Ziele auswählen

Bug Bounty Hunting bedeutet, Sicherheitslücken in Systemen zu finden und verantwortungsvoll zu melden, deren Eigentümer Tests ausdrücklich erlauben – im Austausch gegen Anerkennung oder Geld. Es handelt sich um legales, autorisiertes Hacking.

• Programme legen fest, was zum Testumfang gehört und welche Funde belohnt werden
• Plattformen wie HackerOne, Bugcrowd und Intigriti hosten solche Programme
• Unternehmen führen auch eigene Programme durch

Die Wahl des richtigen Ziels entscheidet darüber, ob Sie Prämien verdienen oder Ihre Zeit verschwenden.

Der Testumfang legt genau fest, welche Assets Sie testen dürfen. Tests außerhalb des Umfangs sind nicht autorisiert und unwirksam und können dazu führen, dass Sie gesperrt oder strafrechtlich verfolgt werden.

• In scope – die Domains, Anwendungen und APIs, die Sie angreifen dürfen
• Out of scope – Assets, die Sie nicht testen dürfen
• Excluded vulns – Arten von Schwachstellen, für die das Programm keine Prämie zahlt

Lesen Sie den Testumfang, bevor Sie irgendetwas anderes tun.

Jedes Programm verfügt über eine Policy-Seite. Betrachten Sie sie als Vertrag. Wichtige Abschnitte, die Sie studieren sollten:

• Listen der Assets innerhalb und außerhalb des Testumfangs
• Prämienbereiche nach Schweregrad
• Engagement-Regeln (Ratenbegrenzungen, kein automatisiertes Scannen usw.)
• Safe-Harbor-Erklärung zum Schutz gutgläubiger Sicherheitsforschung

Eine falsch verstandene Policy ist der häufigste Fehler von Anfängern.

Die Breite des Testumfangs bestimmt Ihre Strategie.

• Wildcard-Testumfang wie *.example.com umfasst jede Subdomain – eine riesige Angriffsfläche, ideal für Recon-lastige Hunter
• Einzel-Asset-Testumfang wie app.example.com ist eng begrenzt und belohnt gründliche manuelle Tests

Wildcards begünstigen Automatisierung und Breite, einzelne Assets dagegen Geduld und Tiefe.

Es gibt zwei Hauptarten von Programmen:

• VDP (Vulnerability Disclosure Program) – nimmt Meldungen an, zahlt aber nur mit Reputation oder Dank
• Bug Bounty (BBP) – zahlt Geldprämien

VDPs eignen sich hervorragend für Anfänger, die sich eine Reputation aufbauen möchten. Kostenpflichtige Programme sind das Ziel, sobald Sie über die nötigen Fähigkeiten verfügen. Manche Hunter nutzen VDPs, um risikofrei an realen Zielen zu üben.

Programme sind öffentlich oder nur auf Einladung zugänglich.

• Öffentlich – jeder kann teilnehmen; starker Wettbewerb, leicht auffindbare Schwachstellen sind meist bereits gemeldet
• Privat – Einladungen basieren auf Reputation und nachgewiesenen Fähigkeiten; deutlich weniger Wettbewerb

Wenn Sie sich bei öffentlichen Programmen eine Erfolgsbilanz aufbauen, erhalten Sie Einladungen zu lukrativen privaten Programmen mit einer weniger erforschten Angriffsfläche.

Wählen Sie ein Ziel, das zu Ihren Stärken und Ihrer Geduld passt:

• Sie beherrschen die Logik von Webanwendungen? Wählen Sie komplexe SaaS-Anwendungen
• Sie lieben Automatisierung? Wählen Sie umfangreiche Wildcard-Testumfänge
• Sie verfügen über Mobile-Kenntnisse? Wählen Sie Programme, deren Testumfang mobile Apps einschließt

Berücksichtigen Sie auch den Reifegrad: In einem brandneuen Programm gibt es wahrscheinlich leicht zu findende Schwachstellen, während ein ausgereiftes Programm Kreativität erfordert, um bisher übersehene Probleme zu finden.

Plattformen erfassen Ihr Signal (das Verhältnis gültiger zu ungültigen Meldungen) und Ihre Reputationspunkte. Diese beeinflussen Einladungen zu privaten Programmen und können sich auf Prämienmultiplikatoren auswirken.

• Viele irrelevante Meldungen (False Positives) verschlechtern Ihr Signal
• Hochwertige, gültige Meldungen erhöhen Ihre Reputation

Schützen Sie Ihr Signal: Melden Sie nur Schwachstellen, die Sie bestätigt haben und deren Auswirkungen Sie demonstrieren können.

Prämien richten sich nach dem Schweregrad, der üblicherweise in CVSS-ähnliche Stufen eingeteilt wird. Eine typische Tabelle:

• Kritisch (RCE, Umgehung der Authentifizierung) – höchste Prämien
• Hoch (SQLi, SSRF, Kontoübernahme)
• Mittel (gespeichertes XSS, IDOR)
• Niedrig (offene Weiterleitung, geringfügiges Informationsleck)

Konzentrieren Sie sich auf Asset-Typen, bei denen wirkungsvolle Schwachstellen zu erwarten sind, die Sie gut finden können.

Erfahrene Hunter führen für jedes Programm Notizen: Änderungen am Testumfang, getestete Assets und erneut zu prüfende Hinweise. Der Testumfang ist nicht statisch; neue Assets kommen hinzu und alte Schwachstellen treten erneut auf.

Eine einfache Tracking-Datei sorgt für Ordnung und verhindert, dass Sie dieselbe Sache erneut testen.

Die Einladung zum Bounty-Programm ist Ihre einzige Autorisierung. Überschreiten Sie deren Grenzen niemals.

• Testen Sie nur Assets innerhalb des Testumfangs
• Beachten Sie Ratenbegrenzungen und vermeiden Sie störende Tests
• Greifen Sie niemals über den Nachweis der Auswirkungen hinaus auf Daten anderer Benutzer zu, verändern oder exfiltrieren Sie sie nicht
• Veröffentlichen Sie keine Informationen, bevor das Programm dies erlaubt

Safe-Harbor-Schutz gilt nur für gutgläubige Tests innerhalb des festgelegten Umfangs.

Sie nehmen an einem neuen Programm mit dem Testumfang *.example.com teil. Um welche Art von Testumfang handelt es sich, und welche Strategie eignet sich dafür?

Sie haben gelernt, wie Sie Bug-Bounty-Ziele sinnvoll auswählen.

• Der Testumfang ist ein Vertrag – lesen Sie ihn, bevor Sie irgendetwas testen
• Wildcard-Testumfänge begünstigen Recon und Breite, einzelne Assets dagegen Tiefe
• Unterscheiden Sie zwischen VDP (keine Bezahlung) und kostenpflichtigen Bug-Bounty-Programmen
• Öffentliche Programme bauen Reputation auf, die den Zugang zu weniger erforschten privaten Programmen ermöglicht
• Schützen Sie Ihr Signal, indem Sie nur bestätigte, wirkungsvolle Schwachstellen melden

Als Nächstes skalieren wir die Reconnaissance, um eine größere Angriffsfläche zu finden.