การเลือกเป้าหมาย

การล่ารางวัลบั๊ก คือการค้นหาและรายงานช่องโหว่ด้านความปลอดภัยอย่างรับผิดชอบในระบบที่เจ้าของอนุญาตให้ทดสอบ เพื่อแลกกับการได้รับการยอมรับหรือเงิน นี่คือการแฮ็กที่ถูกกฎหมายและได้รับอนุญาต

• โปรแกรมกำหนดว่าสิ่งใดอยู่ในขอบเขตและสิ่งใดมีรางวัล
• แพลตฟอร์มอย่าง HackerOne, บักคราวด์ และอินทิกริตีเป็นพื้นที่จัดโปรแกรมเหล่านี้
• บริษัทต่าง ๆ ยังจัดโปรแกรมของตนเองด้วย

การเลือกเป้าหมายที่เหมาะสมคือความแตกต่างระหว่างการได้รับรางวัลกับการเสียเวลา

ขอบเขต ระบุอย่างชัดเจนว่าคุณได้รับอนุญาตให้ทดสอบทรัพย์สินใดบ้าง การทดสอบสิ่งที่อยู่นอกขอบเขตถือเป็นการไม่ได้รับอนุญาต ไม่มีประสิทธิผล และอาจทำให้คุณถูกแบนหรือถูกดำเนินคดี

• อยู่ในขอบเขต — โดเมน แอป และ API ที่คุณโจมตีได้
• อยู่นอกขอบเขต — ทรัพย์สินที่คุณต้องไม่ยุ่งเกี่ยว
• ช่องโหว่ที่ยกเว้น — ประเภทปัญหาที่โปรแกรมจะไม่ให้รางวัล

อ่านขอบเขตก่อนทำสิ่งอื่น

ทุกโปรแกรมมีหน้านโยบาย ให้ถือว่านโยบายนี้เป็นสัญญา หัวข้อสำคัญที่ควรศึกษา:

• รายการทรัพย์สินที่อยู่ในขอบเขตและอยู่นอกขอบเขต
• ช่วงรางวัลตามระดับความรุนแรง
• กฎการปฏิบัติงาน (จำกัดอัตรา ห้ามสแกนอัตโนมัติ เป็นต้น)
• คำแถลงคุ้มครองการวิจัยโดยสุจริต

การอ่านนโยบายผิดเป็นความผิดพลาดของมือใหม่ที่พบบ่อยที่สุด

ความกว้างของขอบเขตเป็นตัวกำหนดกลยุทธ์ของคุณ

• ขอบเขตแบบไวลด์การ์ด เช่น *.example.com ครอบคลุมทุกโดเมนย่อย มีพื้นที่โจมตีขนาดใหญ่ เหมาะกับนักล่าที่เน้นการสำรวจ
• ขอบเขตแบบทรัพย์สินเดียว เช่น app.example.com มีขอบเขตแคบ เหมาะกับการทดสอบด้วยตนเองอย่างลึกซึ้ง

ไวลด์การ์ดเหมาะกับระบบอัตโนมัติและความกว้าง ส่วนทรัพย์สินเดียวเหมาะกับความอดทนและความลึก

โปรแกรมหลักมีอยู่สองประเภท:

• VDP (โปรแกรมเปิดเผยช่องโหว่) — รับรายงาน แต่จ่ายเพียงชื่อเสียงหรือคำขอบคุณ
• Bug Bounty (BBP) — จ่ายรางวัลเป็นเงินสด

VDP เหมาะสำหรับผู้เริ่มต้นที่ต้องการสร้างชื่อเสียง ส่วนโปรแกรมที่จ่ายเงินคือเป้าหมายเมื่อคุณมีทักษะแล้ว นักล่าบางคนใช้ VDP เพื่อฝึกกับเป้าหมายจริงโดยไม่มีความเสี่ยง

โปรแกรมมีทั้งแบบสาธารณะและแบบเชิญเท่านั้น

• สาธารณะ — ทุกคนเข้าร่วมได้ มีการแข่งขันสูง และช่องโหว่ที่ค้นพบง่ายมักถูกพบไปแล้ว
• ส่วนตัว — เชิญตามชื่อเสียงและผลงานที่น่าเชื่อถือ มีการแข่งขันน้อยกว่ามาก

การสร้างประวัติผลงานในโปรแกรมสาธารณะช่วยให้ได้รับเชิญไปยังโปรแกรมส่วนตัวที่ให้รางวัลสูงและมีพื้นที่โจมตีใหม่กว่า

เลือกเป้าหมายให้ตรงกับจุดแข็งและความอดทนของคุณ:

• ถนัดตรรกะของแอปเว็บใช่หรือไม่ ให้เลือกแอป SaaS ที่ซับซ้อน
• ชอบระบบอัตโนมัติใช่หรือไม่ ให้เลือกขอบเขตไวลด์การ์ดที่กว้าง
• มีทักษะด้านมือถือใช่หรือไม่ ให้เลือกโปรแกรมที่รวมแอปไว้ในขอบเขต

ควรพิจารณาความเก่าใหม่ของโปรแกรมด้วย โปรแกรมที่เพิ่งเปิดใหม่มักมีช่องโหว่ที่ค้นพบง่าย ส่วนโปรแกรมที่มีมานานแล้วต้องใช้ความคิดสร้างสรรค์เพื่อค้นหาสิ่งที่คนอื่นพลาด

แพลตฟอร์มติดตามผลงานที่น่าเชื่อถือของคุณ (อัตรารายงานที่ถูกต้องต่อรายงานที่ไม่ถูกต้อง) และคะแนนชื่อเสียง สิ่งเหล่านี้เป็นเงื่อนไขสำหรับการเชิญเข้าโปรแกรมส่วนตัว และอาจส่งผลต่อค่าทวีคูณของรางวัล

• การส่งรายงานรบกวน (ผลบวกลวง) ทำให้ผลงานที่น่าเชื่อถือแย่ลง
• รายงานที่มีคุณภาพและถูกต้องช่วยเพิ่มชื่อเสียง

รักษาผลงานที่น่าเชื่อถือของคุณด้วยการรายงานเฉพาะบั๊กที่ยืนยันแล้วและสามารถสาธิตผลกระทบได้

รางวัลเพิ่มขึ้นตามระดับความรุนแรง ซึ่งโดยปกติจัดตามระดับที่คล้าย CVSS ตารางทั่วไปมีดังนี้:

• วิกฤต (RCE, การข้ามการยืนยันตัวตน) — รางวัลสูงสุด
• สูง (SQLi, SSRF, การยึดบัญชี)
• ปานกลาง (XSS แบบจัดเก็บ, IDOR)
• ต่ำ (การเปลี่ยนเส้นทางแบบเปิด, ข้อมูลรั่วไหลเล็กน้อย)

มุ่งเป้าไปที่ประเภททรัพย์สินซึ่งสอดคล้องกับบั๊กที่มีผลกระทบสูงและเป็นสิ่งที่คุณค้นหาได้ดี

นักล่าที่จริงจังจะจดบันทึกแยกตามโปรแกรม ได้แก่ การเปลี่ยนแปลงขอบเขต ทรัพย์สินที่ทดสอบ และเบาะแสที่ควรกลับไปตรวจสอบ ขอบเขตไม่ได้คงที่ มีการเพิ่มทรัพย์สินใหม่และบั๊กเก่าอาจปรากฏอีกครั้ง

ไฟล์ติดตามแบบง่ายช่วยจัดระเบียบงานและป้องกันการทดสอบสิ่งเดิมซ้ำ

คำเชิญเข้าร่วมโปรแกรมรางวัลบั๊กคือการอนุญาตเพียงอย่างเดียวของคุณ อย่าทำเกินกว่านั้น

• ทดสอบเฉพาะทรัพย์สินที่อยู่ในขอบเขต
• เคารพข้อจำกัดอัตราและหลีกเลี่ยงการทดสอบที่รบกวนระบบ
• อย่าเข้าถึง แก้ไข หรือนำข้อมูลของผู้ใช้อื่นออกไปเกินกว่าที่จำเป็นต่อการพิสูจน์ผลกระทบ
• อย่าเปิดเผยต่อสาธารณะก่อนที่โปรแกรมจะอนุญาต

การคุ้มครองการวิจัยโดยสุจริตมีผลเฉพาะกับการทดสอบที่อยู่ในขอบเขตและทำโดยสุจริตเท่านั้น

คุณเข้าร่วมโปรแกรมใหม่ที่มีขอบเขตเป็น *.example.com ขอบเขตนี้เป็นประเภทใด และกลยุทธ์ใดเหมาะกับขอบเขตนี้

คุณได้เรียนรู้วิธีเลือกเป้าหมายสำหรับล่ารางวัลบั๊กอย่างรอบคอบ

• ขอบเขตคือสัญญา โปรดอ่านก่อนทดสอบสิ่งใด
• ขอบเขตไวลด์การ์ดเหมาะกับการสำรวจและความกว้าง ส่วนทรัพย์สินเดียวเหมาะกับความลึก
• แยกความแตกต่างระหว่าง VDP (ไม่มีค่าตอบแทน) กับโปรแกรมรางวัลที่จ่ายเงิน
• โปรแกรมสาธารณะช่วยสร้างชื่อเสียง ซึ่งนำไปสู่โปรแกรมส่วนตัวที่มีพื้นที่ใหม่กว่า
• รักษาผลงานที่น่าเชื่อถือด้วยการรายงานเฉพาะบั๊กที่ยืนยันแล้วและมีผลกระทบ

ต่อไป เราจะขยายการสำรวจเพื่อค้นหาพื้นที่โจมตีให้มากขึ้น