Flujo de trabajo

El bug bounty recompensa encontrar y reportar vulnerabilidades en programas con alcance definido. A diferencia de un pentest con tiempo y objetivos fijos, aquí compites con muchos hunters y cobras por impacto. Un flujo de trabajo repetible es lo que separa al que encuentra bugs del que se pierde explorando sin rumbo.

El ciclo del hunter

1. ELEGIR programa    scope amplio y activo vs maduro/competido (ver bb-plataformas)
2. LEER el scope      qué está dentro/fuera y las reglas (CRÍTICO, ver bb-scope)
3. RECON              mapear toda la superficie (subdominios, apps, APIs; ver bb-recon)
4. ANÁLISIS           entender la app, su lógica y su tecnología
5. CAZAR              probar por clases de vuln, priorizando por impacto
6. VALIDAR            confirmar y acotar el impacto; PoC reproducible
7. REPORTAR           reporte claro y accionable (ver bb-reporte)
8. SEGUIMIENTO        responder al triaje, defender la severidad

Dónde buscar (priorizar por impacto)

- lógica de negocio (bb/web-logic): poco automatizable, alto valor, menos competencia
- control de acceso: IDOR/BOLA (web-api) -> de los más premiados y comunes
- activos "olvidados": subdominios viejos, adquisiciones, APIs no documentadas (bb-recon)
- funcionalidad nueva/reciente: menos ojos encima
- lo que la automatización masiva NO encuentra (ahí está el dinero y menos ruido)

Profundidad vs amplitud

Amplitud   mucho recon + escaneo masivo -> bugs "de bajo colgante" (muy competido)
Profundidad  elegir pocos objetivos y entenderlos a fondo -> lógica, cadenas, alto impacto
# los mejores hunters combinan: recon amplio para encontrar superficie olvidada
# + profundidad en los objetivos prometedores

Herramientas (encadenadas)

Recon      subfinder, amass, httpx, nuclei (ver bb-recon, tool-nuclei)
Proxy      Burp Suite (el centro de trabajo, ver tool-burp)
Fuzzing    ffuf (ver tool-ffuf) para contenido/parámetros ocultos
Notas      documentar TODO (lo probado, lo pendiente) -> no repetir ni perderse

Blue Team / nota ética

Trabajar siempre dentro del scope y las reglas (Leer el scope & reglas); salirse puede ser delito y baneo.
Encadenar herramientas en un flujo repetible; documentar para no repetir trabajo.
Priorizar por impacto y por lo que la automatización masiva no ve (lógica, acceso).
Perseverancia: el bug bounty es intermitente; la constancia y el método ganan.

Buenas prácticas y errores comunes

Prioriza clases poco automatizables (IDOR/BOLA, lógica de negocio): es donde los bots no llegan y más pagan.
No te quedes en la superficie: documenta los activos del recon y vuelve a ellos; muchos bugs están en lo olvidado.
Error típico: lanzar escáneres a ciegas y reportar su salida; el duplicado y el ruido queman tu reputación.

Checklist de prueba

Elegir programa acorde a tu estilo (amplio vs maduro)
Leer scope y reglas a fondo (Leer el scope & reglas)
Recon completo de la superficie (Automatización del recon)
Entender la app antes de atacar (tecnología, lógica)
Cazar priorizando por impacto (lógica, acceso)
Validar con PoC reproducible y acotar impacto
Reporte claro y accionable (Escribir un buen reporte)
Documentar todo para no repetir ni perderse