Choisir des cibles

La chasse aux primes de bugs consiste à trouver et à signaler de manière responsable des vulnérabilités dans des systèmes dont les propriétaires autorisent les tests, en échange d’une reconnaissance ou d’une récompense financière. Il s’agit de piratage légal et autorisé.

• Les programmes définissent ce qui est dans le périmètre et ce qui est récompensé
• Des plateformes comme HackerOne, Bugcrowd et Intigriti les hébergent
• Les entreprises organisent également des programmes indépendants

Choisir la bonne cible fait la différence entre gagner des primes et perdre son temps.

Le périmètre définit exactement les ressources que vous pouvez tester. Tester quoi que ce soit en dehors du périmètre est non autorisé, inefficace et peut entraîner votre bannissement ou des poursuites.

• Dans le périmètre — les domaines, applications et API que vous pouvez attaquer
• Hors périmètre — les ressources auxquelles vous devez vous abstenir de toucher
• Vulnérabilités exclues — les types de problèmes que le programme ne récompensera pas

Lisez le périmètre avant toute autre chose.

Chaque programme possède une page consacrée à sa politique. Considérez-la comme un contrat. Voici les sections clés à étudier :

• Listes des ressources dans le périmètre et hors périmètre
• Fourchettes de récompense selon la gravité
• Règles d’engagement (limites de débit, absence d’analyse automatisée, etc.)
• Déclaration de sphère de sécurité protégeant les recherches menées de bonne foi

Une mauvaise compréhension de la politique est l’erreur de débutant la plus courante.

L’étendue du périmètre détermine votre stratégie.

• Périmètre générique tel que *.example.com couvrant chaque sous-domaine, avec une surface immense, idéal pour les chasseurs axés sur la reconnaissance
• Périmètre limité à une ressource tel que app.example.com, étroit, favorisant les tests manuels approfondis

Les périmètres génériques favorisent l’automatisation et l’étendue ; les ressources uniques favorisent la patience et la profondeur.

Il existe deux grands types de programmes :

• VDP (Vulnerability Disclosure Program) — accepte les rapports, mais ne verse qu’une reconnaissance ou des remerciements
• Bug Bounty (BBP) — verse des primes en argent

Les VDP sont excellents pour les débutants qui souhaitent bâtir leur réputation ; les programmes rémunérés sont l’objectif une fois les compétences acquises. Certains chasseurs utilisent les VDP pour s’exercer sans risque sur des cibles réelles.

Les programmes sont publics ou accessibles sur invitation.

• Public — tout le monde peut participer ; la concurrence est forte et les vulnérabilités faciles à trouver ont déjà été signalées
• Privé — invitation fondée sur la réputation et la qualité des rapports ; la concurrence est bien moindre

Constituer un historique sur des programmes publics permet d’obtenir des invitations à des programmes privés lucratifs, où la surface d’attaque est plus récente.

Adaptez la cible à vos points forts et à votre patience :

• Vous êtes à l’aise avec la logique des applications web ? Choisissez des applications SaaS complexes
• Vous aimez l’automatisation ? Choisissez des périmètres génériques étendus
• Vous avez des compétences mobiles ? Choisissez des programmes incluant des applications

Tenez également compte de la maturité : un programme tout récent contient probablement des vulnérabilités faciles, tandis qu’un programme mature exige de la créativité pour trouver ce que les autres ont manqué.

Les plateformes suivent votre qualité de signal (ratio de rapports valides par rapport aux rapports invalides) et vos points de réputation. Ces indicateurs conditionnent les invitations privées et peuvent influer sur les multiplicateurs de prime.

• Soumettre du bruit (des faux positifs) nuit à votre qualité de signal
• Des rapports de qualité et valides augmentent votre réputation

Préservez votre qualité de signal : ne signalez que les bugs que vous avez confirmés et dont vous pouvez démontrer l’impact.

Les primes augmentent avec la gravité, généralement répartie selon des niveaux semblables à ceux de CVSS. Exemple de barème :

• Critique (RCE, contournement de l’authentification) — récompenses les plus élevées
• Élevée (injection SQL, SSRF, prise de contrôle de compte)
• Moyenne (XSS persistante, IDOR)
• Faible (redirection ouverte, fuite d’informations mineure)

Ciblez les types de ressources associés aux bugs à fort impact que vous savez bien trouver.

Les chasseurs sérieux prennent des notes pour chaque programme : changements de périmètre, ressources testées et pistes à reprendre. Le périmètre n’est pas figé : de nouvelles ressources sont ajoutées et d’anciens bugs réapparaissent.

Un simple fichier de suivi vous permet de rester organisé et évite de tester à nouveau la même chose.

L’invitation au programme de primes est votre seule autorisation. Ne la dépassez jamais.

• Testez uniquement les ressources dans le périmètre
• Respectez les limites de débit et évitez les tests perturbateurs
• N’accédez jamais aux données d’autres utilisateurs, ne les modifiez pas et ne les exfiltrez pas au-delà de ce qui est nécessaire pour prouver l’impact
• Ne divulguez rien publiquement avant que le programme ne l’autorise

Les protections de la sphère de sécurité s’appliquent uniquement aux tests menés de bonne foi et dans le périmètre.

Vous avez appris à choisir judicieusement vos cibles de chasse aux primes de bugs.

• Le périmètre est un contrat : lisez-le avant de tester quoi que ce soit
• Les périmètres génériques favorisent la reconnaissance et l’étendue ; les ressources uniques favorisent la profondeur
• Distinguez les VDP (sans rémunération) des programmes de primes rémunérés
• Les programmes publics bâtissent une réputation qui permet d’accéder à des programmes privés plus récents
• Préservez votre qualité de signal en ne signalant que des bugs confirmés et ayant un impact

Nous allons maintenant intensifier la reconnaissance pour trouver une surface d’attaque plus vaste.