Wybór celów

Bug bounty hunting polega na znajdowaniu i odpowiedzialnym zgłaszaniu podatności w systemach, których właściciele dopuszczają testowanie, w zamian za uznanie lub wynagrodzenie. To legalne, autoryzowane hakowanie.

• Programy określają zakres testów i rodzaje nagród
• Platformy takie jak HackerOne, Bugcrowd i Intigriti udostępniają takie programy
• Firmy prowadzą również niezależne programy

Wybór właściwego celu decyduje o tym, czy zdobędą Państwo nagrody, czy tylko stracą czas.

Zakres dokładnie określa zasoby, które mogą Państwo testować. Testowanie czegokolwiek poza zakresem jest nieautoryzowane i nieskuteczne, a także może skutkować zablokowaniem konta lub postępowaniem karnym.

• In scope — domeny, aplikacje i API, które mogą Państwo testować
• Out of scope — zasoby, których nie wolno Państwu dotykać
• Excluded vulns — rodzaje problemów, za które program nie wypłaca nagród

Przed rozpoczęciem jakichkolwiek działań należy przeczytać zakres.

Każdy program ma stronę z zasadami. Należy traktować ją jak umowę. Najważniejsze sekcje to:

• Listy zasobów objętych zakresem i wyłączonych z zakresu
• Przedziały nagród zależne od poziomu istotności
• Zasady prowadzenia testów (limity szybkości, zakaz automatycznego skanowania itp.)
• Klauzula safe harbor chroniąca badania prowadzone w dobrej wierze

Błędna interpretacja zasad to najczęstszy błąd początkujących.

Szerokość zakresu kształtuje strategię.

• Zakres wildcard, taki jak *.example.com, obejmuje każdą subdomenę, zapewnia ogromną powierzchnię i dobrze nadaje się dla osób koncentrujących się na rozpoznaniu
• Zakres pojedynczego zasobu, taki jak app.example.com, jest wąski i sprzyja dokładnym testom manualnym

Wildcardy sprzyjają automatyzacji i szerokiemu rozpoznaniu, a pojedyncze zasoby — cierpliwości i analizie głębokiej.

Istnieją dwa główne typy programów:

• VDP (Vulnerability Disclosure Program) — przyjmuje zgłoszenia, ale oferuje jedynie uznanie lub podziękowania
• Bug Bounty (BBP) — wypłaca nagrody pieniężne

Programy VDP są świetne dla początkujących, którzy chcą budować reputację; programy płatne są celem po zdobyciu odpowiednich umiejętności. Niektórzy badacze wykorzystują VDP do ćwiczeń na rzeczywistych celach bez ryzyka.

Programy są publiczne albo dostępne wyłącznie na zaproszenie.

• Publiczne — każdy może uczestniczyć; konkurencja jest duża, a najłatwiejsze podatności zostały już znalezione
• Prywatne — zaproszenie zależy od reputacji i wiarygodności; konkurencja jest znacznie mniejsza

Budowanie historii zgłoszeń w programach publicznych prowadzi do zaproszeń do lukratywnych programów prywatnych, w których powierzchnia ataku jest mniej wyeksplorowana.

Cel należy dopasować do swoich mocnych stron i cierpliwości:

• Dobrze znają Państwo logikę aplikacji webowych? Proszę wybrać złożone aplikacje SaaS
• Lubią Państwo automatyzację? Proszę wybrać szerokie zakresy wildcard
• Mają Państwo umiejętności związane z urządzeniami mobilnymi? Proszę wybrać programy obejmujące aplikacje mobilne

Warto również uwzględnić dojrzałość: w zupełnie nowym programie prawdopodobnie łatwiej znaleźć proste błędy, natomiast w dojrzałym potrzeba kreatywności, aby odkryć to, co przeoczyli inni.

Platformy śledzą Państwa wiarygodność (stosunek prawidłowych do nieprawidłowych zgłoszeń) oraz punkty reputacji. Wpływa to na dostęp do prywatnych zaproszeń i może mieć znaczenie dla mnożników nagród.

• Przesyłanie szumu, czyli fałszywych alarmów, obniża wiarygodność
• Wysokiej jakości, prawidłowe zgłoszenia zwiększają reputację

Należy chronić swoją wiarygodność: zgłaszać wyłącznie błędy potwierdzone i możliwe do przedstawienia wraz z ich wpływem.

Nagrody rosną wraz z poziomem istotności, zwykle określanym według kategorii podobnych do CVSS. Przykładowa tabela:

• Critical (RCE, obejście uwierzytelniania) — najwyższe nagrody
• High (SQLi, SSRF, przejęcie konta)
• Medium (stored XSS, IDOR)
• Low (otwarte przekierowanie, drobny wyciek informacji)

Warto wybierać typy zasobów, na których można znaleźć podatności o dużym wpływie i w których wyszukiwaniu są Państwo dobrzy.

Doświadczeni badacze prowadzą dla każdego programu notatki dotyczące zmian zakresu, przetestowanych zasobów i tematów do ponownego sprawdzenia. Zakres nie jest stały — dodawane są nowe zasoby, a stare błędy mogą pojawić się ponownie.

Prosty plik z notatkami pomaga zachować porządek i zapobiega ponownemu testowaniu tego samego.

Zaproszenie do programu bug bounty jest jedynym udzielonym Państwu upoważnieniem. Nigdy nie wolno go przekraczać.

• Testować wyłącznie zasoby objęte zakresem
• Przestrzegać limitów szybkości i unikać zakłócających testów
• Nigdy nie uzyskiwać dostępu do danych innych użytkowników, nie modyfikować ich ani nie wyprowadzać ich poza zakres niezbędny do wykazania wpływu
• Nie ujawniać informacji publicznie przed uzyskaniem zgody programu

Ochrona safe harbor dotyczy wyłącznie testów prowadzonych w dobrej wierze i w ramach zakresu.

Dołączają Państwo do nowego programu z zakresem *.example.com. Jaki to rodzaj zakresu i jaka strategia będzie odpowiednia?

Poznali Państwo zasady rozsądnego wyboru celów bug bounty.

• Zakres jest umową — należy go przeczytać przed rozpoczęciem testów
• Szerokie zakresy wildcard sprzyjają rozpoznaniu i działaniu na dużą skalę, a pojedyncze zasoby — analizie głębokiej
• Należy odróżniać VDP (bez wynagrodzenia) od płatnych programów bug bounty
• Programy publiczne budują reputację, która odblokowuje dostęp do mniej wyeksplorowanych programów prywatnych
• Należy chronić swoją wiarygodność, zgłaszając wyłącznie potwierdzone błędy o istotnym wpływie

W następnej części zwiększymy skalę rozpoznania, aby znaleźć większą powierzchnię ataku.