Memilih Sasaran

Pemburuan bounty pepijat ialah aktiviti mencari dan melaporkan kerentanan keselamatan secara bertanggungjawab dalam sistem yang pemiliknya membenarkan pengujian, sebagai pertukaran untuk pengiktirafan atau wang. Ia ialah penggodaman yang sah dan diberi kuasa.

• Program mentakrifkan perkara yang termasuk dalam skop dan perkara yang diberi ganjaran
• Platform seperti HackerOne, Bugcrowd dan Intigriti menganjurkannya
• Syarikat juga menjalankan program bebas

Memilih sasaran yang tepat membezakan antara memperoleh bounty dengan membuang masa.

Skop mentakrifkan aset yang tepat yang boleh anda uji. Menguji apa-apa sahaja di luar skop adalah tanpa kebenaran, tidak berkesan dan boleh menyebabkan anda disekat atau didakwa.

• Dalam skop — domain, aplikasi dan API yang boleh anda serang
• Di luar skop — aset yang mesti anda tinggalkan
• Kerentanan yang dikecualikan — jenis isu yang tidak akan diberi ganjaran oleh program

Baca skop sebelum melakukan perkara lain.

Setiap program mempunyai halaman dasar. Anggaplah ia sebagai kontrak. Bahagian utama yang perlu dikaji:

• Senarai aset dalam skop dan di luar skop
• Julat ganjaran mengikut tahap keterukan
• Peraturan penglibatan (had kadar, tiada pengimbasan automatik dan sebagainya)
• Pernyataan pelabuhan selamat yang melindungi penyelidikan dengan niat baik

Salah membaca dasar ialah kesilapan pemula yang paling lazim.

Keluasan skop membentuk strategi anda.

• Skop kad bebas seperti *.example.com meliputi setiap subdomain, dengan permukaan yang sangat luas dan sesuai untuk pemburu yang banyak melakukan peninjauan
• Skop aset tunggal seperti app.example.com adalah sempit dan memberikan ganjaran kepada pengujian manual yang mendalam

Kad bebas mengutamakan automasi dan keluasan; aset tunggal mengutamakan kesabaran dan kedalaman.

Wujud dua jenis program utama:

• VDP (Program Pendedahan Kerentanan) — menerima laporan tetapi hanya membayar dalam bentuk reputasi atau ucapan terima kasih
• Bug Bounty (BBP) — membayar ganjaran tunai

VDP amat baik untuk pemula yang ingin membina reputasi; program berbayar ialah matlamat apabila anda sudah mempunyai kemahiran. Sesetengah pemburu menggunakan VDP untuk berlatih pada sasaran sebenar tanpa risiko.

Program adalah awam atau berdasarkan jemputan sahaja.

• Awam — sesiapa sahaja boleh menyertai; persaingan sengit dan sasaran mudah biasanya telah ditemui
• Persendirian — jemputan berdasarkan reputasi dan rekod; persaingan jauh lebih rendah

Membina rekod prestasi dalam program awam membawa jemputan ke program persendirian yang lumayan dan mempunyai permukaan serangan yang lebih baharu.

Padankan sasaran dengan kekuatan dan kesabaran anda:

• Mahir dalam logik aplikasi web? Pilih aplikasi SaaS yang kompleks
• Suka automasi? Pilih skop kad bebas yang luas
• Mempunyai kemahiran mudah alih? Pilih program yang merangkumi aplikasi

Pertimbangkan juga kematangan: program yang baru bermula berkemungkinan mempunyai pepijat mudah, manakala program matang memerlukan kreativiti untuk menemukan perkara yang terlepas daripada perhatian orang lain.

Platform menjejaki isyarat anda (nisbah laporan sah kepada tidak sah) dan mata reputasi. Kedua-duanya menentukan jemputan persendirian dan boleh mempengaruhi pengganda bounty.

• Menghantar gangguan (positif palsu) menjejaskan isyarat
• Laporan yang berkualiti dan sah meningkatkan reputasi

Lindungi isyarat anda: laporkan hanya pepijat yang telah anda sahkan dan yang kesannya boleh anda tunjukkan.

Ganjaran meningkat mengikut tahap keterukan, biasanya dipetakan kepada tahap seperti CVSS. Jadual biasa:

• Kritikal (RCE, pintasan pengesahan) — bayaran tertinggi
• Tinggi (SQLi, SSRF, pengambilalihan akaun)
• Sederhana (XSS tersimpan, IDOR)
• Rendah (pengalihan terbuka, kebocoran maklumat kecil)

Sasarkan jenis aset yang berpadanan dengan pepijat berimpak tinggi yang mahir anda temui.

Pemburu yang serius menyimpan nota bagi setiap program: perubahan skop, aset yang diuji dan petunjuk untuk disemak semula. Skop tidak statik; aset baharu ditambah dan pepijat lama muncul semula.

Fail penjejakan yang ringkas membantu anda kekal teratur dan menghalang pengujian semula perkara yang sama.

Jemputan bounty ialah satu-satunya kebenaran anda. Jangan sekali-kali melampauinya.

• Uji hanya aset dalam skop
• Hormati had kadar dan elakkan pengujian yang mengganggu
• Jangan sekali-kali mengakses, mengubah suai atau mengekstrak data pengguna lain melebihi keperluan untuk membuktikan kesan
• Jangan membuat pendedahan awam sebelum program membenarkannya

Perlindungan pelabuhan selamat hanya terpakai pada pengujian dalam skop yang dilakukan dengan niat baik.

Anda telah mempelajari cara memilih sasaran bounty pepijat dengan bijak.

• Skop ialah kontrak; bacanya sebelum menguji apa-apa
• Skop kad bebas mengutamakan peninjauan dan keluasan; aset tunggal mengutamakan kedalaman
• Bezakan VDP (tiada bayaran) daripada program bounty berbayar
• Program awam membina reputasi yang membuka peluang kepada program persendirian yang lebih baharu
• Lindungi isyarat anda dengan hanya melaporkan pepijat yang disahkan dan berimpak

Seterusnya, kita akan memperluas peninjauan untuk menemukan lebih banyak permukaan serangan.