#3 Bug Bounty. Заметки. Введение.
Здравствуйте, дорогие друзья.
Никто не любит делать заметки, но это действительно повышает Ваши шансы на успех в баг-хантинге.
Если Вы тестировали цель в течение последних 6 месяцев, и, впоследствии, хотите увидеть, что Вы делали в первый день тестов, то единственным реальным способом сделать это — вернуться к своим записям.
У каждого охотника свой способ делать заметки, и, честно говоря, любой способ работает. Кто-то использует json, кто-то использует необработанный текст. Кому-то нравятся доски Канбан, кому-то нравится чек-лист, а другие используют полную вики-страницу.
Инструмент «notion» способен на все, поэтому он мне так нравится. Notion можно использовать на мобильном устройстве. Мне лично нравится иметь доступ к моим ресурсам независимо от того, где я нахожусь, и на каком устройстве я их использую. Еще одним преимуществом является то, что Вы можете легко использовать Notion для сотрудничества. Совместное использование Вашего рабочего пространства позволит другим просматривать Ваши целевые списки, заметки, контрольные списки, списки дел и все остальное. Если Вы планируете совместную работу с этим инструментом, то он позволит Вам легко координировать свои усилия для достижения максимальной эффективности. Вы можете скачать этот инструмент по адресу:
— https://www.notion.so/ — для Windows и Mac;
— https://github.com/puneetsl/lotion — Linux (Unofficial Version).
Вики
Прежде чем Вы сможете начать работу с Notion, Вам нужно настроить свою вики страницу. Это действительно зависит от Вас, то есть, как Вы ее настроите.
Я покажу вам базовый пример. того, как может выглядеть ваша страничка:
Как видите, есть вики-страница под названием bug bounty, и под ней у меня есть 4 страницы с названиями целей, методологией, ресурсами и активами/инвентарем.
В разделе целей содержится все, что связано с каждой программой вознаграждения за обнаружение ошибок. Вкладка методологии предназначена для использования в качестве ссылки на то, что я должен делать.
Страница ресурсов содержит ссылки на учебные пособия и другие полезные вещи. Наконец, на странице активов/инвентаря я храню детали о моей инфраструктуре, такой как IP-адреса VPS и учетные данные для входа.
Цели
В разделе целей я размещаю всю информацию о каждой bug bounty программе. Здесь я храню область целей, ежедневные заметки, результаты сканирования, список дел и все остальное, связанное с участием.
Ваши ежедневные заметки должны быть достаточно подробными, чтобы Вы могли воспроизвести то, что у Вас есть. Однако это НЕ означает, что Вы должны включать каждую деталь, для этого и нужны Ваши журналы. Также важно следить за тем, что Вы сделали и что нужно сделать.
Для этого нужен чек-лист, о котором говорилось в прошлом разделе (Контрольный список OWASP), но Notion позволяет нам использовать доски Канбан, которые намного лучше.
Если Вы работаете в группах, используя доску Канбан, Вы легко сможете сотрудничать, плюс визуально легче усваивается, что сделано, что закончено, и над чем Вы сейчас работаете.
Еще одна приятная особенность заключается в том, что мы можем конвертировать чек-листы, Канбан-доски и некоторые другие вещи одним нажатием кнопки.
Другие способы
Notion — это всего лишь одно из решений, которое мне действительно нравится, и Вам нужно найти то, что работает лучше всего. Ниже приведен список некоторых альтернативных способов делать заметки:
— https://pentest.ws/ — это базовая веб-заметка, предназначенная для тестирования на проникновение. Это решение стоит денег, чтобы использовать.
— https://github.com/ehrishirajsharma/SwiftnessX — это еще один инструмент, разработанный специально для тестирования на проникновение. В отличие от pentest.ws он должен быть загружен локально.
— https://evernote.com/ — evernote очень популярный инструмент для заметок. Вы также можете экспортировать свои заметки Evernote непосредственно в «Notion».
— https://www.sublimetext.com/ — это очень простой инструмент для того, чтобы делать заметки. Стабильно работает в Linux среде.
— https://notepad-plus-plus.org/ — Notepad++, в основном, подойдет для Windows-версии. Ничего особенного, просто инструмент для заметок.
Неважно, что Вы выберете, для цели — ведите себя как профессионал и оставайтесь организованным.
Заключение
Вы только навредите себе в будущем, если не будете делать заметки. Вы не сможете вспомнить, что Вы делали 6 месяцев назад, и поэтому Вам нужно делать заметки.
Если Вы хотите вернуться к цели, которую уже тестировали, и на которую Вы не хотите тратить впустую время, то заметки также помогут другим, желающим забрать Вашу работу.
Об этом стоит подумать, если Вы когда-нибудь будете сотрудничать с кем-то еще.
Логирование — Журналы Burp Suite. Введение
Burp Suite НЕОБХОДИМО ИМЕТЬ, если Вы занимаетесь тестированием веб-приложений. Он поможет детально изучить приложения или одну конечную точку.
Burp Suite — единственный инструмент, который Вам понадобится. Burp также будет регистрировать каждый запрос, отправленный на и из приложения.
● https://portswigger.net/burp
Журналы Burp
Журналы http-прокси, которые предоставляет Burp, будут более подробными, чем заметки, которые Вы делаете вручную.
Эти журналы предоставят Вам каждый запрос, что позволяет точно видеть, что и когда Вы сделали.
Было несколько случаев, когда мне нужно было знать, что я делал при тесте, который произошел за несколько месяцев до этого, и позволил легко получить доступ к информации, просмотрев мои журналы Burp, которые точно показали, что я сделал, и когда я это сделал. В дополнение к этому, я также смог легко воспроизвести свой трафик и атаки, так как все запросы были сохранены.
Заключение
Работая с bug bounty, Вы можете потратить несколько дней на изучение приложения. Если по прошествии 6 месяцев Вы решите вернуться к этому приложению, чтобы попробовать еще раз, то точно будете знать, что Вы делали. Это позволит продолжить с того места, на котором остановились. Вы же не хотите тратить свое драгоценное время или усилия, дублируя одни и те же задачи?
Резюмирую
Очень важно, чтобы Вы оставались организованными во время охоты за багами. Bug bounty непрерывно, и нередко нужно будет тестировать одну и ту же цель несколько раз. Раз в течение года, например.
Вы повсеместно захотите следить за тем, какие действия были выполнены, а также обратите внимание на собранную информацию, пройденные уязвимости и все остальное, что может помочь Вам.
По мере того, как Вы тестируете организацию с течением времени, Вы начнете понимать их технологические стеки, общие уязвимости, которые они имеют, и то, как они работают. Имейте четкие записи и заметки о том, что Вы узнали и сделали, чтобы не только помочь Вам, но и любому другому, кто позже нацелится на организацию.
На этом все. Всем хорошего дня!