wattocyber/bug-bounty-libraryBiblioteca curada de metodologias de bug bounty com runbooks, playbooks de recon/fuzz, checklists e utilitários de CLI para escopo de alvos, enumeração de certificados e revisão de prior art.
Execute isto primeiro: [[06-alpha-runbook/ALPHA]]
Esse arquivo é o livro de instruções if-then (recon → check → test → tools) com HUMAN / AI / TOOL em cada etapa. Este README é apenas o mapa.
Somente com autorização. Safe harbor, VDP, GitHub PVR ou divulgação coordenada. Sem dados de outros clientes. Sem receitas de exploit.
| Pasta | O que é |
|---|---|
| [[06-alpha-runbook/ALPHA]] | Livro de instruções — faça a caçada a partir daqui |
| [[00-methodology/00-INDEX]] | Por que a espinha/portões/contrato de agente existem |
| [[00-methodology/08-gap-search]] | Última passada na internet: buracos adicionados vs. ruído rejeitado |
| [[01-playbooks/00-INDEX]] | A profundidade da classificação depois que o ALPHA indica a stack |
| [[01-playbooks/00-recon-fuzz]] | Fase 2 — inventário, colheita de JS, ffuf direcionado, fuzz OSS local |
| [[02-writeups/00-INDEX]] | Cartões de writeup destilados + padrões de catálogo |
| [[02-writeups/2026-sources]] | Catálogos e processos de 2026 que as pessoas realmente usaram |
| [[03-tools/README]] | CLIs somente leitura |
| [[04-prompts/00-INDEX]] | Extrair / rejeitar / estruturar — nunca exploits |
| [[05-checklists/intake]] | One-pagers imprimíveis (mesmos portões do ALPHA) |
| [[BOOK-Original-Findings-Playbook]] | Mercado narrativo + pacote de currículo — não é o runbook |
python3 tools/classify_target.py --intake out/target-card.yaml -o out/stack.yaml
python3 tools/target_score.py --intake out/target-card.yaml
python3 tools/crt_enum.py --intake out/target-card.yaml -o out/crt-names.txt
python3 tools/prior_art_desk.py --product "…" --repo "owner/name" -o out/prior-art.md
python3 tools/catalog_query.py --q "…" --year 2025 --sort bounty --limit 25
python3 tools/object_graph_stub.py --schema schema.graphql -o out/matrix.csv
Copie [[06-alpha-runbook/templates/target-card.example]] para out/target-card.yaml. Execute a caçada somente se target_score.py imprimir ≥10.
Este repositório é apenas a biblioteca (extraída de WattoCyber/oscp-notes-2026). Faça a caçada a partir do ALPHA. Os feeds de CVEs conhecidas são GHSA / OSV / NVD via tools/prior_art_desk.py, não uma fila de submissão.
Repositório: https://gitlab.com/WattoCyber/bug-bounty-library