Notas de engenharia ofensiva

Em um fluxo de confirmação de pagamento, duas requisições simultâneas podem atravessar a verificação de estado antes que a primeira persista a mudança. O resultado é uma invariante violada: mais de uma confirmação para uma única transação. Nenhum payload específico causa isso; a falha está na janela entre leitura e escrita.

Detectar esse tipo de falha exige reconstruir a máquina de estados do backend, inferir qual invariante o fluxo promete manter e então testar concorrência controlada. É um problema de modelagem, não de assinatura. Scanners tradicionais continuam cegos porque procuram strings, não sequências.

A validação forense fecha o ciclo: a falha só é reportada quando reproduzida de forma determinística, com telemetria das requisições e evidência de impacto — por exemplo, o estado final inconsistente e o saldo duplicado.

Ferramentas que varrem parâmetros numéricos encontram alguns casos, mas perdem o essencial: rotas com identificadores opacos, referências indiretas e objetos aninhados em payloads. O problema não é o formato do identificador — é a decisão de autorização tomada no lugar errado.

A análise correta começa pelo modelo de tenancy e pelas relações declaradas entre recursos. Um agente que compreende o grafo de entidades consegue testar combinações de sujeito, objeto e ação que um fuzzer de parâmetros jamais alcança.

A prova pericial precisa demonstrar acesso indevido a um recurso real, com captura antes e depois, e não apenas um código de resposta diferente.

A evidência nasce no momento da captura e precisa provar três coisas: que o artefato é o que diz ser, que existia naquele instante e que não foi alterado depois. Hash criptográfico, carimbo de tempo e registro do agente responsável formam o mínimo verificável.

O elo mais frágil costuma ser a reprodução. Uma PoC que funciona uma vez e não se repete não sustenta conclusão técnica. Por isso cada achado carrega a taxa de reprodução e os parâmetros exatos da execução.

Quando a evidência é selada, o verificador independente consegue recalcular o hash e percorrer a cadeia sem confiar no operador. É isso que separa um relatório de um laudo.