Yüksek Kaliteli Hata Raporları Yazma

Yüksek kaliteli bir rapor daha hızlı önceliklendirilir, yinelenen veya yalnızca bilgilendirici olarak işaretlenme olasılığı daha düşüktür, doğru önem derecesi değerlendirmesi alır ve programlar nezdinde itibarınızı güçlendirir. Kötü raporlar — kritik hatalar için bile — reddedilebilir veya değerleri düşük biçimde değerlendirilebilir.

Her kaliteli raporda şunlar bulunur: güvenlik açığı başlığı, CVSS gerekçesiyle birlikte önem derecesi değerlendirmesi, etkilenen varlık (web adresi/uç nokta), sorunun açıklaması, yeniden oluşturma adımları, kavram kanıtı, etki değerlendirmesi ve önerilen düzeltme.

İyi bir başlık özgül ve bilgilendiricidir: "/api/v2/users/{id} üzerinde IDOR, kimliği doğrulanmış herhangi bir kullanıcının özel profil verilerine erişmesine izin veriyor" ifadesi, "Yetkilendirme atlatma" ifadesinden daha iyidir. Şunları tek cümlede belirtin: güvenlik açığı türü, etkilenen uç nokta ve etkisi.

Hiç bu hatayı görmemiş deneyimsiz bir geliştiricinin hatayı yeniden oluşturabilmesi için adımları yazın. Her adımı numaralandırın. Tam HTTP isteklerini ekleyin (Burp Suite'ten kopyalayın). Gerekli ön koşulları da ekleyin (hesap türü, coğrafi kısıtlama, günün saati).

Güvenlik açığının mevcut olduğunu kanıtlayan ekran görüntüleri, ekran kayıtları veya Burp Suite HTTP istek/yanıt yakalamalarını ekleyin. IDOR için: değiştirilmiş istekle Hesap A'nın Hesap B'ye ait verilere eriştiğini ve yanıtta B'nin verilerinin gösterildiğini belirtin.

İş etkisini açıkça açıklayın: "Bir saldırgan, kimlikleri sırayla deneyerek herhangi bir kullanıcının tam adına, e-posta adresine, telefon numarasına ve fatura adresine erişebilir." Mümkün olduğunda nicelik verin: "Kullanıcı tablosunda 2 milyon kayıt bulunuyor ve bunların tümüne erişilebiliyor." Teknik etkiyi iş riskiyle ilişkilendirin.

Birçok program önem derecesini puanlamak için CVSS 3.1 kullanır. Altı temel ölçütü öğrenin: AV (saldırı vektörü), AC (karmaşıklık), PR (gerekli ayrıcalıklar), kullanıcı etkileşimi, kapsam ve gizlilik/bütünlük/kullanılabilirlik etkisi. CVSS'yi doğru puanlamak uzmanlığınızı gösterir ve ön değerlendirmeyi hızlandırır.

Yaygın rapor hataları şunlardır: eklenmiş kavram kanıtı bulunmaması, yeniden oluşturma adımlarında ön koşulların eksik olması, etkinin olduğundan düşük gösterilmesi (hesap ele geçirme için "düşük" demeyin), istismar edilebilir olduklarına dair kanıt bulunmayan kuramsal güvenlik açıkları ve önce açıklanmış raporları kontrol etmeden yinelenen bildirimler gönderilmesi.

Tam HTTP isteğini ve yanıtını yapıştırın (hassas verileri sansürleyin — gerekli olanın ötesinde diğer kullanıcıların PII verilerini eklemeyin). İnceleyenlerin hemen çalıştırabileceği tek satırlık bir yeniden oluşturma komutu sağlamak için Burp Suite'in "curl olarak kopyala" özelliğini kullanın.

Ön değerlendirme sorularına hızla yanıt verin. Açıklama istenirse 24-48 saat içinde sağlayın. Profesyonel ve nazik iletişim, güvenlik ekipleriyle uzun vadeli ilişkiler kurar ve yeniden sınama kredisi ile ek ödüller alma olasılığını artırır.

HackerOne ve Bugcrowd'un açıklama sayfalarındaki en yüksek puanlı raporları okuyun. Seçkin araştırmacıların raporları nasıl yapılandırdığını, etkiyi nasıl gösterdiğini ve güvenlik açıklarını nasıl zincirlediğini inceleyin. Biçimlendirmelerini ve etkiyi ifade etme biçimlerini kendi bildirimlerinizde uygulayın.

Yüksek kaliteli bir hata raporunu kötü bir rapordan ayıran en önemli unsur nedir?

Yüksek kaliteli hata raporları özgül bir başlığı, açık yeniden oluşturma adımlarını, somut bir kavram kanıtını, doğru CVSS puanlamasını ve ikna edici bir iş etkisi değerlendirmesini bir araya getirir. Rapor kalitesine yatırım yapmak ödülleri en üst düzeye çıkarır, itibar oluşturur ve güvenlik ekiplerinin ön değerlendirmesini hızlandırır.