اختيار الأهداف

اصطياد مكافآت اكتشاف الثغرات هو العثور على الثغرات الأمنية في أنظمة يدعو مالكوها إلى اختبارها، ثم الإبلاغ عنها بمسؤولية مقابل التقدير أو المال. وهو اختراق قانوني ومصرح به.

• تحدد البرامج ما يندرج ضمن النطاق وما يستحق المكافأة
• تستضيفها منصات مثل HackerOne وBugcrowd وIntigriti
• تدير الشركات أيضًا برامج مستقلة

اختيار الهدف المناسب هو الفارق بين كسب المكافآت وإهدار الوقت.

يحدد النطاق بدقة الأصول التي يُسمح لكم باختبارها. ويُعد اختبار أي شيء خارج النطاق غير مصرح به وغير فعال، وقد يؤدي إلى حظركم أو ملاحقتكم قضائيًا.

• ضمن النطاق — النطاقات والتطبيقات وواجهات API التي يُسمح لكم باختبارها
• خارج النطاق — الأصول التي يجب تركها دون اختبار
• الثغرات المستثناة — أنواع المشكلات التي لا يكافئ البرنامج عليها

اقرأوا النطاق قبل القيام بأي شيء آخر.

لكل برنامج صفحة سياسة. تعاملوا معها بوصفها عقدًا. ومن الأقسام الأساسية التي ينبغي دراستها:

• قوائم الأصول الواقعة ضمن النطاق وخارجه
• نطاقات المكافآت حسب مستوى الخطورة
• قواعد الاشتباك، مثل حدود المعدل ومنع الفحص الآلي وغير ذلك
• بيان الملاذ الآمن الذي يحمي أبحاث حسن النية

تُعد إساءة قراءة السياسة أكثر أخطاء المبتدئين شيوعًا.

يحدد اتساع النطاق استراتيجيتكم.

• يغطي النطاق الشامل مثل *.example.com كل نطاق فرعي، ويوفر سطحًا واسعًا يناسب الباحثين الذين يركزون على الاستطلاع
• أما نطاق الأصل الواحد مثل app.example.com فهو ضيق، ويكافئ الاختبار اليدوي المتعمق

تفضّل النطاقات الشاملة الأتمتة والاتساع، بينما تفضّل الأصول المفردة الصبر والتعمق.

يوجد نوعان رئيسيان من البرامج:

• VDP (برنامج الإفصاح عن الثغرات) — يقبل البلاغات، لكنه لا يقدم سوى السمعة أو الشكر
• Bug Bounty (BBP) — يدفع مكافآت مالية

تُعد برامج VDP مناسبة للمبتدئين لبناء السمعة، أما البرامج المدفوعة فهي الهدف بعد اكتساب المهارات. ويستخدم بعض الباحثين برامج VDP للتدرب على أهداف حقيقية دون مخاطر.

تكون البرامج عامة أو مخصصة للمدعوين فقط.

• العامة — يمكن لأي شخص المشاركة فيها؛ المنافسة شديدة، والثغرات السهلة غالبًا ما اكتُشفت
• الخاصة — تعتمد على الدعوة المستندة إلى السمعة والجدارة؛ والمنافسة فيها أقل بكثير

يساعد بناء سجل حافل في البرامج العامة على الحصول على دعوات إلى البرامج الخاصة المربحة، حيث يكون السطح أحدث.

طابقوا الهدف مع نقاط قوتكم وقدرتكم على الصبر:

• هل تتميزون في منطق تطبيقات الويب؟ اختاروا تطبيقات SaaS المعقدة
• هل تحبون الأتمتة؟ اختاروا نطاقات شاملة واسعة
• هل تملكون مهارات في الأجهزة المحمولة؟ اختاروا برامج تشمل تطبيقات محمولة

ضعوا النضج في الحسبان أيضًا: فالبرنامج الجديد غالبًا ما يحتوي على ثغرات سهلة، بينما يتطلب البرنامج الناضج إبداعًا للعثور على ما فات الآخرين.

تتتبع المنصات جدارتكم، أي نسبة البلاغات الصحيحة إلى غير الصحيحة، ونقاط سمعتكم. وتؤثر هذه المؤشرات في الدعوات الخاصة وقد تؤثر في مضاعفات المكافآت.

• يضر إرسال الضوضاء، أي الإيجابيات الكاذبة، بجدارتكم
• ترفع البلاغات عالية الجودة والصحيحة سمعتكم

احموا جدارتكم: لا تبلغوا إلا عن ثغرات تأكدتم منها ويمكنكم إثبات أثرها.

تزداد المكافآت مع ازدياد الخطورة، وعادةً ما تُصنّف وفق مستويات شبيهة بـ CVSS. ومن أمثلة الجداول المعتادة:

• حرجة مثل RCE وتجاوز المصادقة — أعلى المكافآت
• عالية مثل SQLi وSSRF والاستيلاء على الحساب
• متوسطة مثل XSS المخزنة وIDOR
• منخفضة مثل إعادة التوجيه المفتوحة وتسرب المعلومات المحدود

استهدفوا أنواع الأصول التي ترتبط بالثغرات عالية الأثر التي تجيدون العثور عليها.

يحتفظ الباحثون الجادون بملاحظات لكل برنامج، تشمل تغييرات النطاق والأصول التي اختُبرت والخيوط التي ينبغي مراجعتها. فالنطاق ليس ثابتًا؛ إذ تُضاف أصول جديدة وتعاود الثغرات القديمة الظهور.

يساعدكم ملف تتبع بسيط على التنظيم ويمنع إعادة اختبار الشيء نفسه.

دعوة برنامج المكافآت هي تصريحكم الوحيد. لا تتجاوزوها أبدًا.

• اختبروا الأصول الواقعة ضمن النطاق فقط
• احترموا حدود المعدل وتجنبوا الاختبارات المسببة للاضطراب
• لا تصلوا إلى بيانات المستخدمين الآخرين أو تعدّلوها أو تستخرجوا منها ما يتجاوز إثبات الأثر
• لا تفصحوا علنًا قبل أن يسمح البرنامج بذلك

لا تنطبق حماية الملاذ الآمن إلا على الاختبارات الواقعة ضمن النطاق والمنفذة بحسن نية.

لقد تعلمتم كيفية اختيار أهداف مكافآت اكتشاف الثغرات بحكمة.

• النطاق عقد؛ اقرأوه قبل اختبار أي شيء
• تفضّل النطاقات الشاملة الاستطلاع والاتساع، بينما تفضّل الأصول المفردة التعمق
• ميّزوا بين VDP، الذي لا يدفع مكافآت، وبرامج المكافآت المدفوعة
• تبني البرامج العامة السمعة التي تتيح الوصول إلى برامج خاصة أحدث
• احموا جدارتكم من خلال الإبلاغ عن الثغرات المؤكدة والمؤثرة فقط

ننتقل الآن إلى توسيع نطاق الاستطلاع للعثور على سطح هجوم أكبر.