Scrivere report di bug di alta qualità

Una segnalazione di alta qualità viene sottoposta a triage più rapidamente, ha meno probabilità di essere classificata come duplicata o informativa, riceve una valutazione accurata della gravità e contribuisce a costruire la propria reputazione presso i programmi. Le segnalazioni di scarsa qualità, anche relative a bug critici, possono essere respinte o valutate al di sotto del loro valore.

Ogni segnalazione di qualità include: titolo della vulnerabilità, valutazione della gravità con motivazione CVSS, asset interessato (URL/endpoint), descrizione del problema, procedura di riproduzione passo per passo, proof of concept, valutazione dell'impatto e correzione suggerita.

Un buon titolo è specifico e informativo: "IDOR su /api/v2/users/{id} consente a qualsiasi utente autenticato di accedere ai dati privati del profilo" è migliore di "Elusione dell'autorizzazione". Includa in un'unica frase: tipo di vulnerabilità, endpoint interessato e impatto.

Scriva i passaggi di riproduzione in modo che possano essere seguiti anche da uno sviluppatore junior che non ha mai visto questo bug. Numeri ogni passaggio. Includa le richieste HTTP esatte (copiandole da Burp Suite). Indichi anche eventuali precondizioni necessarie (tipo di account, limitazioni geografiche, ora del giorno).

Includa screenshot, registrazioni dello schermo o acquisizioni delle richieste/risposte HTTP di Burp Suite che dimostrino l'esistenza della vulnerabilità. Per un IDOR: mostri l'Account A che accede ai dati dell'Account B tramite la richiesta modificata e la risposta contenente i dati di B.

Spieghi chiaramente l'impatto sul business: "Un attaccante può accedere a nome completo, indirizzo email, numero di telefono e indirizzo di fatturazione di qualsiasi utente iterando gli ID." Quantifichi quando possibile: "La tabella degli utenti contiene 2 milioni di record, tutti accessibili." Colleghi l'impatto tecnico al rischio per il business.

Molti programmi usano CVSS 3.1 per valutare la gravità. Impari a usare le sei metriche di base: AV (vettore di attacco), AC (complessità), PR (privilegi richiesti), UI (interazione dell'utente), S (ambito), C/I/A (impatto). Calcolare accuratamente il punteggio CVSS dimostra competenza e accelera il triage.

Errori comuni nelle segnalazioni: nessun PoC allegato, precondizioni mancanti nei passaggi di riproduzione, impatto sottovalutato (non scriva "basso" per una compromissione dell'account), vulnerabilità teoriche senza dimostrazione della loro sfruttabilità e invii duplicati senza aver prima controllato le segnalazioni divulgate.

Incolli la richiesta e la risposta HTTP esatte (oscurando i dati sensibili; non includa dati personali identificabili di altri utenti oltre a quanto necessario). Usi la funzione "Copy as curl" di Burp Suite per fornire un comando di riproduzione su una sola riga che i revisori possano eseguire immediatamente.

Risponda tempestivamente alle domande del team di triage. Se le viene chiesto un chiarimento, lo fornisca entro 24-48 ore. Una comunicazione professionale e cortese costruisce rapporti duraturi con i team di sicurezza e aumenta le possibilità di ottenere il riconoscimento per il retest e ricompense bonus.

Legga le segnalazioni con le valutazioni più alte nelle pagine di divulgazione di HackerOne e Bugcrowd. Studi come i ricercatori d'élite strutturano le segnalazioni, dimostrano l'impatto e concatenano le vulnerabilità. Riproduca la loro formattazione e il modo in cui descrivono l'impatto nei propri invii.

Qual è l'elemento più importante che distingue una segnalazione di bug di alta qualità da una di scarsa qualità?

Le segnalazioni di bug di alta qualità combinano un titolo specifico, passaggi di riproduzione chiari, una proof of concept concreta, un punteggio CVSS accurato e una valutazione convincente dell'impatto sul business. Investire nella qualità delle segnalazioni massimizza le ricompense, costruisce la reputazione e accelera il triage per i team di sicurezza.