Выбор целей

Поиск уязвимостей за вознаграждение — это поиск и ответственное раскрытие уязвимостей в системах, владельцы которых разрешают тестирование, в обмен на признание или деньги. Это законный взлом с разрешения.

• Программы определяют, что входит в scope и какие находки вознаграждаются
• Такие платформы, как HackerOne, Bugcrowd и Intigriti, размещают эти программы
• Компании также проводят независимые программы

Правильный выбор цели определяет, будете ли вы получать вознаграждения или просто потратите время.

Scope точно определяет, какие активы можно проверять. Проверка чего-либо за пределами scope несанкционирована и неэффективна, а также может привести к блокировке или уголовному преследованию.

• В scope — домены, приложения и API, которые можно атаковать
• Вне scope — активы, которые необходимо оставить в покое
• Исключённые уязвимости — типы проблем, за которые программа не платит

Прочитайте scope прежде, чем делать что-либо ещё.

У каждой программы есть страница с политикой. Относитесь к ней как к договору. Изучите следующие ключевые разделы:

• Списки активов в scope и вне scope
• Диапазоны вознаграждений в зависимости от серьёзности
• Правила взаимодействия (ограничения частоты запросов, запрет автоматического сканирования и т. д.)
• Положение о безопасной гавани, защищающее добросовестных исследователей

Неправильное понимание политики — самая распространённая ошибка новичков.

Широта scope определяет вашу стратегию.

• Маска в scope, например *.example.com, охватывает каждый поддомен: это огромная поверхность атаки, подходящая для исследователей, активно занимающихся разведкой
• Отдельный актив в scope, например app.example.com, имеет узкий охват и требует глубокого ручного тестирования

Маски благоприятствуют автоматизации и широкому охвату, а отдельные активы — терпению и глубине.

Существуют два основных типа программ:

• VDP (программа раскрытия уязвимостей) — принимает отчёты, но предоставляет только репутацию и благодарность
• Bug Bounty (BBP) — выплачивает денежные вознаграждения

VDP отлично подходят новичкам, которые нарабатывают репутацию; платные программы становятся целью после приобретения навыков. Некоторые исследователи используют VDP для безопасной практики на реальных целях.

Программы бывают публичными или доступными только по приглашению.

• Публичные — участвовать может любой желающий; конкуренция высока, а простые находки уже разобраны
• Закрытые — приглашение выдают на основе репутации и качества работы; конкуренция значительно ниже

Наработка послужного списка в публичных программах помогает получать приглашения в прибыльные закрытые программы с более свежей поверхностью атаки.

Подбирайте цель с учётом своих сильных сторон и готовности проявлять терпение:

• Хорошо разбираетесь в логике веб-приложений? Выбирайте сложные приложения SaaS
• Любите автоматизацию? Выбирайте широкий scope с маской
• Умеете тестировать мобильные приложения? Выбирайте программы, включающие приложения в scope

Учитывайте также зрелость: в совершенно новой программе, вероятно, найдутся простые ошибки, тогда как в зрелой потребуется изобретательность, чтобы обнаружить то, что упустили другие.

Платформы отслеживают ваш сигнал (соотношение подтверждённых и неподтверждённых отчётов) и баллы репутации. От этого зависят приглашения в закрытые программы и могут зависеть множители вознаграждений.

• Шум в виде ложных срабатываний ухудшает сигнал
• Качественные подтверждённые отчёты повышают репутацию

Берегите свой сигнал: сообщайте только об ошибках, которые вы подтвердили и для которых можете продемонстрировать последствия.

Вознаграждения зависят от серьёзности и обычно соответствуют уровням, подобным CVSS. Типичная таблица:

• Критическая (RCE, обход аутентификации) — самые высокие выплаты
• Высокая (SQL-инъекция, SSRF, захват учётной записи)
• Средняя (сохраняемая XSS, IDOR)
• Низкая (открытое перенаправление, небольшая утечка данных)

Выбирайте типы активов, где возможны серьёзные ошибки и которые вы умеете находить.

Серьёзные исследователи ведут заметки по каждой программе: изменения scope, проверенные активы и направления для повторной проверки. Scope не остаётся неизменным: добавляются новые активы, а старые ошибки появляются снова.

Простой файл для отслеживания помогает поддерживать порядок и не допускать повторной проверки одного и того же.

Приглашение в программу вознаграждений — ваше единственное разрешение. Никогда не выходите за его пределы.

• Проверяйте только активы в scope
• Соблюдайте ограничения частоты запросов и избегайте разрушительных проверок
• Никогда не получайте доступ к данным других пользователей, не изменяйте и не извлекайте их сверх необходимого для подтверждения последствий
• Не раскрывайте сведения публично до разрешения программы

Защита безопасной гавани действует только для добросовестного тестирования в пределах scope.

Вы присоединились к новой программе со scope *.example.com. Что это за тип scope и какая стратегия ему подходит?

Вы научились разумно выбирать цели для поиска уязвимостей за вознаграждение.

• Scope — это договор; прочитайте его до начала любой проверки
• Scope с масками благоприятствует разведке и широкому охвату, а отдельные активы — глубокой проверке
• Различайте VDP (без оплаты) и платные программы вознаграждений
• Публичные программы создают репутацию, открывающую доступ к более свежим закрытым программам
• Берегите свой сигнал, сообщая только о подтверждённых ошибках с серьёзными последствиями

Далее мы масштабируем разведку, чтобы обнаружить большую поверхность атаки.