root@sparrow:~/writeups$ cat bug-bounty-cheatsheet.md
// bug-bounty
Bug Bounty Cheatsheet: My Curated Resource Collection
23 Jul 2026
· 3 min read
My working bookmarks list — reconnaissance, exploitation techniques, checklists and tools, organized by topic. Not a tutorial, a reference: the kind of page I keep open in a tab while hunting.
Authentication & sessions
- 2FA bypass techniques (MindMeister)
- 2FA security testing & bypasses
- SSO checklist
- Login page checklist
- Password reset checklist
- Email verification bypass — case study
- JWT: decode & tamper any token you receive, check
alg: noneand expiry handling.
Access control & cloud
- 403 Forbidden bypass techniques
- OWASP: testing HTTP methods
- Unauthorized uploads on misconfigured S3 buckets
- Bypassing & exploiting bucket upload policies (Detectify)
- Firebase database takeover
- Common admin endpoints to probe:
/dev/register/,/stag/register/,/dev/login/
Injection
- SQLi on a Bugcrowd private program — worked example
- CSV Injection overview
- CSV injection — real HackerOne report
- PortSwigger: SSTI overview
- OS command injection payload examples:
ping -n 21 127.0.0.1,nslookup -q=cname my.burpcollaborator.net.
XSS & client-side
- Browser XSS filter bypass cheat sheet
- Stored XSS via file upload
- XSS through parameter pollution
- Static analysis of client-side JS
- LinkFinder — extract endpoints from JS files
- jsmon — monitor JS file changes over time
- One token to leak them all — an npm token leak story
SSRF & GraphQL
- The SSRF Bible
- SSRF bypass, Cloudflare and AWS metadata
- Exploiting GraphQL (Assetnote)
- Responsible DoS with web cache poisoning (PortSwigger)
Recon & enumeration
- Basic recon guide for bug bounty
- Finding & exploiting unintended API functionality
- Subdomain tools: Subfinder, Amass, Assetfinder, dnscan
- Subdomain enumeration guide
- reNgine — automated recon
- Wordlist collection
- pyWhat — identify anything (hashes, tokens, formats)
- Dorking decks: GitHub dorks, search engine dorks
Known CVEs worth re-checking
- CVE-2020-11022/11023 — jQuery XSS
- CVE-2020-11110 — Grafana stored XSS writeup
- CVE-2021-24169 — reflected XSS in a WordPress plugin
- CVE-2021-40875 — improper access control in Gurock TestRail
- CVE-2021-26084 — Confluence RCE writeup
- Grafana: CVE-2020-13379 (DoS), CVE-2020-11110 (stored XSS), CVE-2019-15043 (unauthenticated API), plus default creds & open signup
Everything else worth bookmarking
- HackerOne Hacktivity and Bugreader — real disclosed reports to learn from
- Mastering the skills of bug bounty (Vickie Li)
- Awesome oneliner bugbounty scripts
- Web shell collection (lab use only)
- Cross-site WebSocket hijacking: example repo and write-up
- WordPress recon:
/wp-admin/setup-config.php?step=1,/wp-json/wp/v2/users/,load-scripts.php/load-styles.phpDoS
Mi lista de marcadores de trabajo — reconocimiento, técnicas de explotación, checklists y herramientas, organizadas por tema. No es un tutorial, es una referencia: el tipo de página que mantengo abierta en una pestaña mientras cazo.
Autenticación y sesiones
- Técnicas de bypass de 2FA (MindMeister)
- Testing de seguridad de 2FA y posibles bypasses
- Checklist de SSO
- Checklist de página de login
- Checklist de reseteo de contraseña
- Bypass de verificación de email — caso de estudio
- JWT: decodifica y manipula cualquier token que recibas, comprueba
alg: noney el manejo de caducidad.
Control de acceso y cloud
- Técnicas de bypass de 403 Forbidden
- OWASP: testear métodos HTTP
- Subidas no autorizadas en buckets S3 mal configurados
- Bypass y explotación de políticas de subida a buckets (Detectify)
- Takeover de base de datos Firebase
- Endpoints de admin habituales a probar:
/dev/register/,/stag/register/,/dev/login/
Inyección
- SQLi en un programa privado de Bugcrowd — ejemplo resuelto
- Introducción a CSV Injection
- Inyección CSV — reporte real en HackerOne
- PortSwigger: introducción a SSTI
- Ejemplos de payloads de inyección de comandos:
ping -n 21 127.0.0.1,nslookup -q=cname my.burpcollaborator.net.
XSS y client-side
- Cheat sheet de bypass de filtros XSS del navegador
- Stored XSS a través de subida de archivos
- XSS mediante contaminación de parámetros
- Análisis estático de JavaScript client-side
- LinkFinder — extrae endpoints de archivos JS
- jsmon — monitoriza cambios en archivos JS con el tiempo
- One token to leak them all — la historia de una fuga de token de npm
SSRF y GraphQL
- The SSRF Bible
- Bypass de SSRF, Cloudflare y metadata de AWS
- Explotando GraphQL (Assetnote)
- DoS responsable con web cache poisoning (PortSwigger)
Recon y enumeración
- Guía básica de recon para bug bounty
- Encontrar y explotar funcionalidad no intencionada en APIs
- Herramientas de subdominios: Subfinder, Amass, Assetfinder, dnscan
- Guía de enumeración de subdominios
- reNgine — recon automatizado
- Colección de wordlists
- pyWhat — identifica cualquier cosa (hashes, tokens, formatos)
- Presentaciones de dorking: GitHub dorks, dorks de buscadores
CVEs conocidas que merece revisar
- CVE-2020-11022/11023 — XSS en jQuery
- CVE-2020-11110 — writeup de stored XSS en Grafana
- CVE-2021-24169 — XSS reflejado en un plugin de WordPress
- CVE-2021-40875 — control de acceso deficiente en Gurock TestRail
- CVE-2021-26084 — writeup de RCE en Confluence
- Grafana: CVE-2020-13379 (DoS), CVE-2020-11110 (stored XSS), CVE-2019-15043 (API sin autenticar), más credenciales por defecto y signup abierto
Todo lo demás que merece guardarse
- HackerOne Hacktivity y Bugreader — reports reales divulgados para aprender
- Mastering the skills of bug bounty (Vickie Li)
- Awesome oneliner bugbounty — colección de scripts
- Colección de web shells (solo para laboratorio)
- Cross-site WebSocket hijacking: repo de ejemplo y writeup
- Recon de WordPress:
/wp-admin/setup-config.php?step=1,/wp-json/wp/v2/users/, DoS víaload-scripts.php/load-styles.php