Aprender

O hacking ético, também chamado de pentest (teste de invasão) ou hacking white hat, é a prática de testar sistemas, redes e aplicações em busca de vulnerabilidades com permissão explícita do proprietário. Ao contrário de criminosos, hackers éticos são contratados para encontrar fraquezas e ajudar a corrigi-las antes que outra pessoa as explore. Boas habilidades técnicas importam, mas o que separa um profissional de um incômodo é a disciplina: autorização por escrito, respeito ao escopo, proteção de achados sensíveis e divulgação responsável.

Antes de qualquer teste, entenda o arcabouço legal. O Computer Fraud and Abuse Act nos EUA, e leis semelhantes no mundo todo, criminalizam o acesso não autorizado a sistemas computacionais. A autorização é tudo. Fontes válidas: contratos de trabalho que autorizam testes internos, cartas de contratação assinadas para pentests, regras de programas de bug bounty que concedem permissão sobre ativos específicos, ou consentimento por escrito dos proprietários dos dispositivos para pesquisa em hardware. Mesmo com autorização, respeite o escopo: quais sistemas estão incluídos, quais estão excluídos e quais ações (por exemplo, destruição de dados, DoS) são proibidas. Testadores profissionais usam contratos detalhados e documentos de regras de engajamento para deixar as expectativas explícitas.

A superfície de ataque é a soma de todos os pontos em que um usuário não autorizado pode tentar entrar em um sistema ou extrair dados dele. Superfícies de rede incluem portas expostas, redes sem fio, VPN e dispositivos de infraestrutura. Superfícies de aplicação abrangem aplicações web, APIs, apps para celular e autenticação. Superfícies humanas incluem alvos de engenharia social e ameaças internas. Superfícies físicas incluem acesso ao prédio, oportunidades de adulteração de hardware e estações de trabalho desbloqueadas. Avaliações abrangentes examinam todas elas: atacantes exploram o elo mais fraco, independentemente do que mais esteja protegido.

As vulnerabilidades de segurança se dividem em categorias comuns. A injeção (SQLi, injeção de comandos) ocorre quando dados não confiáveis chegam a interpretadores. Falhas de autenticação incluem senhas fracas, ausência de MFA, sequestro de sessão e credential stuffing. Falhas de autorização permitem que usuários executem ações que não deveriam. O cross-site scripting (XSS) permite que atacantes executem scripts no navegador de outros usuários. Falhas criptográficas: algoritmos fracos, armazenamento inseguro, validação de certificados malfeita. Más configurações de segurança, como padrões inseguros e mensagens de erro verbosas, estão entre os bugs mais comuns e mais fáceis de corrigir em sistemas de produção.

' OR '1'='1' -- 

Open Source Intelligence (OSINT), ou inteligência de fontes abertas, é a inteligência coletada de fontes publicamente disponíveis: registros públicos, redes sociais, notícias, publicações acadêmicas, bases de dados governamentais, metadados de sites, registros DNS e páginas arquivadas. O OSINT é valioso para avaliações, inteligência de ameaças e investigações. A habilidade está em encontrar, correlacionar e analisar com eficiência, não em acessar informações secretas. É legal quando usado sobre dados públicos, embora questões éticas sobre privacidade continuem valendo.

Os mecanismos de busca indexam bilhões de páginas, mas a maioria das pessoas usa apenas o básico. Operadores avançados transformam o Google em uma ferramenta de reconhecimento, e combiná-los gera consultas poderosas. Filtros de data, páginas em cache e lógica booleana ampliam ainda mais seu alcance.

site:edu filetype:pdf "internal use only"

intitle:"admin login" -inurl:example.com

As redes sociais concentram uma quantidade enorme de informações pessoais e organizacionais compartilhadas livremente. Um SOCMINT eficaz exige entender cada plataforma: o LinkedIn revela vínculos empregatícios e estrutura organizacional; o Twitter/X oferece sinais em tempo real e geotags; o GitHub mostra habilidades de desenvolvedores e, às vezes, credenciais vazadas; o Reddit e fóruns reúnem discussões técnicas de nicho. Ferramentas especializadas ajudam: o Maltego visualiza grafos de relacionamento, o theHarvester agrega e-mails e subdomínios, o Social-Searcher acompanha menções. Profissionais éticos de OSINT respeitam os limites da privacidade, usam dados genuinamente públicos, evitam perfis falsos e não exploram configurações de privacidade mal feitas.

Antes de tocar em uma rede-alvo, reúna dados públicos de infraestrutura. O WHOIS revela detalhes de registro. A enumeração de DNS encontra subdomínios por meio de logs de Certificate Transparency (crt.sh), força bruta e arquivos de DNS passivo (SecurityTrails). Shodan e Censys são mecanismos de busca para dispositivos expostos na internet, revelando serviços e versões vulneráveis no mundo todo. O reverse IP lookup encontra domínios hospedados no mesmo servidor. ARIN e RIPE mostram alocações de IP. Tudo isso é legal e invisível para o alvo: você só consulta bases de dados públicas.

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Testes profissionais começam com planejamento muito antes de qualquer trabalho técnico. A definição de escopo estabelece os sistemas incluídos (faixas de IP, domínios, aplicações), os sistemas excluídos, os tipos de teste (caixa-preta, cinza ou branca), os métodos permitidos, as janelas de tempo, os critérios de sucesso, os protocolos de comunicação e as proteções legais. Um documento de regras de engajamento formaliza tudo isso em um contrato assinado. Um escopo malfeito leva a mal-entendidos, problemas jurídicos e avaliações inadequadas.

O reconhecimento passivo usa informações publicamente disponíveis sem tocar nos alvos: OSINT, mecanismos de busca, vagas de emprego que revelam o stack tecnológico, registros DNS, versões arquivadas. O reconhecimento ativo interage diretamente: varreduras de portas com Nmap, enumeração de serviços, spidering de aplicações web, mapeamento de rede, banner grabbing, varredura de vulnerabilidades. O objetivo: entender a superfície de ataque, as tecnologias, as possíveis vulnerabilidades e os controles de segurança do alvo antes da exploração.

nmap -sV -sC -oA recon/target 10.0.0.0/24

Depois do reconhecimento, a avaliação de vulnerabilidades identifica fraquezas específicas. Ferramentas automatizadas (Nessus, OpenVAS, Qualys) verificam milhares de CVEs conhecidas rapidamente, mas geram falsos positivos e deixam passar falhas de lógica de negócio. Os testes manuais cobrem revisão de configuração, autenticação, autorização e escalonamento de privilégios, tratamento de entradas, vazamentos em mensagens de erro e implementação criptográfica. O CVSS padroniza a severidade. A priorização baseada em risco pondera o contexto de negócio: um achado médio em um processador de pagamentos tem prioridade sobre um crítico em uma máquina de desenvolvimento isolada.

A exploração comprova que as vulnerabilidades são reais. Pode significar SQL injection para extrair dados, RCE para obter um shell, escalonamento de privilégios, bypass de autenticação ou XSS para demonstrar o comprometimento de contas. A pós-exploração demonstra o impacto completo: movimento lateral, escalonamento para privilégios de administrador, exfiltração de dados (simulada), mecanismos de persistência, pivoting. Testadores profissionais param assim que o impacto é comprovado, minimizam o acesso a dados reais, documentam tudo e notificam o cliente imediatamente sobre achados críticos.

O relatório traduz achados técnicos em inteligência de negócio. Ele deve incluir um sumário executivo sem jargão, achados técnicos com passos de reprodução e evidências, classificações de CVSS ou de risco, recomendações de correção e sugestões estratégicas para a postura de segurança como um todo. Priorize pelo risco de negócio, não apenas pela severidade técnica. Verificar a correção significa testar novamente depois que as correções forem aplicadas, para confirmar que funcionam e que nada regrediu. O valor de um teste está nas melhorias que ele gera, não nos shells.

Divulgação responsável (coordenada) significa reportar problemas de forma privada ao fornecedor e dar a ele um prazo razoável para corrigir antes que os detalhes se tornem públicos. Ela protege os usuários, dá margem ao fornecedor para corrigir e mantém a confiança. As alternativas falham: a divulgação total ajuda primeiro os atacantes, a não divulgação indefinida deixa os usuários expostos em silêncio, e a venda para compradores criminosos ou estatais possibilita danos. A maioria dos pesquisadores e dos grandes fornecedores trata a divulgação coordenada como o padrão ético.

Comece verificando se existe uma política de divulgação publicada ou um /.well-known/security.txt. Muitas empresas mantêm programas de recompensa no HackerOne, Bugcrowd ou Intigriti. Se não houver nenhum dos dois, entre em contato com security@<domain>. Seu relatório deve incluir uma descrição clara, passos de reprodução, uma avaliação de impacto, uma prova de conceito, seus dados de contato e um pedido de confirmação de recebimento. Use PGP para código de exploit. Tenha paciência e faça um acompanhamento educado após uma ou duas semanas sem resposta. Mantenha registros detalhados de toda a comunicação.

Contact: mailto:security@example.com
Expires: 2027-01-01T00:00:00.000Z
Preferred-Languages: en
Canonical: https://example.com/.well-known/security.txt

90 dias entre o relato e a divulgação pública é a referência comum, ajustada às circunstâncias: mais rápido se o bug for crítico e estiver sendo explorado ativamente, mais longo para problemas de arquitetura quando o fornecedor está colaborando. A divulgação pública deve alertar os usuários, oferecer mitigações se não houver patch disponível, dar crédito a todos de forma justa e evitar mais detalhes de exploração do que os defensores precisam. O objetivo é proteger os usuários, não punir fornecedores nem buscar manchetes.

Os programas de bug bounty oferecem divulgação estruturada com recompensas. As principais plataformas hospedam programas de milhares de empresas. Cada programa define seu escopo, os problemas excluídos (por exemplo, self-XSS, DoS), as faixas de recompensa e as regras de engajamento. Para pesquisadores, eles significam dinheiro, clareza jurídica, alvos reais e reputação. Para empresas: cobertura contínua, perspectivas diversas e boas relações com a comunidade. Participar com sucesso significa ler as regras com atenção, respeitar o escopo, escrever relatórios de alta qualidade e aceitar que nem todo achado se qualifica.