Memilih Target

Perburuan bug bounty adalah kegiatan menemukan dan melaporkan kerentanan keamanan secara bertanggung jawab pada sistem yang pemiliknya mengizinkan pengujian, sebagai imbalan atas pengakuan atau uang. Ini adalah peretasan yang legal dan berwenang.

• Program menentukan hal yang termasuk dalam cakupan dan hal yang diberi imbalan
• Platform seperti HackerOne, Bugcrowd, dan Intigriti menyelenggarakannya
• Perusahaan juga menjalankan program independen

Memilih target yang tepat membedakan antara mendapatkan imbalan dan membuang-buang waktu.

Cakupan menentukan dengan tepat aset mana yang boleh Anda uji. Menguji apa pun di luar cakupan tidak berwenang, tidak efektif, dan dapat membuat Anda diblokir atau dituntut.

• Dalam cakupan — domain, aplikasi, dan API yang boleh Anda serang
• Di luar cakupan — aset yang harus Anda biarkan
• Kerentanan yang dikecualikan — jenis masalah yang tidak akan diberi imbalan oleh program

Baca cakupan sebelum melakukan hal lain.

Setiap program memiliki halaman kebijakan. Perlakukan halaman itu sebagai kontrak. Bagian penting yang perlu dipelajari:

• Daftar aset dalam cakupan dan di luar cakupan
• Rentang imbalan berdasarkan tingkat keparahan
• Aturan pelaksanaan (batas laju, tanpa pemindaian otomatis, dan sebagainya)
• Pernyataan perlindungan pelabuhan aman bagi penelitian dengan itikad baik

Salah membaca kebijakan adalah kesalahan pemula yang paling umum.

Luas cakupan membentuk strategi Anda.

• Cakupan wildcard seperti *.example.com mencakup setiap subdomain, memiliki permukaan serangan yang sangat luas, dan cocok bagi pemburu yang berfokus pada pengintaian
• Cakupan satu aset seperti app.example.com lebih sempit dan memberikan imbalan bagi pengujian manual yang mendalam

Wildcard mengutamakan otomatisasi dan keluasan; aset tunggal mengutamakan kesabaran dan kedalaman.

Ada dua jenis program utama:

• VDP (Program Pengungkapan Kerentanan) — menerima laporan, tetapi hanya memberikan reputasi/ucapan terima kasih
• Bug Bounty (BBP) — memberikan imbalan uang

VDP sangat cocok bagi pemula yang sedang membangun reputasi; program berbayar menjadi tujuan setelah Anda memiliki keterampilan. Sebagian pemburu menggunakan VDP untuk berlatih pada target nyata tanpa risiko.

Program bersifat publik atau hanya berdasarkan undangan.

• Publik — siapa pun dapat berpartisipasi; persaingan ketat dan target mudah biasanya sudah ditemukan
• Privat — undangan diberikan berdasarkan reputasi dan rekam jejak; persaingan jauh lebih rendah

Membangun rekam jejak pada program publik menghasilkan undangan ke program privat yang lebih menguntungkan dan memiliki permukaan serangan yang lebih baru.

Sesuaikan target dengan keahlian dan kesabaran Anda:

• Anda kuat dalam logika aplikasi web? Pilih aplikasi SaaS yang kompleks
• Anda menyukai otomatisasi? Pilih cakupan wildcard yang luas
• Anda memiliki keterampilan seluler? Pilih program yang mencakup aplikasi

Pertimbangkan juga kematangan: program yang baru dibuat kemungkinan memiliki bug mudah, sedangkan program yang matang memerlukan kreativitas untuk menemukan hal yang terlewat oleh orang lain.

Platform melacak rekam jejak Anda (rasio laporan valid terhadap tidak valid) dan poin reputasi. Keduanya menjadi syarat untuk undangan privat dan dapat memengaruhi pengali imbalan.

• Mengirim laporan yang tidak bermutu (positif palsu) merusak rekam jejak
• Laporan berkualitas dan valid meningkatkan reputasi

Lindungi rekam jejak Anda: hanya laporkan bug yang telah Anda pastikan dan yang dampaknya dapat Anda tunjukkan.

Imbalan meningkat sesuai tingkat keparahan, biasanya dipetakan ke tingkatan yang serupa dengan CVSS. Contoh tabel:

• Kritis (RCE, pelewatan autentikasi) — imbalan tertinggi
• Tinggi (SQLi, SSRF, pengambilalihan akun)
• Sedang (XSS tersimpan, IDOR)
• Rendah (pengalihan terbuka, kebocoran informasi kecil)

Sasar jenis aset yang terkait dengan bug berdampak tinggi yang pandai Anda temukan.

Pemburu yang serius menyimpan catatan untuk setiap program: perubahan cakupan, aset yang diuji, dan temuan yang perlu ditinjau kembali. Cakupan tidak bersifat tetap; aset baru ditambahkan dan bug lama dapat muncul kembali.

Berkas pelacakan sederhana membuat Anda tetap teratur dan mencegah pengujian ulang terhadap hal yang sama.

Undangan bounty adalah satu-satunya wewenang Anda. Jangan pernah melampauinya.

• Uji hanya aset yang termasuk dalam cakupan
• Patuhi batas laju dan hindari pengujian yang mengganggu
• Jangan pernah mengakses, mengubah, atau mengekstrak data pengguna lain melebihi yang diperlukan untuk membuktikan dampak
• Jangan mengungkapkan temuan secara publik sebelum diizinkan oleh program

Perlindungan pelabuhan aman hanya berlaku untuk pengujian dengan itikad baik dan dalam cakupan.

Anda bergabung dengan program baru yang memiliki cakupan *.example.com. Cakupan seperti apakah ini, dan strategi apa yang sesuai?

Anda telah mempelajari cara memilih target bug bounty dengan bijak.

• Cakupan adalah kontrak; bacalah sebelum menguji apa pun
• Cakupan wildcard mengutamakan pengintaian dan keluasan; aset tunggal mengutamakan kedalaman
• Bedakan VDP (tanpa bayaran) dari program bounty berbayar
• Program publik membangun reputasi yang membuka akses ke program privat yang lebih baru
• Lindungi rekam jejak Anda dengan hanya melaporkan bug yang telah dikonfirmasi dan berdampak

Selanjutnya, kita akan memperluas pengintaian untuk menemukan lebih banyak permukaan serangan.