Menulis Laporan Bug Berkualitas Tinggi

Laporan berkualitas tinggi akan menjalani triase lebih cepat, lebih kecil kemungkinannya ditandai sebagai duplikat atau informasional, menerima penilaian tingkat keparahan yang akurat, dan membangun reputasi Anda di mata program. Laporan yang buruk—bahkan untuk bug kritis—dapat ditolak atau dinilai terlalu rendah.

Setiap laporan berkualitas mencakup: judul kerentanan, penilaian tingkat keparahan beserta justifikasi CVSS, aset yang terdampak (URL/titik akhir), uraian masalah, langkah reproduksi secara berurutan, bukti konsep, penilaian dampak, dan saran perbaikan.

Judul yang baik bersifat spesifik dan informatif: "IDOR pada /api/v2/users/{id} memungkinkan setiap pengguna terautentikasi mengakses data profil pribadi" lebih baik daripada "Bypass otorisasi." Sertakan: jenis kerentanan, titik akhir yang terdampak, dan dampaknya dalam satu kalimat.

Tulislah langkah reproduksi agar pengembang junior yang belum pernah melihat bug ini dapat mereproduksinya. Beri nomor pada setiap langkah. Sertakan permintaan HTTP yang persis (salin dari Burp Suite). Sertakan semua prasyarat yang diperlukan (jenis akun, pembatasan geografis, waktu).

Sertakan tangkapan layar, rekaman layar, atau tangkapan permintaan/respons HTTP dari Burp Suite yang membuktikan bahwa kerentanan tersebut ada. Untuk IDOR: tunjukkan Akun A mengakses data Akun B menggunakan permintaan yang telah diubah, beserta respons yang menampilkan data B.

Jelaskan dampak bisnis dengan jelas: "Penyerang dapat mengakses nama lengkap, alamat surel, nomor telepon, dan alamat penagihan pengguna mana pun dengan mengiterasi ID." Jika memungkinkan, nyatakan dalam angka: "Tabel pengguna memiliki 2 juta catatan dan semuanya dapat diakses." Hubungkan dampak teknis dengan risiko bisnis.

Banyak program menggunakan CVSS 3.1 untuk menilai tingkat keparahan. Pelajari enam metrik dasar: AV (vektor serangan), AC (kompleksitas), PR (hak istimewa yang diperlukan), UI (interaksi pengguna), S (cakupan), C/I/A (dampak). Menilai CVSS secara akurat menunjukkan keahlian dan mempercepat triase.

Kesalahan umum dalam laporan: tidak melampirkan PoC, prasyarat tidak dicantumkan dalam langkah reproduksi, dampak diremehkan (jangan menyebut pengambilalihan akun sebagai "rendah"), kerentanan teoretis tanpa bukti bahwa kerentanan tersebut dapat dieksploitasi, serta pengiriman duplikat tanpa memeriksa laporan yang telah diungkapkan sebelumnya.

Tempelkan permintaan dan respons HTTP yang persis (dengan data sensitif disamarkan—jangan sertakan PII pengguna lain melebihi yang diperlukan). Gunakan fitur "Copy as curl" dari Burp Suite untuk memberikan perintah reproduksi satu baris yang dapat langsung dijalankan oleh peninjau.

Jawablah pertanyaan triase dengan segera. Jika diminta memberikan klarifikasi, berikan dalam waktu 24–48 jam. Komunikasi yang profesional dan sopan membangun hubungan jangka panjang dengan tim keamanan serta meningkatkan peluang memperoleh kredit pengujian ulang dan imbalan bonus.

Bacalah laporan dengan peringkat tertinggi di halaman pengungkapan HackerOne dan Bugcrowd. Pelajari cara peneliti terkemuka menyusun laporan, menunjukkan dampak, dan merangkai kerentanan. Terapkan format dan cara menjelaskan dampak tersebut dalam pengiriman Anda sendiri.

Laporan bug berkualitas tinggi memadukan judul yang spesifik, langkah reproduksi yang jelas, bukti konsep yang konkret, penilaian CVSS yang akurat, dan penilaian dampak bisnis yang meyakinkan. Berinvestasi pada kualitas laporan memaksimalkan imbalan, membangun reputasi, dan mempercepat triase bagi tim keamanan.