Un informe de bounty necesita un impacto defendible y una forma reproducible de demostrarlo. Una lista larga de posibles vulnerabilidades aporta poco al triaje. Empieza por un comportamiento que contradiga la regla prevista de la aplicación.
Usa la conversación para reunir solicitudes, observaciones y explicaciones alternativas. El modelo puede ayudar a concretar la hipótesis y preparar comprobaciones; el hallazgo depende de las evidencias que recojas.
Material de partida
- El alcance del programa y la función examinada, sin secretos privados del programa.
- Una solicitud y respuesta mínimas de cuentas sintéticas, sin tokens de sesión.
- El comportamiento esperado, el observado y un registro de los cambios de estado realizados durante la prueba.
Analiza las evidencias
- Formula una hipótesis, como que otro usuario puede leer un informe al cambiar su identificador. Identifica el campo de respuesta que lo demostraría.
- Compara la referencia con una sola entrada modificada. Comprueba si la caché, los roles o la visibilidad del objeto explican el resultado.
- Pide un impacto limitado a la acción y los datos probados. Conserva las posibles extensiones en una lista separada de preguntas sin verificar.
- Redacta pasos exactos con requisitos y limpieza. Revisa identificadores y capturas antes de enviarlos por el canal del propio programa.
Un prompt para adaptar
Adáptalo a tus pruebas
Ayuda a convertir estos dos intercambios HTTP en un informe reproducible de control de acceso. La cuenta B no es propietaria del informe sintético de la cuenta A. Enumera requisitos, el único parámetro modificado y la evidencia de respuesta. Identifica explicaciones alternativas que descartar. Redacta un impacto limitado a lo que demuestran estos intercambios.
Comprueba el resultado
- Una identidad de prueba nueva reproduce el comportamiento sin depender de un estado de navegador inexplicado.
- El informe identifica la operación y el campo expuestos, sin afirmar un compromiso más amplio.
- El material excluye credenciales y datos ajenos e incluye pasos para eliminar los objetos sintéticos.
Lleva tus evidencias a una conversación y trabaja en la siguiente pregunta.
Abrir chat