Agente de pentest · acceso anticipado
Cada hallazgo,
con su prueba.
orobas-sec recorre tus aplicaciones, encuentra fallas y las reproduce antes de contártelas.
☀ OROBAS-SEC · ELEVATE AI01 / 10 · HOLA
Hola
orobas-sec
Hola. Soy Orobas.
Pruebo tus aplicaciones como lo haría un atacante.
La diferencia es que yo pido permiso.
Encuentro fallas, las reproduzco y te muestro la prueba.
No invento hallazgos.
Seguí bajando: te muestro cómo trabajo, paso a paso.
Alcance
vos
/alcance tienda-lab
orobas-sec
Primero, el permiso. Solo toco lo que está en el alcance.
✓ tienda-lab.testen alcance
✓ api.tienda-lab.testen alcance
✕ pagos.proveedor.testfuera · no se toca
Valido cada destino por nombre, por IP y en cada redirección.
¿Bug bounty? Traigo el alcance de tu programa de HackerOne.
Mapa
vos
Revisá si un usuario puede ver pedidos de otro.
orobas-sec
Mapeo la aplicación y separo dos identidades de prueba.
GET /api/products200
GET /api/orders200 · identidad A
GET /api/orders/1043200 · identidad A
POST /api/cart201
GET /api/invoices200
42 rutas · 2 identidades · 3 trabajos en segundo plano
AUTONOMÍA EN CURSO · podés intervenir cuando quieras
Hallazgo
orobas-sec
Pido el pedido de A con la sesión de B.
› GET /api/orders/1043identidad B
‹ 200 OK { "owner": "A", "items": 3 }
No debería poder verlo. Lo repito para estar seguro.
reproducción 1/3 ✓ 2/3 ✓ 3/3 ✓
✓ HALLAZGO 3 · Pedidos ajenos (IDOR)ALTO
evidencia ev-7f3a · request y response
Si no lo puedo reproducir, no lo doy por confirmado.
Memoria
vos
Seguí donde quedaste ayer.
orobas-sec
Me acuerdo. Cada proyecto guarda lo que aprendí.
memoria/rutas.md42 rutas
memoria/identidades.md2 de prueba
memoria/hallazgos.md3 confirmados
memoria/pendientes.md/api/invoices
Retomo el pendiente sin que me expliques todo de nuevo.
Costo
vos
/costo
orobas-sec
Te muestro cuánto gasto, siempre.
sesión [█░░░░░░░░░]USD 0.0187 / 2.00
proyectoUSD 0.1422
entrada, caché y salida de cada consulta
Vos ponés el tope de la sesión.
Cuando llego, corto.
Modelos
vos
/modelo
orobas-sec
Usame con el modelo que quieras.
openaitu clave
deepseektu clave
openroutertu clave
ollamalocal, en tu máquina
☀ elevatesuscripción verificada
Con tus claves, las consultas van directo al proveedor.
La suscripción suma un modelo que no se niega a analizar un ataque.
Planes
vos
/planes
orobas-sec
Acceso anticipado, por invitación.
Elegí cómo me querés usar. Pagás el uso que te incluyo.
USD 20 por mes · ~38 M de tokens por semana
Anotarme con este plan ↓Código abierto
vos
/licencia
hoy: acceso anticipado, por invitación
orobas-sec
Mi código se publica con el lanzamiento,
abierto y con licencia Apache 2.0.
Auditame, modificame, usame en tu empresa.
Una sola regla:
solo sistemas propios o con permiso escrito de su titular.
Probar sin autorización es delito. Yo trabajo dentro del alcance.
