Pentest & Metodologias
- Pentest Web
- Pentest de API
- OWASP Top 10
- Lógica de negócio
- PTES
- OSSTMM
$ whoami> gabriel jesus · red teamPentester && DevSecOps
Eu não paro na checklist. Mapeio o objetivo do ataque, quebro a regra de negócio e mostro o impacto real.
- [ 09 ]Write-ups publicados
- [ 04 ]Certificações e formações
- [ 03 ]Pós-graduações em curso
Quem está do outro lado do terminal
Sou Gabriel Santos de Jesus, profissional de segurança ofensiva atuando na frente de Red Team — Pentest de Aplicações Web e APIs.
Minha abordagem não para na checklist do OWASP Top 10. Antes de rodar qualquer scanner, mapeio objetivos de ataque com base em demos reais da aplicação e construo casos de teste customizados por alvo — attack-case plans, não uma lista genérica. O foco é quebra de regra de negócio e impacto real, não só vulnerabilidade catalogada.
Hoje, no CEPEL, além da execução de pentest, lidero de forma proativa a primeira iniciativa de DevSecOps da empresa — unindo essa base ofensiva a SAST, DAST e CI/CD seguro (Semgrep, Gitleaks, Trivy, ZAP, Nuclei, sqlmap, Nikto, testssl.sh), com triagem centralizada no DefectDojo e gate automático de severidade. Antes disso, na Pacific Security, cobri pentest web/API com foco em falhas de lógica de negócio, reconhecimento via OSINT e relatórios técnicos com CVSS.
Sigo estudando: três pós-graduações simultâneas (Segurança Ofensiva, Redes, Ethical Hacking) na Faculdade VINCIT, além de certificações em Active Directory Red Team e Exploit Development.
Publico o que aprendo: nove análises técnicas de web hacking no GitHub — Access Control, CORS, XSS e XXE — além de conteúdo de Red Team no Instagram.
Arsenal
Ferramentas de Pentest
- Burp Suite
- FFUF
- Nmap
- Metasploit
- Nuclei
- OSINT
DevSecOps & CI/CD
- GitHub Actions
- Docker
- DefectDojo
- Semgrep
- Gitleaks
- Trivy
- OWASP ZAP
- sqlmap
- Nikto
- testssl.sh
- OWASP ASVS
Infraestrutura
- Linux
- Windows
- Active Directory
- TCP/IP
Engagements
Attack-case plans customizados por objetivo
A partir de demos da aplicação, defini objetivos de ataque e caminhos manuais de exploração de regra de negócio — substituindo a varredura genérica por casos de teste desenhados para o alvo.
Resultado: falhas de lógica de negócio fora do alcance de scanner, com o caminho de exploração documentado ponta a ponta.
Pipeline SAST/DAST com gate automático de severidade
Pipeline open source ponta a ponta em GitHub Actions: Semgrep, Gitleaks e Trivy no código e na imagem; ZAP, Nuclei, sqlmap, Nikto e testssl.sh na aplicação em execução. Triagem centralizada no DefectDojo e build barrado por severidade.
Resultado: a barreira deixou de depender de alguém lembrar de rodar o scan — ela roda a cada push.
Proposta de Secure Code Review sobre OWASP ASVS
Desenho de revisão segura de código ancorada nos níveis do OWASP ASVS, ligando o achado manual do pentest ao controle que deveria tê-lo evitado.
Resultado: critério de revisão preso a requisito, não à opinião do revisor — cada entrega medida contra o mesmo nível de ASVS.
Methodology
Referência em PTES e OSSTMM, com cobertura OWASP Top 10 e ASVS onde aplicável — mas o processo real tem uma etapa antes de tudo isso.
-
01
Recon
Mapeamento de ativos e superfície de ataque via OSINT. Escopo definido pelo que a aplicação realmente expõe, não só pelo que o cliente lista.
-
02
Objective Mapping
Elaboração dos attack-case plans: a partir de demos da aplicação, defino objetivos de ataque e caminhos manuais de exploração de regra de negócio — antes de rodar qualquer automação.
-
03
Exploitation
Execução manual priorizando lógica de negócio e impacto real, com ferramentas de apoio (Burp Suite, FFUF, Nmap, Metasploit, Nuclei) quando o caminho exige.
-
04
Reporting
Relatório técnico com achados, evidências, severidade (CVSS) e recomendações de mitigação — mais sumário executivo quando o público exige.
-
05
DevSecOps Feedback Loop
Os achados alimentam o pipeline de SAST/DAST com triagem no DefectDojo e gate automático de severidade — fechando o ciclo entre achado manual e prevenção contínua em CI/CD.
Write-ups
Web Hacking
Diário de CTF (HackTheBox) 4 registrosContact
Pra falar sobre pentest, red team ou DevSecOps.
- local
- Rio de Janeiro, Brasil
- modelo
- Remoto · híbrido e presencial no RJ