Вашето ръководство за хакване и печелене от програми за награди за грешки
Наградите за грешки са чудесен начин да придобиете опит в киберсигурността и да спечелите допълнителни пари.
Но също така става много по-конкурентен напоследък. Тъй като все повече хора откриват премии за грешки и се включват в тях, за начинаещите става все по-трудно да започнат.
Ето няколко съвета, които биха ви улеснили да откриете първата си грешка.
Как да изберете програма
Има две места, където могат да бъдат намерени програми за награди за грешки. Една от тях е на платформи за награди за грешки. Това са платформи, на които много различни компании хостват своите програми, а хакерите получават точки и пари за техните резултати. Някои от най-големите платформи са HackerOne и Bugcrowd.
Друг е собственият уебсайт на организацията. Много компании хостват свои собствени програми за награди за грешки, вместо да използват платформа за награди за грешки. Компании като Google, Facebook и Medium предприемат този подход.
Публично срещу частно
В платформите за награди за грешки има разграничение между „публични“ и „частни“ програми.
Публичните програми са програми, които са отворени за обществеността: всеки може да хакне и да изпрати грешки в програмата, стига да спазва законите и договора за награди за грешки.
От друга страна, частните програми са отворени само за поканени хакери. Само няколко избрани хакери са в състояние да хакнат компанията и да изпратят грешки в нея.
Избор на програма
Когато започвате за първи път, важно е да изберете програма, в която можете да успеете от самото начало.
Наградата за грешки зависи много от опита, така че е добра идея да изберете програма, която да бъде пренебрегната от по-опитни ловци на грешки, за да избегнете конкуренцията. Има два начина за намиране на тези слабо запълнени програми: потърсете неплатени програми или изберете програми с голям обхват.
Когато не сте развили интуиция за лов на бъгове, често трябва да разчитате на „ниско висящи плодове“ и добре познати техники за намиране на бъгове. Това означава, че много други хакери биха могли да намерят същите грешки много по-бързо от вас. Ето защо е добра идея първо да изберете неплатени програми. Неплатените програми често се игнорират от опитни ловци на грешки, тъй като не плащат пари. Но те все още ви печелят точки и признание! И това признание може да е точно това, от което се нуждаете, за да получите покана за частна, платена програма.
Програма с голям обхват също е добро място за започване. Обхватът се отнася до броя на целевите приложения и уеб страници. Когато една програма има голям обхват, често можете да намерите неясни приложения в обхвата, които се пренебрегват от други хакери. Тези приложения са много по-лесни за намиране на грешки.
Освен това дайте приоритет на програми с бързо време за реакция. Когато започнете за първи път, ще направите много грешки. Може да прецените погрешно сериозността на грешка, да напишете неясен доклад или да допуснете технически грешки в доклада. Бързата обратна връзка от програмните мениджъри ще ви помогне да се подобрите и ще ви превърне по-бързо в компетентен хакер.
Получаване на частни покани
Получаването на частни покани за платформи за награди за грешки не е трудно, след като откриете няколко грешки. Различните платформи ще имат различни алгоритми, за да определят кой ще получи поканите, но ето някои общи насоки, към които да се придържате:
- Първо изпратете грешки в публични програми. За да получите частни покани, често се нуждаете от „точки“ или „репутация“ на дадена платформа. Единственият начин да ги спечелите е първо да изпратите няколко валидни грешки на публични програми.
- Не изпращайте спам. Спамът и изпращането на непроблеми често води до намаляване на точките или репутацията. Повечето платформи за награди за грешки ограничават частните покани до хакери с точки над определен праг.
- Бъдете учтиви и учтиви. Проявяването на грубост или злоупотреба с програмните мениджъри вероятно ще ви забрани от програмата, както и ще ви попречи да получавате частни покани.
На някои платформи за награди за грешки, като HackerOne, можете също да получите частни покани, като завършите уроци или решите CTF предизвикателства.
Частните програми са много по-малко претъпкани от публичните и ще стане много по-лесно да откриете грешки, след като започнете да хаквате частни програми.
Как да намерите първия си бъг
Сега, след като сте избрали програмата, върху която ще работите, е време да намерите някои грешки!
Всички ловци на грешки имат видове уязвимости, в които са специализирани. Обикновено те започват да търсят всичко и в крайна сметка се установяват в нещо, в което са особено добри. Така че, преди да намерите своята ниша, добра идея е да се опитате да потърсите всичко.
Класовете грешки, които са най-лесни за намиране, са:
- Cross-Site Scripting (XSS),
- Несигурна директна препратка към обект (IDOR),
- Фалшифициране на заявки между сайтове (CSRF),
- Състезателни условия,
- Разкриване на информация.
Има, разбира се, повече класове уязвимости, които можете да търсите, но тези са най-простите, за да започнете. Опитайте да потърсите тези грешки и вижте дали някой от тях ви идва естествено или предпочитате да търсите някои от тях пред останалите. И преди да се усетите, вие сте станали XSS специалист.
Можете да намерите уроци за това как да намерите тези грешки в някои от предишните ми публикации:
Забележка: Не търсете всички класове грешки наведнъж! Фокусирайте се само върху един по един, за да можете да се запознаете с методологията за търсене на определен тип грешка.
Как да напишете първия си доклад
Забелязахте ли първата си грешка? Страхотно, време е да напишете първия си доклад за грешка.
Когато за първи път започнах да пиша доклади, прекарвах много време, отговаряйки на въпроси от инженерите на програмата, защото нещо не ми беше ясно или не им предоставих достатъчно подробности, за да възпроизведат доклада. Не забравяйте да положите малко усилия да напишете доклад за грешка, защото това ще ви спести много време в бъдеще и може потенциално да увеличи сумата на наградата ви.
Ето ръководство за писане на добър доклад за грешки:
Бележка за Dupes и Informatives
Съвсем нормално е да получите много дубликати и информация, когато започнете за първи път. Така че не се обезсърчавайте от тях!
Не забравяйте, че измамите и информацията означават едно нещо: че сте били технически коректни! Просто някой е открил грешката преди вас или че компанията поема риска в момента.
Те в никакъв случай не отхвърлят качеството на вашата работа. Дори и да не печелите пари или репутация, все пак сте придобили опит от възможността за обучение.
Просто продължавайте и ще развиете своя собствена уникална методология и ще започнете да намирате уникални, ценни грешки!
И накрая, няколко думи за опит
Трудно е. Наистина е. Когато за първи път започнах да търся бъгове, минаваха седмици или дори месеци, без да открия бъг. И когато открия грешка, това ще бъде нещо тривиално и с ниска сериозност.
Ключът към това да станете по-добри в намирането на уязвимости е практиката. Ако сте готови да вложите време и усилия, вашите умения за ловене на грешки ще се подобрят и скоро ще се видите в класации и частни списъци с покани!
Ако някога се разочаровате по време на този процес, не забравяйте, че всичко ще стане по-лесно, след като откриете първата си грешка и получите първата си частна покана. Късмет! И се свържете с общността, ако имате нужда от помощ.
Благодаря за четенето. Има ли нещо, което съм пропуснал? Чувствайте се свободни да ме уведомите в Twitter: https://twitter.com/vickieli7.
