Menemukan Bug Umum

Sejumlah kecil kelas kerentanan menghasilkan sebagian besar hadiah bug karena umum terjadi dan berdampak besar. Kuasai tiga hal ini terlebih dahulu:

• IDOR — mengakses data pengguna lain melalui ID yang mudah ditebak
• XSS — menyisipkan skrip ke dalam halaman
• SSRF — membuat server mengambil URL yang dipilih penyerang

Pelajaran ini menunjukkan cara mencari masing-masing celah secara sistematis.

Insecure Direct Object Reference (IDOR) terjadi ketika aplikasi menggunakan pengenal yang diberikan pengguna untuk mengambil suatu objek tanpa memeriksa apakah pengguna tersebut memilikinya.

Ubah ID-nya dan akses data milik orang lain. Ini adalah kelemahan kontrol akses, bukan injeksi.

Untuk menemukan IDOR, buat dua akun lalu bandingkan keduanya. Apa pun yang merujuk objek berdasarkan ID merupakan kandidat.

• Ambil sebuah permintaan dari akun A yang mengambil data milik A
• Kirim ulang permintaan tersebut menggunakan sesi akun B, tetapi dengan ID objek milik A
• Jika B dapat melihat data A, berarti itu adalah IDOR

Perhatikan ID di URL, isi JSON, header, dan bahkan bentuk base64/UUID.

Cross-Site Scripting (XSS) adalah penyisipan JavaScript yang berjalan di peramban pengguna lain. Ada tiga jenis utama:

• Reflected — muatan dikembalikan dalam respons langsung
• Stored — muatan disimpan dan disajikan kepada pengguna lain (dampak paling besar)
• DOM-based — JS sisi klien menulis masukan penyerang ke DOM secara tidak aman

Sisipkan penanda unik terlebih dahulu untuk melihat di mana dan bagaimana masukan Anda dipantulkan, lalu buat muatan yang sesuai dengan konteksnya (isi HTML, atribut, atau skrip).

Konteks menentukan muatan mana yang dapat keluar dari konteksnya dan dieksekusi.

alert(1) sederhana membuktikan eksekusi, tetapi peninjau menginginkan dampak. Tunjukkan hal yang benar-benar dapat dicuri atau dilakukan penyerang.

• Baca token CSRF atau informasi sesi yang dapat diakses oleh JS
• Tampilkan document.domain untuk membuktikan asal
• Untuk XSS tersimpan, tunjukkan bahwa XSS tersebut berjalan di akun korban

Jangan pernah benar-benar mencuri sesi pengguna nyata; cukup demonstrasikan kemampuannya.

SSRF dalam konteks bug bounty berarti menemukan fitur yang mengambil URL yang Anda kendalikan. Kandidat yang mungkin meliputi:

• URL webhook dan URL callback
• Pembangkit gambar/PDF yang mengambil sumber daya jarak jauh
• Fitur pratinjau URL atau penguraian otomatis tautan
• Fungsi impor dari URL

Arahkan fitur-fitur ini ke titik akhir internal atau metadata untuk membuktikan dampaknya.

Saat respons tidak menampilkan konten yang diambil, gunakan server di luar jalur untuk mengonfirmasi bahwa target mengirimkan permintaan. Callback interaksi membuktikan SSRF buta.

Alat seperti Burp Collaborator atau interactsh memberi Anda URL unik yang mencatat setiap akses.

Ketiga kelas celah tersebut ditemukan dengan mencegat dan mengubah permintaan. Proksi pencegat adalah alat utama.

• Burp Suite atau OWASP ZAP untuk menangkap/mengubah lalu lintas
• Repeater untuk mengirim ulang dan menyesuaikan permintaan tunggal
• Intruder/fuzzer untuk menguji banyak ID atau muatan

Mempelajari proksi Anda secara mendalam akan lebih bermanfaat daripada menguasai satu teknik saja.

Hadiah terbesar berasal dari perangkaian celah. Celah dengan tingkat keparahan sedang ditambah celah lain dapat menjadi kritis.

• SSRF yang mencapai metadata cloud dapat menyebabkan pencurian kredensial dan pengambilalihan akun
• IDOR yang mengekspos token dapat menyebabkan kompromi akun sepenuhnya
• XSS tersimpan di panel admin dapat menyebabkan pengambilalihan akun admin

Selalu tanyakan: dengan apa celah ini dapat digabungkan?

Celah-celah ini menyentuh data nyata dan pengguna nyata. Tetaplah beretika:

• Gunakan akun pengujian milik Anda sendiri; jangan melihat data pengguna nyata melebihi yang diperlukan untuk pembuktian
• Hindari muatan XSS tersimpan yang dapat berjalan pada pengguna nyata; batasi cakupannya pada diri Anda sendiri
• Untuk SSRF, jangan menjelajah jauh ke dalam sistem internal; buktikan kemampuan dasarnya lalu berhenti

Mendemonstrasikan dampak secara bertanggung jawab membuat Anda tetap berada dalam perlindungan pelabuhan aman.

Anda masuk sebagai pengguna B, mengirim ulang permintaan menggunakan sesi B tetapi dengan ID objek pengguna A, lalu menerima data pribadi A. Kerentanan apakah ini?

Anda telah mempelajari cara mencari tiga kelas celah dengan nilai tertinggi.

• IDOR: bandingkan dua akun, ubah ID objek, dan periksa penerapan kepemilikan
• XSS: periksa pemantulan, sesuaikan muatan dengan konteks, dan buktikan dampak nyata
• SSRF: temukan fitur pengambilan URL, lalu konfirmasi kasus buta melalui jalur luar
• Rangkai celah untuk dampak kritis, misalnya SSRF menuju metadata cloud
• Gunakan proksi pencegat dan tetap berada dalam cakupan

Berikutnya: mengubah temuan menjadi laporan yang menghasilkan pembayaran.