Menulis Laporan yang Baik

Menemukan celah hanyalah separuh pekerjaan. Laporan adalah hal yang benar-benar Anda serahkan dan yang menentukan hadiah Anda. Celah hebat dengan laporan buruk dapat diturunkan tingkatannya atau ditolak.

• Peninjau membaca puluhan laporan setiap hari
• Laporan yang jelas dan dapat direproduksi menghemat waktu mereka serta membangun kepercayaan
• Laporan yang lebih baik mendapatkan penilaian tingkat keparahan lebih tinggi dan pembayaran lebih cepat

Perlakukan penulisan laporan sebagai keterampilan inti, bukan pekerjaan setelah semuanya selesai.

Laporan yang kuat memiliki struktur yang mudah dipindai peninjau:

• Judul — jenis kerentanan + aset terdampak + dampak
• Ringkasan — satu atau dua kalimat
• Langkah reproduksi — bernomor dan tepat
• Dampak — keuntungan yang diperoleh penyerang
• Bukti konsep — permintaan, tangkapan layar, video
• Perbaikan — cara memperbaikinya

Judul adalah kesan pertama. Buatlah spesifik dan berfokus pada dampak, bukan samar.

Judul yang baik memuat jenis celah, lokasinya, dan konsekuensinya.

Bagian terpenting adalah langkah reproduksi. Peninjau harus dapat mengikutinya dengan tepat dan melihat celah tersebut. Jelaskan secara presisi.

Nomori setiap langkah, sertakan URL, muatan, serta hasil yang diharapkan dan hasil aktual secara tepat.

Tingkat keparahan, dan karena itu jumlah pembayaran, ditentukan oleh dampak. Jelaskan secara konkret hal yang dapat dicapai penyerang.

• Data siapa yang terekspos dan seberapa banyak?
• Apakah hal ini dapat menyebabkan pengambilalihan akun, RCE, atau kerugian finansial?
• Apakah autentikasi diperlukan? Apakah ada prasyarat?

Nyatakan dalam angka: 'pengguna mana pun dapat membaca seluruh 200 ribu faktur dengan mengiterasi ID' jauh lebih kuat daripada 'kebocoran data'.

PoC menghilangkan semua keraguan. Sertakan permintaan/respons mentah dan bukti visual.

• Permintaan dan respons HTTP lengkap (samarkan rahasia milik Anda sendiri)
• Tangkapan layar yang menunjukkan hasilnya
• Video singkat untuk celah kompleks dengan banyak langkah

Untuk celah yang dapat diotomatisasi, skrip minimal membuat reproduksi menjadi mudah bagi peninjau.

Banyak program menggunakan CVSS untuk menetapkan tingkat keparahan. Memahami vektor tersebut membantu Anda membenarkan penilaian dan menghindari perselisihan.

• Vektor Serangan, Kompleksitas, Hak Istimewa yang Diperlukan, Interaksi Pengguna
• Dampak terhadap Kerahasiaan, Integritas, dan Ketersediaan

Ajukan skor CVSS beserta alasannya, tetapi biarkan bukti, bukan angka yang dibesar-besarkan, berbicara.

Menyertakan rekomendasi perbaikan menunjukkan profesionalisme dan membantu tim bertindak cepat. Hubungkan perbaikan dengan akar penyebabnya.

• IDOR: terapkan otorisasi tingkat objek (periksa kepemilikan di sisi server)
• XSS: lakukan pengodean keluaran yang mempertimbangkan konteks dan gunakan CSP yang ketat
• SSRF: izinkan host keluar berdasarkan daftar yang diizinkan, serta blokir IP link-local/pribadi

Perbaikan yang konkret membangun kepercayaan dan reputasi.

Dua hal yang menurunkan kualitas temuan Anda: duplikasi dan positif palsu.

• Telusuri masalah yang sudah diketahui dalam program dan laporan lama Anda terlebih dahulu
• Pastikan celah tersebut bekerja secara konsisten sebelum mengirimkannya
• Jangan laporkan temuan informasional yang dikecualikan oleh kebijakan

Satu laporan valid dengan bukti kuat lebih baik daripada sepuluh laporan spekulatif.

Setelah pengiriman, komunikasi profesional sangat penting.

• Tanggapi permintaan klarifikasi dengan segera
• Tetap sopan meskipun Anda tidak setuju dengan tingkat keparahan; gunakan bukti untuk menyampaikan argumen
• Jangan mengirim spam atau menuntut penanganan yang lebih cepat

Hubungan yang baik dengan tim program dapat menghasilkan undangan privat dan hadiah bonus.

Pengungkapan harus mengikuti aturan program dan hukum yang berlaku.

• Jangan memublikasikan detail sebelum program mengizinkan pengungkapan
• Jangan pernah mengancam akan merilis celah untuk menekan pembayaran; itu adalah pemerasan
• Samarkan data pengguna nyata dari PoC dan tangkapan layar Anda

Pengungkapan yang bertanggung jawab melindungi pengguna dan membuat Anda tetap berada dalam perlindungan pelabuhan aman.

Anda telah mempelajari cara mengubah temuan menjadi laporan yang menghasilkan pembayaran.

• Gunakan struktur yang jelas: judul, ringkasan, langkah yang dapat direproduksi, dampak, PoC, dan perbaikan
• Tulis judul yang berfokus pada dampak dan nyatakan konsekuensinya dalam angka
• Berikan bukti konsep mentah yang kuat
• Benarkan tingkat keparahan, misalnya dengan CVSS, menggunakan bukti, bukan pembesar-besaran
• Lindungi kualitas temuan, berkomunikasilah secara profesional, dan lakukan pengungkapan secara etis

Dengan ini, Bug Bounty Hunting selesai. Kini Anda tahu cara memilih target, memperluas pengintaian, menemukan celah inti, dan melaporkannya dengan baik.