Valg af mål

Bug bounty-jagt går ud på at finde og ansvarligt rapportere sikkerhedssårbarheder i systemer, hvis ejere inviterer til test, mod anerkendelse eller betaling. Det er lovlig hacking med tilladelse.

• Programmer definerer, hvad der er omfattet, og hvad der belønnes
• Platforme som HackerOne, Bugcrowd og Intigriti hoster dem
• Virksomheder driver også uafhængige programmer

At vælge det rigtige mål er forskellen på at tjene dusørbetalinger og spilde tiden.

Omfanget definerer præcis, hvilke aktiver du må teste. Test uden for omfanget er uautoriseret og ineffektiv og kan føre til, at du bliver udelukket eller retsforfulgt.

• Inden for omfanget — de domæner, apps og API'er, du må angribe
• Uden for omfanget — aktiver, du skal holde dig fra
• Undtagne sårbarheder — problemtyper, som programmet ikke belønner

Læs omfanget, før du gør noget som helst andet.

Alle programmer har en politikside. Betragt den som en kontrakt. Vigtige afsnit, du bør studere:

• Liste over aktiver inden for og uden for omfanget
• Beløbsintervaller efter alvorlighed
• Regler for opgaven (hastighedsbegrænsninger, ingen automatiseret scanning osv.)
• En safe-harbor-erklæring, der beskytter forskning udført i god tro

Fejllæsning af politikken er den mest almindelige begynderfejl.

Omfangets bredde former din strategi.

• Wildcard-omfang som *.example.com dækker alle underdomæner, har en enorm angrebsflade og er velegnet til jægere, der fokuserer på rekognoscering
• Enkeltaktiv-omfang som app.example.com er snævert og belønner grundig manuel test

Wildcards favoriserer automatisering og bredde; enkeltaktiver favoriserer tålmodighed og dybde.

Der findes to hovedtyper af programmer:

• VDP (Vulnerability Disclosure Program) — modtager rapporter, men betaler kun med omdømme eller tak
• Bug Bounty (BBP) — udbetaler dusørbetalinger

VDP'er er gode for begyndere, der vil opbygge et omdømme; betalte programmer er målet, når du har opbygget dine færdigheder. Nogle jægere bruger VDP'er til at øve sig på virkelige mål uden risiko.

Programmer er offentlige eller kun tilgængelige efter invitation.

• Offentlige — alle kan deltage; hård konkurrence, og de nemme fund er allerede væk
• Private — invitationer baseret på omdømme og dokumenterede resultater; langt mindre konkurrence

Hvis du opbygger en historik i offentlige programmer, får du invitationer til indbringende private programmer, hvor angrebsfladen er mindre udforsket.

Tilpas målet til dine styrker og din tålmodighed:

• Er du stærk i logikken i webapps? Vælg komplekse SaaS-apps
• Elsker du automatisering? Vælg brede wildcard-omfang
• Har du færdigheder inden for mobil? Vælg programmer med apps i omfanget

Overvej også modenhed: Et helt nyt program har sandsynligvis nemme sårbarheder, mens et modent program kræver kreativitet for at finde det, andre har overset.

Platforme holder øje med dine dokumenterede resultater (forholdet mellem gyldige og ugyldige rapporter) og dine omdømmepoint. De afgør, om du får private invitationer, og kan påvirke dusørmultiplikatorer.

• Støj i form af falske positiver skader dine dokumenterede resultater
• Rapporter af høj kvalitet med gyldige fund øger dit omdømme

Beskyt dine dokumenterede resultater: Rapportér kun fejl, du har bekræftet, og hvis konsekvenser du kan demonstrere.

Dusørbetalinger skalerer med alvorligheden, som regel efter niveauer, der minder om CVSS. En typisk tabel:

• Kritisk (RCE, omgåelse af godkendelse) — de højeste udbetalinger
• Høj (SQLi, SSRF, overtagelse af konto)
• Mellem (lagret XSS, IDOR)
• Lav (åben omdirigering, mindre informationslæk)

Gå efter de aktivtyper, der svarer til alvorlige sårbarheder, du er god til at finde.

Seriøse jægere fører noter for hvert program: ændringer i omfanget, testede aktiver og spor, der skal genbesøges. Omfanget er ikke statisk; nye aktiver bliver tilføjet, og gamle fejl dukker op igen.

En enkel sporingsfil holder dig organiseret og forhindrer, at du tester det samme igen.

Invitationen til dusørprogrammet er din eneste tilladelse. Overskrid den aldrig.

• Test kun aktiver inden for omfanget
• Respektér hastighedsbegrænsninger, og undgå forstyrrende test
• Gå aldrig længere end at bevise konsekvenserne ved at tilgå, ændre eller eksfiltrere andre brugeres data
• Offentliggør ikke oplysninger, før programmet tillader det

Safe-harbor-beskyttelse gælder kun for forskning udført i god tro og inden for omfanget.

Du har lært, hvordan du vælger bug bounty-mål med omtanke.

• Omfanget er en kontrakt; læs den, før du tester noget
• Wildcard-omfang favoriserer rekognoscering og bredde; enkeltaktiver favoriserer dybde
• Skeln mellem VDP (ingen betaling) og betalte dusørprogrammer
• Offentlige programmer opbygger et omdømme, der åbner døren til nyere private programmer
• Beskyt dine dokumenterede resultater ved kun at rapportere bekræftede sårbarheder med betydelig effekt

Nu skalerer vi rekognosceringen op for at finde mere af angrebsfladen.