Lab 2: Caza combinada

01Objetivo del lab

Simular una campaña de bug bounty completa sobre tres programas simulados a la vez, aplicando priorización real de tiempo entre ellos — no solo "resolver los labs uno detrás de otro", sino decidir en qué orden y cuánto tiempo dedicar a cada uno, igual que se haría con tres programas reales abiertos en paralelo.

02Objetivos simulados

• GhostCart (tienda online): SQLi en login, 3 IDOR distintos, y un camino de account takeover (ATO).
• GhostRace (tienda de artículos gaming): 3 condiciones de carrera.
• GhostAuth (identidad/notas): 3 fallos de JWT.

03Por qué estos tres juntos

En una campaña real nunca se trabaja un solo programa en el vacío: se reparte tiempo entre varios según el valor esperado (módulo 5). Este lab obliga a tomar esa misma decisión: con tiempo limitado, ¿cuál de los tres scopes mirar primero?

04Pasos del lab

1. Antes de tocar ninguno de los tres, define tu criterio de reparto de tiempo usando el módulo 5: ¿cuál de los tres tiene más superficie de lógica de negocio propia? ¿cuál tiene señales más fuertes de ID predecible o flujos multiusuario? Escribe tu plan de reparto (ej. "40% GhostCart, 35% GhostAuth, 25% GhostRace") antes de empezar, y compáralo al final con dónde realmente encontraste más impacto.
2. GhostCart: aplica primero la metodología de autenticación (módulo 9, aunque sea SQLi clásico, no JWT — el checklist de "qué pasa si manipulo la query de login" sigue aplicando) y después la metodología IDOR (módulo 7) sobre pedidos, direcciones y métodos de pago guardados. El camino de ATO combina ambos: identifica qué paso del flujo de cuenta permite tomar control de una cuenta ajena.
3. GhostRace: aplica la metodología de condiciones de carrera (módulo 8) sobre cada acción de un solo uso que identifiques: cupones, stock límitado, recompensas. Documenta para cada una el número de repeticiones concurrentes necesarias para que se manifieste.
4. GhostAuth: aplica el checklist completo de JWT (módulo 9) de forma sistemática, no aleatoria: algoritmo none, confusión de algoritmo, validación de expiración/claims, e invalidación de sesión tras logout/cambio de contraseña.
5. Para cada hallazgo, redacta ya un borrador de reporte siguiendo la estructura del módulo 14 (aunque ese módulo venga después en el temario, el hábito de documentar en el momento del hallazgo, no al final del día, es parte de la metodología real — los detalles se olvidan en horas).

05Entregable del lab

Un informe de campaña con: reparto de tiempo planeado vs. real, lista de hallazgos por programa con severidad estimada (CVSS orientativo), y una reflexión de una línea por programa sobre si el reparto de tiempo inicial fue acertado.

06Conexión con el resto del curso

Este lab es el puente entre la metodología de detección (módulos 2-9) y la parte de comunicación y pivote (módulos 11-16): la pregunta "¿qué hago con el tiempo que me queda tras estos hallazgos?" se responde en los módulos 12 (pivotar) y 16 (pipeline).