Doelen kiezen

Bug bounty hunting betekent dat je beveiligingskwetsbaarheden vindt en op verantwoorde wijze rapporteert in systemen waarvan de eigenaren tests toestaan, in ruil voor erkenning of geld. Het is legaal hacken met toestemming.

• Programma's bepalen wat binnen de scope valt en waarvoor een beloning wordt uitgekeerd
• Platforms zoals HackerOne, Bugcrowd en Intigriti bieden deze programma's aan
• Bedrijven voeren ook zelfstandige programma's uit

Het kiezen van het juiste doelwit bepaalt of je beloningen verdient of tijd verspilt.

De scope bepaalt precies welke middelen je mag testen. Iets buiten de scope testen is ongeautoriseerd en ineffectief, en kan ertoe leiden dat je wordt uitgesloten of vervolgd.

• Binnen de scope — de domeinen, toepassingen en API's die je mag aanvallen
• Buiten de scope — middelen die je met rust moet laten
• Uitgesloten kwetsbaarheden — typen problemen waarvoor het programma geen beloning geeft

Lees de scope voordat je iets anders doet.

Elk programma heeft een beleidspagina. Beschouw die als een contract. Bestudeer vooral deze onderdelen:

• Lijsten met middelen binnen en buiten de scope
• Beloningsbedragen per ernstniveau
• Engagementregels (snelheidslimieten, geen geautomatiseerde scans enzovoort)
• Een safe-harborverklaring die onderzoek te goeder trouw beschermt

Het beleid verkeerd lezen is de meest voorkomende fout van beginners.

De breedte van de scope bepaalt je strategie.

• Wildcard-scope zoals *.example.com omvat elk subdomein: een enorm aanvalsoppervlak, ideaal voor hunters die sterk zijn in verkenning
• Scope voor één middel zoals app.example.com is beperkt en beloont grondige handmatige tests

Wildcards bevoordelen automatisering en breedte; afzonderlijke middelen bevoordelen geduld en diepgang.

Er bestaan twee hoofdtypen programma's:

• VDP (Vulnerability Disclosure Program) — accepteert rapporten, maar betaalt alleen in de vorm van reputatie of dank
• Bug Bounty (BBP) — betaalt geldelijke beloningen

VDP's zijn ideaal voor beginners die reputatie willen opbouwen; betaalde programma's zijn het doel zodra je over de nodige vaardigheden beschikt. Sommige hunters gebruiken VDP's om zonder risico op echte doelwitten te oefenen.

Programma's zijn openbaar of alleen op uitnodiging toegankelijk.

• Openbaar — iedereen kan deelnemen; veel concurrentie, eenvoudig te vinden problemen zijn meestal al gemeld
• Privé — uitnodiging op basis van reputatie en bewezen kwaliteit; veel minder concurrentie

Een staat van dienst op openbare programma's levert uitnodigingen op voor lucratieve private programma's met een nieuwer aanvalsoppervlak.

Stem het doelwit af op je sterke punten en je geduld:

• Goed in logica van webtoepassingen? Kies complexe SaaS-toepassingen
• Dol op automatisering? Kies brede wildcard-scopes
• Vaardig met mobiele toepassingen? Kies programma's waarin apps binnen de scope vallen

Houd ook rekening met de volwassenheid: een gloednieuw programma bevat waarschijnlijk eenvoudige bugs, terwijl je bij een volwassen programma creativiteit nodig hebt om te vinden wat anderen hebben gemist.

Platforms houden je bewezen kwaliteit (de verhouding tussen geldige en ongeldige rapporten) en reputatiepunten bij. Deze bepalen of je privé-uitnodigingen krijgt en kunnen invloed hebben op vermenigvuldigingsfactoren van beloningen.

• Ruis indienen (onterechte meldingen) schaadt je bewezen kwaliteit
• Rapporten van hoge kwaliteit die geldig zijn, verhogen je reputatie

Bescherm je bewezen kwaliteit: rapporteer alleen bugs die je hebt bevestigd en waarvan je de impact kunt aantonen.

Beloningen schalen mee met de ernst, meestal volgens niveaus die lijken op CVSS. Een gebruikelijke tabel:

• Kritiek (RCE, omzeiling van authenticatie) — hoogste beloningen
• Hoog (SQLi, SSRF, accountovername)
• Gemiddeld (opgeslagen XSS, IDOR)
• Laag (open omleiding, klein informatielek)

Richt je op typen middelen waarop kwetsbaarheden met grote impact voorkomen en die je goed kunt vinden.

Ernstige hunters houden per programma notities bij: wijzigingen in de scope, geteste middelen en aanknopingspunten om opnieuw te onderzoeken. De scope is niet statisch: er worden nieuwe middelen toegevoegd en oude bugs duiken opnieuw op.

Een eenvoudig bestand om dit bij te houden helpt je georganiseerd te blijven en voorkomt dat je hetzelfde opnieuw test.

De uitnodiging voor het bountyprogramma is je enige toestemming. Ga daar nooit overheen.

• Test alleen middelen binnen de scope
• Respecteer snelheidslimieten en vermijd verstorende tests
• Bekijk, wijzig of exfiltreer nooit gegevens van andere gebruikers, behalve voor zover nodig om de impact aan te tonen
• Maak niets openbaar voordat het programma dat toestaat

Safe-harborbescherming geldt alleen voor onderzoek te goeder trouw binnen de scope.

Je hebt geleerd hoe je verstandig doelwitten voor bug bountyprogramma's kiest.

• Scope is een contract; lees die voordat je iets test
• Wildcard-scopes bevoordelen verkenning en breedte; afzonderlijke middelen bevoordelen diepgang
• Maak onderscheid tussen VDP (geen betaling) en betaalde bountyprogramma's
• Openbare programma's bouwen reputatie op waarmee je toegang krijgt tot nieuwere private programma's
• Bescherm je bewezen kwaliteit door alleen bevestigde bugs met impact te rapporteren

Vervolgens schalen we de verkenning op om meer aanvalsoppervlak te vinden.