Reportes de bug bounty reales: aprende de los mejores

Un reporte de bug bounty es el documento que un hunter envía a un programa (en HackerOne, Bugcrowd, Intigriti, YesWeHack o programa privado) describiendo una vulnerabilidad que ha encontrado en su scope. Si el triage acepta el reporte como válido y dentro de impact, el programa paga una recompensa (bounty) proporcional a la severidad.

Cada plataforma tiene su template, pero el esqueleto se repite siempre. Estructura estándar:

• TitleUna línea descriptiva: vulnerabilidad + endpoint o componente afectado. Ej: `Stored XSS in /profile/bio via crafted SVG`.
• Summary1-2 párrafos resumiendo qué encontraste, dónde, y por qué importa. Sin entrar en detalles técnicos todavía.
• Steps to ReproduceLista numerada y exacta para que el equipo de seguridad pueda reproducir el bug en menos de 5 minutos. Incluye URLs, payloads, headers, comandos curl.
• Proof of Concept (PoC)Capturas, request/response brutos, video opcional. Aquí se demuestra el impacto real, no se especula.
• ImpactQué consecuencia real tiene: takeover de cuenta, exfiltración de datos, escalada de privilegios, RCE. Cuanto más concreto, más bounty.
• Suggested FixRecomendación opcional pero valorada: input validation, content-security-policy, prepared statements, scoping de credenciales.

Cuando un reporte se cierra como resolved y el programa lo marca como público, pasa a la sección de disclosed reports — y ahí es donde empieza la mina de oro educativa.

Aquí está la diferencia que define a BBLabs y a los hunters que de verdad cobran: estudiar reportes reales no es lo mismo que resolver CTFs.

Cuando lees 100 reportes de IDOR reales, dejas de pensar en "buscar IDOR" y empiezas a reconocer los patrones de código que producen IDOR. Esa intuición es lo que separa a quien encuentra bugs de quien sólo los lee. Por eso los hunters top de HackerOne dedican tiempo cada semana a leer disclosed reports en su categoría.

La guía completa para aprender bug bounty lo explica con más detalle, pero el punto clave es: la teoría sin práctica con bugs reales no escala. Y la práctica sin haber leído reportes reales tampoco.

Estas son las fuentes principales de reportes públicos en las que cualquier hunter debería estar suscrito:

• HackerOne Hacktivity

  El feed más grande de reportes disclosed. Filtra por programa, severidad y tipo de vuln. La mayoría de reportes de Top 100 hunters se publican aquí.

• Bugcrowd CrowdStream

  Reportes públicos de programas hosteados en Bugcrowd. Menos volumen que H1 pero mayor calidad media en algunos targets enterprise.

• reddelexc/hackerone-reports

  Repo en GitHub que indexa miles de reportes disclosed por categoría (XSS/IDOR/SSRF/SQLi/RCE...). Útil para estudio sistemático por tipo.

• Pentester Land — Writeups

  Agregador de writeups en blogs de hunters. Muchos incluyen el reporte original + contexto adicional sobre cómo se llegó al bug.

La rutina recomendada: 30 minutos al día leyendo 2-3 reportes en tu categoría favorita (no leas reportes random — especialízate). En 3 meses, tu intuición para esa vuln será radicalmente distinta.

Leer un reporte está bien. Replicarlo es donde de verdad se aprende. El problema es que casi nunca puedes ejecutar el bug original (el target ya está parcheado, el endpoint ya no existe, no tienes credenciales válidas).

BBLabs resuelve eso con un pipeline simple en 4 pasos:

Cada categoría tiene labs basados en reportes distintos. Estos son algunos ejemplos del tipo de bugs que vas a encontrar:

• Cross-Site Scripting (XSS)

  Practicar labs de XSS

  Stored XSS en un perfil público que ejecuta JS al visitarlo: $5.000-$15.000 en programas medianos. El reporte clásico incluye el endpoint vulnerable, el payload exacto y el impact statement (session takeover, ATO).

• Insecure Direct Object Reference (IDOR)

  Practicar labs de IDOR

  IDOR en endpoint de facturación que permite listar facturas ajenas cambiando un ID secuencial: $2.000-$10.000. El reporte detalla el endpoint, los parámetros manipulados y la PoC paso a paso.

• Server-Side Request Forgery (SSRF)

  Practicar labs de SSRF

  SSRF que alcanza el endpoint de metadata de AWS y exfiltra credenciales temporales: $10.000-$50.000. El reporte clásico muestra el chain hasta llegar a `169.254.169.254/latest/meta-data/`.

• SQL Injection

  Practicar labs de SQLI

  Blind SQLi time-based en un parámetro de búsqueda que termina en RCE vía `xp_cmdshell` (MSSQL): $20.000+. El reporte incluye la query inyectada, los timings y la escalada.

• Authentication Bypass

  Practicar labs de AUTH-BYPASS

  JWT con `alg: none` aceptado por el backend, permitiendo hacerse pasar por cualquier user: $5.000-$25.000. El reporte muestra el token modificado y el endpoint vulnerable.

• Business Logic Flaws

  Practicar labs de BUSINESS-LOGIC

  Race condition en checkout que permite usar el mismo cupón N veces enviando peticiones en paralelo: $1.000-$8.000. El reporte muestra la PoC con `turbo intruder` o `single packet attack`.

Si llevas tiempo leyendo writeups en X y blogs pero no tienes dónde replicar lo que lees, este es el siguiente paso. Cada lab de BBLabs es un reporte real convertido en entorno seguro y descargable. 5€/mes, sin permanencia.