Documentação CyberDyne

Visão geral

O que é o CyberDyne, em uma página.

CyberDyne é uma plataforma brasileira de pentest automatizado focada em aplicações web. Você fornece uma URL, escolhe um nível de profundidade, ativa as flags que fizerem sentido e o sistema executa um scan de segurança ofensivo em um container isolado, retornando um relatório técnico estruturado.

A ferramenta orquestra mais de 100 técnicas consagradas (subfinder, nuclei, sqlmap, ffuf, dalfox, interactsh, jwt_tool, etc.), aplica uma camada de inteligência artificial por cima através do The Council (orquestração de quatro agentes IA que geram payloads sob medida pela arquitetura detectada) e entrega o resultado em PDF executivo, JSON estruturado, dashboard HTML interativo e prompt_recall.md exclusivo.

Início rápido

Do cadastro ao primeiro scan em 5 minutos.

Planos e Assinaturas

Quatro tiers com escalada progressiva de poder.

A assinatura pode ser cancelada a qualquer momento. Os créditos do plano resetam a cada ciclo (não acumulam). O downgrade preserva relatórios já armazenados, mas exige exclusão manual até bater no novo limite antes de iniciar novos scans.

Créditos e Recargas

Como o sistema de créditos funciona.

Créditos do plano (mensais)

Cada plano libera uma quantidade específica de scans por tier. Esses créditos resetam automaticamente no início de cada ciclo de cobrança e não acumulam entre meses. Se você não usar, perde.

Recargas avulsas (vitalícias)

Se quiser scans além do plano ou comprar avulso sem assinar, use as recargas. Diferente do plano, recargas nunca expiram e não resetam. Compre uma vez, use quando quiser, mesmo se cancelar a assinatura.

Combos com desconto

Pack Starter (3 LOW + 1 EASY) por R$ 35. Pack Pro (2 MEDIUM + 2 HARD) por R$ 165. Pack Pentester (3 HARD + 1 INSANE) por R$ 225. Mesma característica vitalícia das recargas avulsas.

Créditos de IA

Cada scan que ative o The Council consome 1 crédito de IA além do crédito de scan. O total de créditos de IA mensais é igual ao total de scans incluídos no plano. Pentester é ilimitado.

Ordem de consumo

O sistema consome primeiro os créditos do plano, depois os créditos de recarga avulsa. Assim você nunca queima recarga vitalícia se ainda tem crédito mensal sobrando.

Armazenamento de relatórios

Quanto cada plano guarda e como funciona o downgrade.

Como usar o Dashboard

A tela de comando do CyberDyne em /cyberdyne-scan.

O dashboard é dividido em três áreas principais:

• Sidebar (esquerda): histórico de scans, busca por URL, filtros por status e tier. Cada item mostra score de risco e timestamp. Clique para abrir o relatório. Item exclusivo Re-Scan Automático abre painel próprio para criar agendamentos.
• Painel central (Nova Varredura): input da URL alvo, seletor de intensidade (LOW → INSANE), botão Avançar que revela o painel de configuração.
• Resultados em tempo real: ao iniciar um scan, o painel troca para HUD ofensivo com progresso por fase (7 etapas), donut de severidade, timeline ao vivo e cards de Council, Validator e HADES com feed de evidências.
• Painel de configuração (após Avançar): toggles de tecnologias, The Council (com seletor de modelo LLM oculto até ativar), Login Verify com sub-campos URL/usuário/senha, Fedora URL para auditoria de dependências e profundidade do KCC.

Níveis de scan (intensity)

Cada nível define quantos checks de vulnerabilidade rodam e qual percentual da wordlist de payloads é executado. Quanto mais profundo, mais cobertura e mais tempo.

Comparativo dos 5 níveis

LOW · Smoke test rápido

15 checks executados com cerca de 1% da wordlist. Confirma se a stack do alvo está acessível e se há os findings óbvios mais críticos. Use depois de cada deploy.

Cobre: SQL Injection error-based, SQL Injection time-based, XSS reflected, XSS stored, LFI / Path Traversal, Command Injection, SSRF, SSTI, JWT alg:none bypass, JWT weak secret, Broken Authentication, Hardcoded Secrets, Exposed .env files, Admin Panel exposto, Security Misconfiguration de headers.

EASY · OWASP Top 10 completo

35 checks com cerca de 10% dos payloads. Ideal para ciclo de QA contínuo em aplicações pequenas e médias. Cobertura OWASP Top 10 completa, mais autenticação, cloud básico e DNS.

Adiciona ao LOW: XSS DOM-based, IDOR, CSRF, OAuth redirect_uri, OAuth implicit flow, CORS misconfiguration, Open Redirect, Host Header Injection, XXE, NoSQL Injection, GraphQL introspection, Race Condition, Prototype Pollution, Mass Assignment, SPF/DMARC/DKIM, Default Credentials, Clickjacking, CSP fraca (com 11 sub-checks granulares), HSTS, Dependency Confusion.

MEDIUM · Cobertura BaaS, Cloud e CVEs

60 checks com cerca de 30% dos payloads. Aqui entra a profundidade real: auditoria de Supabase RLS, Firebase Rules, AWS S3, GraphQL avançado, smuggling, cache poisoning, CVE de bibliotecas. Use antes de release importante.

Adiciona ao EASY: Supabase RLS Audit, Supabase service_role exposto, Firebase Rules permissivas, Firebase API Key, Firebase Storage sem auth, AWS S3 público, Cognito misconfig, SSRF Cloud Metadata, Wayback JS Leakage, JS Libraries Vulneráveis (Retire.js), CVE Scan de componentes, HTTP Request Smuggling, Cache Poisoning, Cryptographic Failures, TLS/SSL misconfiguration, Session Fixation, Insecure Cookie Flags, Password Reset Token fraco, 2FA / OTP Bypass, Account Enumeration, Credential Stuffing, Zone Transfer (AXFR), Subdomain Takeover, Git/SVN Repo exposto, Backup files expostos.

HARD · Pentest completo balanceado

90 checks com cerca de 60% dos payloads. Modo agressivo: WAF bypass massivo, 403 bypass, exploração de RCE, SQLi avançada, GraphQL DoS, KID injection, prompt injection. Cobre quase tudo exceto edge cases obscuros.

Adiciona ao MEDIUM: WAF Bypass (120 payloads × 5 zonas × 5 encodings), 403 Bypass, Log4Shell e CVEs críticos, Insecure Deserialization (RCE), BOLA API, GraphQL DoS, GraphQL Injection, GraphQL CSRF, JWT KID injection, RBAC insuficiente, AI Prompt Injection (35 payloads em 8 categorias), LLM Data Leakage, Broken Access Control profundo, SQLi Boolean Blind, SQLi UNION-Based, Second-Order SQL Injection, Null Byte Injection, Format String, XPath Injection, LDAP Injection, CRLF Injection / HTTP Splitting, API Docs expostos (Swagger/OpenAPI), Paths sensíveis (250+ paths Nuclei-style), HTTP Parameter Pollution, WebSocket Hijacking estático, Web Cache Deception, DNS Rebinding, Dangling DNS Records, postMessage / iframe inseguro.

INSANE · Auditoria militar completa

145+ checks core com 100% dos payloads. Sem piedade: cobertura máxima absoluta, incluindo todos os edge cases, business logic complexa, brute force, ReDoS, fuzzing massivo de API.

Adiciona ao HARD: RFI (Remote File Inclusion), Insufficient Logging & Monitoring, Insecure Password Policy, Missing Rate Limiting, Auth Bypass via Parameter Tampering, Insecure Regex / ReDoS, Amplify GraphQL sem auth, security.txt incompleto, JS Source Map exposto, robots.txt / sitemap leakage, REST API Versioning Bypass, HTTP Method Override, NGINX/Apache Alias Traversal, SSRF Blind out-of-band, Zip Slip, Information Disclosure Headers, Directory Listing, Insecure Password Change, Privilege Escalation Horizontal, Privilege Escalation Vertical, Negative Value / Price Manipulation, Coupon / Promo Code Abuse, Business Logic Errors (165 vetores), Cloud Storage Enumeration, API Key em URL/Logs, DoS via Large Payload, Brute Force, File Upload sem validação, API Mega Fuzzer (320 params × 50 endpoints).

Escopo vs. Intensidade do Payload

A partir da v1.4 do scanner, o tier deixou de combinar escopo e payload num único parâmetro. Hoje são dois eixos independentes:

• Escopo (--script-<tier>): define quais vulnerabilidades serão testadas. Vem direto do tier escolhido (LOW = 15 checks, EASY = 35, MEDIUM = 60, HARD = 90, INSANE = 145+). Não é editável separadamente.
• Intensidade do payload (--<low|easy|medium|hard|insane>): define quantos payloads por check serão enviados. Para LOW/EASY/MEDIUM, casa automaticamente com o tier. Para HARD e INSANE, o painel de configuração abre uma etapa extra onde você escolhe a intensidade desejada (de LOW a INSANE).

Exemplo prático: --script-insane --low roda o catálogo completo de 145+ checks da auditoria militar, mas com payload mínimo (1-3 tentativas por check). Útil pra reconhecimento amplo sem disparar alertas de WAF. O inverso, --script-hard --insane, roda só os 90 checks de pentest completo mas com payload máximo em cada um, ideal pra auditoria profunda em alvo focado.

Flags disponíveis

Cada flag ativa um conjunto específico de técnicas. Escolha as que fizerem sentido para a arquitetura do alvo.

Vulnerabilidades suportadas

Lista completa: 145 checks core + 14 sub-checks de headers + 17 client-side + 15 WordPress = 191 vulnerabilidades únicas. Organizadas por categoria.

Injection (17)

Autenticação e Controle de Acesso (10)

IA, JWT e Lógica (15)

BaaS e Cloud (10)

Recon e DNS (10)

Infraestrutura e Protocolo (23)

Lógica de Negócio (18)

Avançado (15)

Headers de Segurança Granulares (14 sub-checks)

security.txt

Browser Mimic · Vulnerabilidades client-side (17)

Vulnerabilidades que só aparecem quando JavaScript executa no DOM real. Detectadas com Playwright headless e anti-fingerprinting. A partir do plano WhiteHat.

WordPress Audit (15)

Disparado quando WordPress é detectado no alvo. A partir do plano Script Kiddie.

Alvos compatíveis

Que tipo de aplicação o CyberDyne consegue analisar bem.

CyberDyne é black-box web: opera sobre HTTP(S) público, sem acesso a código-fonte, sem credenciais cloud, sem rede interna. Funciona muito bem em:

• SaaS B2B e dashboards (React, Vue, Angular, Svelte, Next.js, Nuxt, Remix, SvelteKit).
• E-commerces (Shopify customizado, VTEX, Magento, WooCommerce, Shoplazza, plataformas headless).
• APIs REST e GraphQL (Node, Python, Go, Ruby, PHP, Java/Spring, .NET, Elixir).
• BaaS Frontends (Supabase, Firebase, Appwrite, Hasura): detecta RLS bypass, regras inseguras e service_role exposta.
• Sites institucionais e landing pages (Astro, Hugo, Jekyll, Next, WordPress, Webflow, Framer).
• Aplicações low-code (Bubble, Webflow, Framer, Softr, Tilda), quando expostas à internet pública.
• Subdomínios staging/dev esquecidos com autenticação fraca.

Vibe Coding · O foco principal

Por que aplicações geradas por IA são o terreno fértil do CyberDyne.

Vibe coding é o termo popularizado em 2024-2025 para desenvolvimento conduzido majoritariamente por IA: ChatGPT, Claude, Cursor, Lovable, V0, Bolt, Replit Agent. O desenvolvedor descreve o que quer e a IA escreve o código. O resultado é veloz, mas tem um perfil de risco específico:

• Validação superficial: IA tende a aceitar input do usuário sem sanitizar, especialmente em endpoints menos óbvios.
• RLS mal configurado: Supabase/Firebase com regras genéricas tipo auth.role() = 'authenticated' que não limitam por dono do recurso.
• Service role exposto: IA frequentemente sugere usar service_role no front-end por "simplicidade".
• CORS aberto demais: Access-Control-Allow-Origin: * com cookies em endpoints autenticados.
• JWT sem validação: APIs aceitando JWT com alg: none ou sem verificar assinatura.
• Endpoints administrativos esquecidos: /admin, /api/internal, /debug deixados sem guard.
• Secrets em .env exposto: deploy sem .gitignore apropriado, .env servido publicamente.
• SQL não parametrizado: string concatenation em queries que IA escreveu rapidamente.

O CyberDyne foi construído para essa nova classe de aplicações. As 14 transições do Kill Chain Chaining, os 107 patterns de webhook leaks do Shadow IT, os checks específicos de Supabase RLS bypass, JWT none e IDOR em APIs com auth.user.id no body: tudo foi calibrado para encontrar o que o vibe coding deixa passar.

OOB e Browser Mimic em detalhe

Duas tecnologias que separam scan superficial de pentest real.

Out-of-Band (OOB) com Interactsh

Vulnerabilidades blind não retornam evidência na resposta HTTP: você dispara o exploit e a aplicação responde "200 OK" mesmo quando foi explorada. SSRF interna, XXE blind, Log4Shell, RCE em jobs assíncronos. A única forma de confirmar é ter um servidor externo que recebe a chamada quando o payload executa.

CyberDyne integra Interactsh (servidor próprio dedicado) e injeta payloads que, se exploitados, fazem o servidor da vítima abrir conexão com nosso Interactsh. Capturamos a chamada (DNS, HTTP, SMTP) e confirmamos a vuln com evidência irrefutável. Zero falso positivo nessa categoria.

Browser Mimic com Playwright

SPAs modernas (React, Vue, Next.js) renderizam tudo no client. Um scanner que só faz curl recebe um HTML quase vazio com 50KB de bundle JS. Vulnerabilidades client-side (DOM XSS, prototype pollution, postMessage sinks) são invisíveis sem executar o JS.

Browser Mimic abre Chromium real headless via Playwright, com 17 técnicas anti-fingerprinting (User-Agent realista, plugins, WebGL, canvas, fonts, timing humano), navega o alvo, executa o JS, intercepta DOM mutations, monitora postMessage, faz taint analysis em tempo real e reporta o que só apareceu depois da execução.

Relatórios entregues

Cinco formatos, cada um para um caso de uso específico.

Cada finding vem com: severity (CRITICAL/HIGH/MEDIUM/LOW/INFO), CVSS 3.1 vector completo, CWE ID, MITRE ATT&CK technique, request bruta usada, response capturada, screenshot quando aplicável, PoC reprodutível e recomendação de correção.

Uso ético e legal

A regra de ouro do pentest.

Só execute o CyberDyne contra alvos dos quais você é proprietário ou tem autorização formal por escrito para testar. Pentest não autorizado é crime no Brasil pelo Art. 154-A do Código Penal (Lei 12.737/2012, "Lei Carolina Dieckmann"), com pena de detenção de 3 meses a 1 ano e multa, agravada se houver obtenção de informação ou prejuízo econômico.

Antes do primeiro scan, você aceita o Termo de Compromisso de Uso Ético e Autorizado, que registra IP, user-agent, hash SHA-256 e timestamp do aceite. Esse registro tem validade jurídica plena (MP 2.200-2/2001) e é suficiente como prova em juízo.

A BuildCode coopera ativamente com investigações legítimas. Mantemos logs completos de scans (URL alvo, timestamp, IP de origem, intensidade, flags ativadas, identificador do usuário) por 12 meses e fornecemos a autoridades competentes mediante requisição judicial fundamentada.