Hochwertige Bug-Reports schreiben

Ein hochwertiger Bericht wird schneller triagiert, seltener als Duplikat oder rein informativ eingestuft, erhält eine genauere Bewertung des Schweregrads und stärkt Ihren Ruf bei den Programmen. Mangelhafte Berichte können selbst bei kritischen Schwachstellen verworfen oder zu niedrig bewertet werden.

Jeder hochwertige Bericht enthält: einen Titel der Schwachstelle, eine Bewertung des Schweregrads mit Begründung anhand von CVSS, das betroffene Asset (URL/Endpunkt), eine Beschreibung des Problems, eine schrittweise Reproduktion, einen Proof of Concept, eine Auswirkungsanalyse und einen Vorschlag zur Behebung.

Ein guter Titel ist spezifisch und informativ: „IDOR auf /api/v2/users/{id} ermöglicht jedem authentifizierten Benutzer den Zugriff auf private Profildaten“ ist besser als „Umgehung der Autorisierung“. Nennen Sie in einem Satz den Schwachstellentyp, den betroffenen Endpunkt und die Auswirkung.

Formulieren Sie die Schritte zur Reproduktion so, dass ein Junior-Entwickler, der diese Schwachstelle noch nie gesehen hat, sie reproduzieren kann. Nummerieren Sie jeden Schritt. Fügen Sie die exakten HTTP-Anfragen ein (kopieren Sie sie aus Burp Suite). Nennen Sie alle erforderlichen Voraussetzungen, etwa Kontotyp, geografische Einschränkung oder Tageszeit.

Fügen Sie Screenshots, Bildschirmaufzeichnungen oder HTTP-Anfrage-/Antwortmitschnitte aus Burp Suite bei, die das Vorhandensein der Schwachstelle belegen. Bei einer IDOR-Schwachstelle: Zeigen Sie, wie Konto A mit der geänderten Anfrage auf die Daten von Konto B zugreift und die Antwort die Daten von B enthält.

Erklären Sie die geschäftlichen Auswirkungen klar: „Ein Angreifer kann durch schrittweises Durchprobieren der IDs auf den vollständigen Namen, die E-Mail-Adresse, die Telefonnummer und die Rechnungsadresse jedes Benutzers zugreifen.“ Quantifizieren Sie die Auswirkungen, wo dies möglich ist: „Die Benutzertabelle enthält 2 Millionen Datensätze, auf die alle zugegriffen werden kann.“ Verknüpfen Sie die technischen Auswirkungen mit dem Geschäftsrisiko.

Viele Programme verwenden CVSS 3.1 zur Bewertung des Schweregrads. Lernen Sie die sechs Basismetriken: AV (Angriffsvektor), AC (Komplexität), PR (erforderliche Berechtigungen), UI (Benutzerinteraktion), S (Geltungsbereich), C/I/A (Auswirkung). Eine korrekte CVSS-Bewertung signalisiert Fachkenntnis und beschleunigt die Triage.

Häufige Fehler in Berichten: kein beigefügter PoC, fehlende Voraussetzungen bei den Reproduktionsschritten, unterschätzte Auswirkungen (sagen Sie nicht „niedrig“ bei einer Kontokompromittierung), theoretische Schwachstellen ohne Nachweis ihrer Ausnutzbarkeit und doppelte Einreichungen, ohne zuvor veröffentlichte Berichte geprüft zu haben.

Fügen Sie die exakte HTTP-Anfrage und -Antwort ein, wobei Sie sensible Daten schwärzen – fügen Sie keine personenbezogenen Daten anderer Nutzer ein, die über das unbedingt Erforderliche hinausgehen. Verwenden Sie die Funktion „Copy as curl“ von Burp Suite, um einen einzeiligen Reproduktionsbefehl bereitzustellen, den Prüfer sofort ausführen können.

Beantworten Sie Fragen der Triage zeitnah. Wenn Sie um eine Klarstellung gebeten werden, liefern Sie diese innerhalb von 24–48 Stunden. Eine professionelle und höfliche Kommunikation baut langfristige Beziehungen zu Sicherheitsteams auf und erhöht die Chancen auf Anerkennung für erneute Tests und Bonusprämien.

Lesen Sie die am besten bewerteten Berichte auf den Offenlegungsseiten von HackerOne und Bugcrowd. Studieren Sie, wie führende Sicherheitsforscher Berichte strukturieren, Auswirkungen nachweisen und Schwachstellenketten darstellen. Übernehmen Sie die Formatierung und die Darstellung der Auswirkungen in Ihren eigenen Einreichungen.

Welches ist das wichtigste Element, das einen hochwertigen von einem mangelhaften Bug-Bounty-Bericht unterscheidet?

Hochwertige Berichte verbinden einen spezifischen Titel, klare Reproduktionsschritte, einen konkreten Proof of Concept, eine korrekte CVSS-Bewertung und eine überzeugende Analyse der geschäftlichen Auswirkungen. Die Investition in die Qualität eines Berichts maximiert die Prämien, stärkt den Ruf und beschleunigt die Triage durch Sicherheitsteams.