros seus amigos por meio da funcionalidade de mensagens isso é uma coisa interessante também aqui no Impacto que eu tinha colocado que é o impacto ele é uma das partes mais importantes do nosso do Reporter da falha então é primeiramente se eu fosse colocar de prioridade primeiramente a severidade do bug se ele é baixo se ele é médio depois o impacto porque quando a pessoa receber a falha de segurança que você vai reportar talvez não seja um hacker Talvez seja um programador uma pessoa da empresa e você precisa explicar que a sua falha pode causar estrago você precisa mostrar que essa falha causa estrago para ele poder te dar uma recompensa para ele poder entender o nível que severidade dessa falha então por exemplo uma coisa legal que eu expliquei na minha falha do Instagram quando eu reportei uma falha do Instagram é que dentro dessa falha quando você hackeia umaa a conta de alguém então agora vamos pensar aqui no Impacto eu coloquei aqui uma descrição do impacto no Twitter assim um atacante por meio de um link enviado para vítima consegue o roubo da conta da mesma permitindo acesso a mensagens privadas e fotos pessoais interação com a sua conta permitindo o envio do link malicioso para pra lista de amigos do usuário que assim uma invasão de contas em massa isso daqui eu estô mostrando no Twitter mas na falha que eu reportei pro Instagram era possível hackar qualquer conta por meio de enviar um link para uma pessoa se você pensasse no básico da falha de segurança do xss você poderia explicar que essa falha seria simplesmente você um usuário malicioso enviar um link para uma vítima e hackar ela Ok S um pacto você envia o link ela clica no link e ela é hackeada um pacto de uma falha de xss mas teve um ponto aqui que foi essencial para poder aumentar também o impacto de uma falha de segurança uma falha de segurança que você envia um link para uma pessoa que é e se a plataforma a empresa que a conta que ela foi hackeada tiver mensagens aí muda o jogo porque não foi simplesmente hackar a conta dela você pode usando a conta dela enviar mensagens várias outras pessoas com link infectado e se essas pessoas uma pessoa vamos supor que ela tem três amigos ela clicou no link foiada ela tem três amigos e a os amigos receber uma mensagem dela de confiança melhor amigar no linkas c e vamos supor que duas delig ter seis amigos que ela vai enviar um link que vai hackear elas então isso se torna uma invasão em massa é muito de como você explica se é simplesmente um impacto aqui que que tá mostrando simplesmente falar que quando você enviar o link para uma pessoa você pode hackar a conta dela é uma coisa mas um atacante por meio de link pode enviar o link pra vítima roubar a conta dela enviar por meio da funcionalidade de mensagens link para várias outras pessoas e criar uma invasão em massa eu vou só tentar pensar fora da Caixa para explicar a falha de segurança PR mostrar que ela é uma falha poderosa então isso seria o principal aqui no Impacto e você pode colocar o impacto aqu eles pedem para colocar o impacto tanto na parte aqui de de descrição de passos para reproduzir aqui embaixo e aqui embaixo de novo PR você ver quão importante é o impacto de uma falha é você demonstrar o impacto inclusive outra coisa aqui no reporte da falha você deve est vendo que tem algumas hashtags algumas coisas aqui isso porque a falha ela escrita quando você reporta a falha você pode personalizar ela em markd que é uma linguagem de formatação se você clicar aqui em preview ó preview ele mostra aqui você pode criar títulos aqui em markdown e para usar o markdown é bem simples Você pode até entrar num site chamado markd markdown Editor para poder editar isso em tempo real então aqui ó Mark Down editor ol só esse por exemp a gente pode Trein E como que é você colocar um título coloca duas hash á quiser colocar um subtítulo um título principal uma has T grande subtítulo hasul has po você Pode colocar um código aqui dentro colocar várias aspas três aspas aqui no caso aspas virada pro lado você consegue colocar códigos aqui você pode personalizar caso você precisasse colocar um código para enviar uma falha Você poderia colocar um código aqui por exemplo é possível colocar imagens também vou colocar links então aqui até nesse site ele já gera para você se você quiser criar uma imagem pode colocar aqui colocar o RL da imagem sei lá google.

com E aí ele vai criar aqui dentro um markd de uma imagem e no final você pode simplesmente copiar e colar aqui Aí teria o markd então eu vou pegar uma imagem real para ficar melhor imagem colocar aqui ó imagem de prédios vamos pegar ela colocar essa imagem aqui a gente pode trocar essa imagem por aqui mesmo pelo código ol já só colocamos a imagem a gente copiar aqui dentro e colar essa imagem a gente vir na viu aqui no caso eu acho que eles não deixam colocar imagens aqui dentro então mas eles colocaram um código Olha que legal o código que a gente colocou Eles colocaram mas imagens agora que eu vi não daria para colocar então você pode criar a descrição da sua falha Eu dei um exemplo aí de uma falha que foi reportada e eu queria pegar de exemplo também algumas falhas que eu mesmo reportei PR BMW para algumas empresas então eu tenho o exemplo dessas duas falhas foi uma falha de xss e uma falha de Open redirect e aqui no meu reporte o que que eu fiz foi bem simples inclusive foi falhas que eu reportei há muito tempo 3S anos atrás Olha só sumário o o Website ele não ele não filtra o o local de pesquisa então ele não filtrava então dava para colocar um xss E aí eu coloquei quando o usuário acessa o link com Java com o código JavaScript na área de pesquisa a gente pode executar um código que pode roubar os cooks da pessoa quando ela acessa o link e eu coloquei aqui a URL vulnerável isso daqui foi um dos Sites da BMW mini. de que é o Mini Cooper da BMW então aqui no Mini Cooper no site do Mini Cooper tinha essa falha de segurança então eu reportei ela de uma forma super simples aqui é de xacs também não de Open Direct o redirecionamento é causado pelo parâmetro state na URL o state é é tal coisa que ele tá codificado em base 64 depois de fazer login o usuário é redirecionado Coloca esse link então eu criei um link um link que redirecionar a pessoa mandei um link então é sempre importante você criar um link que explore essa falha por exemplo mandar aqui e aí eu mostrei que você era redirecionado para EV Website e o impacto aqui você poderia criar um site de Fishing fazer Fishing ataque de Fishing em todas elas um ponto importante eu coloquei aqui um attachment eu coloquei aqui uma imagem ou um vídeo porque no final da falha é possível você colocar também uma demonstração Dá até para gravar diretamente essa demonstração a chamada prova de conceito direto do navegador aqui você seleciona e grava aqui dentro e eu diria que ela é muito importante para poder validar essa falha para poder os pesquisadores de segurança da empresa poderem corrigir ela mais rápido então eu envio uma prova de conceito quando eu vou reportar uma falha seja uma print seja um vídeo então sempre envio provas de conceito e como que provas de conceito podem ser Bora ver por exemplo uma prova de conceito de xss pesquisar xss uma boa forma de você procurar também falhas reportadas e você pesquisar o nome da falha e hack depois vai ter as falhas reportadas mas por exemplo olha só esse cara aqui ele reportou a falha segurança xss colocou aqui um vídeo explicando como que ele encontrou bora ver o vídeo vou abrir o vídeo aqui o download dele a gente vê o vídeo olha só são vídeos bem curtos simplesmente o cara tá aqui abru o site vamos ver ele vai criar um novo report aqui no site aqui ele deve colocar um xess em algum local ó ele colocou um xss aqui depois de colocar o xss escrever Ele clicou em Run e ol só alertou oess funcionou foi possível colocar código na página então isso daqui é uma prova de conceito um vídeo pequenininho que mostra a falha também é muito importante você poder gravar um vídeo tirar uma print para mandar pra empresa então esses seriam os passos principais para reportar uma falha de segurança passou por eles aqui então nosso repor desde passo ionar o local da falha até os outros Passos os cinco e É ah esse último também ele é novo foi o tempo que você demorou procurando a falha pode colocar aqui 2 horas 3 horas aqui a gente pode colocar o tempo que a gente demorou para encontrar a falha Então esse seria o os passos aqui para reportar e aí no final ele vai te dar um overview geral e você pode clicar em submit report para enviar a falha após isso a falha vai entrar aqui no seu inbox e você vai poder conversar com o pesquisador com o hacker da empresa para poder corrigir essa falha para ele poder te recompensar Então essa seria a forma de reportar falhas e agora por último para poder encerrar o assunto aqui de bug bount das falhas eu queria dar dicas para você poder começar no bug bount E durante o treinamento do técnica de invasão você tem várias opções do que fazer p teste trabalhar para uma empresa da consultorias e também tem a opção de bug bount caso você escolha ela eu queria te dar algumas dicas para você poder começar E essas dicas são primeiro ponto Aprenda com quem já sabe então quando eu digo Aprenda com quem já sabe é você ver o resultado de uma pessoa no mais puro possível no mais cru possível e o que que eu tô dizendo tô dizendo reportes de pessoas que enviaram falhas o que que esse cara encontrou essa empresa como que ele encontrou como que ele escreveu o reporte é ver na prática aquilo sendo reportado ver artigos de pesquisadores é uma coisa que me ajudou muito mas muito no meu processo de bug Bounce no meu aprendizado esse site aqui medium. com nele é meio que até uma uma cultura entre os bug Hunters é Quando você encontrar uma falha grande uma falha interessante você postar um artigo sobre essa falha Olha esse cara encontrou uma falha de 0.

000 e ele postou um artigo já no na aba inicial do do medium e ele explicou como que ele encontrou essa falha então é muito interessante você ver realmente falhas reais sendo encontradas como que ele encontrou qual que foi a linha de raciocínio dele então muito legal você pode pesquisar aqui é bug bount também e v várias outras falhas de segurança como começar é artigos Esse medium. com é o melhor local para você pegar informação sobre artigos sobre pesquisas inclusive Eu até já postei alguns artigos aqui eh minha fal no Instagram também um artigo sobre http paramet polution para uma para uma palestra que eu que eu ia dar então eu expliquei sobre essa falha então o medium é um site muito interessante para você ver falhas de segurança você pode pesquisar aqui 00 bugs e vão ter falhas de segurança aqui ó meu primeiro bug meu primeiro bug das outras pessoas é muito interessante também para você tentar encontrar o seu primeiro que às vezes você vê o pessoal ganhar 30. 000 10.