Scelta degli obiettivi

Il bug bounty hunting consiste nell'individuare e segnalare responsabilmente vulnerabilità di sicurezza in sistemi i cui proprietari invitano a eseguire test, in cambio di riconoscimenti o denaro. È hacking legale e autorizzato.

• I programmi definiscono cosa rientra nell'ambito autorizzato e cosa viene ricompensato
• Piattaforme come HackerOne, Bugcrowd e Intigriti li ospitano
• Anche le aziende gestiscono programmi indipendenti

Scegliere il bersaglio giusto fa la differenza tra guadagnare ricompense e sprecare tempo.

Lo scope definisce esattamente quali risorse è possibile testare. Testare qualsiasi elemento al di fuori dell'ambito autorizzato è non autorizzato, inefficace e può comportare l'esclusione dal programma o conseguenze penali.

• In scope — i domini, le applicazioni e le API che è possibile attaccare
• Out of scope — le risorse da non toccare
• Vulnerabilità escluse — i tipi di problemi che il programma non ricompensa

Legga lo scope prima di fare qualsiasi altra cosa.

Ogni programma dispone di una pagina con la propria policy. La consideri un contratto. Sezioni fondamentali da studiare:

• Elenco delle risorse incluse ed escluse dallo scope
• Intervalli delle ricompense in base alla gravità
• Regole d'ingaggio (limiti di frequenza, divieto di scansioni automatizzate ecc.)
• Dichiarazione di safe harbor a tutela della ricerca condotta in buona fede

Interpretare male la policy è l'errore più comune dei principianti.

L'ampiezza dello scope determina la strategia.

• Uno scope wildcard come *.example.com comprende ogni sottodominio: una superficie enorme, ideale per chi si concentra sulla ricognizione
• Uno scope con singola risorsa come app.example.com è ristretto e premia i test manuali approfonditi

I wildcard favoriscono l'automazione e l'ampiezza; le singole risorse favoriscono la pazienza e la profondità.

Esistono due tipi principali di programmi:

• VDP (Vulnerability Disclosure Program) — accetta le segnalazioni, ma offre solo reputazione o ringraziamenti
• Bug Bounty (BBP) — paga ricompense in denaro

I VDP sono ottimi per i principianti che vogliono costruirsi una reputazione; i programmi a pagamento sono l'obiettivo da raggiungere una volta acquisite le competenze. Alcuni ricercatori usano i VDP per fare pratica su obiettivi reali senza rischi.

I programmi possono essere pubblici oppure accessibili solo su invito.

• Pubblici — chiunque può partecipare; la concorrenza è elevata e le vulnerabilità più facili sono già state trovate
• Privati — l'accesso si basa sulla reputazione e sui risultati dimostrati; la concorrenza è molto più bassa

Costruire uno storico positivo nei programmi pubblici permette di ricevere inviti a programmi privati più remunerativi, dove la superficie d'attacco è meno esplorata.

Scelga l'obiettivo in base ai propri punti di forza e alla propria pazienza:

• È esperto nella logica delle applicazioni web? Scelga applicazioni SaaS complesse
• Ama l'automazione? Scelga scope wildcard ampi
• Ha competenze mobile? Scelga programmi che includono applicazioni mobili nello scope

Consideri anche la maturità: un programma appena nato probabilmente contiene vulnerabilità facili da trovare, mentre uno maturo richiede creatività per individuare ciò che altri non hanno notato.

Le piattaforme monitorano i Suoi risultati (rapporto tra segnalazioni valide e non valide) e i punti di reputazione. Questi elementi determinano l'accesso agli inviti privati e possono influire sui moltiplicatori delle ricompense.

• Inviare segnalazioni di disturbo (falsi positivi) danneggia i risultati
• Le segnalazioni valide e di qualità aumentano la reputazione

Protegga i Suoi risultati: segnali solo vulnerabilità confermate di cui può dimostrare l'impatto.

Le ricompense aumentano in base alla gravità, generalmente suddivisa in livelli simili a quelli di CVSS. Una tabella tipica:

• Critica (RCE, bypass dell'autenticazione) — ricompense più elevate
• Alta (SQLi, SSRF, compromissione dell'account)
• Media (XSS persistente, IDOR)
• Bassa (open redirect, lieve fuga di informazioni)

Punti sulle tipologie di risorse associate a vulnerabilità ad alto impatto che sa individuare bene.

Chi svolge attività di ricerca seriamente tiene note per ogni programma: modifiche allo scope, risorse testate e spunti da riesaminare. Lo scope non è statico: vengono aggiunte nuove risorse e le vecchie vulnerabilità possono ripresentarsi.

Un semplice file di monitoraggio La aiuta a mantenere l'ordine e impedisce di testare nuovamente la stessa cosa.

L'invito al programma di bug bounty è la Sua unica autorizzazione. Non la oltrepassi mai.

• Testi solo risorse incluse nello scope
• Rispetti i limiti di frequenza ed eviti test invasivi
• Non acceda, modifichi o esfiltri mai dati di altri utenti oltre quanto necessario per dimostrare l'impatto
• Non divulghi pubblicamente i risultati prima che il programma lo consenta

Le tutele di safe harbor si applicano solo a test condotti in buona fede e nell'ambito autorizzato.

Si iscrive a un nuovo programma con lo scope *.example.com. Di quale tipo di scope si tratta e quale strategia è adatta?

Ha imparato a scegliere con criterio gli obiettivi per il bug bounty.

• Lo scope è un contratto: lo legga prima di testare qualsiasi cosa
• Gli scope wildcard favoriscono la ricognizione e l'ampiezza; le singole risorse favoriscono la profondità
• Distingua i VDP (senza pagamento) dai programmi di bug bounty a pagamento
• I programmi pubblici costruiscono una reputazione che consente di accedere a programmi privati meno esplorati
• Protegga i Suoi risultati segnalando solo vulnerabilità confermate e di impatto

Ora amplieremo la ricognizione per individuare una superficie d'attacco più estesa.