#6 Bug Bounty. Частные программы.
Здравствуйте, дорогие друзья.
Большинство платформ Bug Bounty различаются на публичные и частные программы. Государственные программы открыты для всех; любой может взломать и отправить ошибки в этих программах, если соблюдаются законы и политика программы вознаграждений. С другой стороны, частные программы открыты только для приглашенных хакеров.
Для этого компании просят хакеров с определенным уровнем опыта и подтвержденным послужным списком атаковать компании и отправлять ей ошибки. Частные программы намного менее конкурентоспособны, чем государственные, из-за ограниченного количества участвующих хакеров, поэтому гораздо проще найти баги в них. Частные программы также часто имеют гораздо более быстрое время отклика, потому что, в среднем, они получают меньше отчетов.
Участие в частных программах может быть чрезвычайно выгодным. Но как Вас могут пригласить? Рисунок ниже показывает уведомление о частном приглашении на платформе HackerOne.
Компании рассылают частные приглашения хакерам, доказавшим свои способности каким-либо образом, так что получить приглашения на закрытые программы не составит труда, если Вы нашли пару ошибок. Различные платформы Bug Bounty будут иметь разные алгоритмы, чтобы определить, кто получает приглашения, но вот несколько советов чтобы помочь Вам добраться туда.
Во-первых, отправьте несколько ошибок в общедоступные программы. Чтобы получить частные приглашения, Вам часто нужно набрать определенное количество очков репутации на платформе, и единственный способ начать их зарабатывать — опубликовать действительные ошибки. Вы также должны сосредоточиться на представлении уязвимостей с высоким уровнем воздействия.
Эти уязвимости часто вознаграждают Вас более высокими очками репутации, что поможет Вам быстрее получать частные приглашения. На некоторых платформах Bug Bounty, как и в HackerOne, вы также можете получить частные приглашения, выполнив обучающие программы или решение задач Capture the Flag (CTF).
Далее не спамьте. Отправка неактуальных ошибок часто приводит к снижению репутации. Большинство платформ Bug Bounty ограничивают частные приглашения хакеров с баллами выше определенного порога. Наконец, будьте вежливы и обходительны при общении с командой службы безопасности. Если Вы будете грубы или оскорбительны по отношению к службам безопасности, Вас, скорее всего, забанят в программе, и запретят Вам получать частные приглашения от других компаний.
Выбор правильной программы
Bug bounty — отличный способ получить опыт в сфере кибербезопасности и заработать дополнительные деньги. Но отрасль становится все более конкурентоспособной. Многие люди открывают для себя эти программы и занимаются взломом на них, и новичкам становится все труднее начать работу.
Вам важно выбрать программу, в которой вы можете преуспеть с самого начала. Прежде чем развивать интуицию охотника за ошибками, Вам часто приходится полагаться на уязвимости с низким вознаграждением, и известные приемы. Это означает то, что множество других хакеров смогут найти те же ошибки, часто намного быстрее, чем Вы, поэтому рекомендуется выбрать программу, которая более подвержена ошибкам, и из нее охотники уходят, чтобы избежать конкуренции. Вы можете найти эти малонаселенные программы двумя способами: искать бесплатные программы или идти на программы с большим скоупом.
Сначала попробуйте обратиться к программам раскрытия уязвимостей. Бесплатные программы часто игнорируются опытными охотниками за ошибками, так как они не платят деньги, но они по-прежнему приносят Вам баллы и признание! И это признание может быть именно то, что Вам нужно, чтобы получить приглашение в частную платную программу.
Выбор программы с большим скоупом означает, что Вы сможете просмотреть большее количество целевых приложений и веб-страниц. Это снижает конкуренцию, поскольку меньше хакеров будут сообщать о каком-либо отдельном активе или типе уязвимости. Используйте программы с быстрым временем отклика, чтобы избежать разочарований и получить обратную связь как можно скорее. И последнее, что вы можете включить в свой процесс принятия решений — это репутация программы. Если можно, соберите информацию о процессах компании, через раскрытые отчеты и учитесь у других опытных хакеров. Хорошо ли компания относится к своим журналистам? Они уважают и поддерживают? Они помогают учиться? Выбирайте программы, которые будут оказывать поддержку, пока Вы еще учитесь, и программы, которые будут вознаграждать Вас за ценность, которую Вы предоставляете.
Выбор правильной программы для Вашего набора навыков имеет решающее значение, если Вы хотите ворваться в мир багов. Этот раздел должен был помочь, если Вы разбираете различные программы, которые могут Вас заинтересовать. Happy hacking!
Краткое сравнение популярных программ
После того, как Вы определили несколько интересующих Вас программ, Вы можете перечислить свойства каждой из них, чтобы сравнить их. В таблице ниже давайте сравним несколько популярных программ, представленных в этом разделе.
На этом все. Всем хорошего дня!
#1 Bug Bounty — Руководство по поиску веб-уязвимостей и сообщениям о них. Введение.
#2 Bug Bounty. Выбор программы Bug Bounty.
#3 Bug Bounty. Типы активов в Bug Bounty.