Здравствуйте, дорогие друзья.

Вы потратили часы на поиск уязвимостей и не нашли ни одной? Или Вы продолжаете отправлять отчеты, которые имеют пометку «Информативные», «N/A» или «Дубликат»? Вы выполнили все правила. Вы использовали все инструменты. Что происходит не так? Какие секреты скрывают от Вас лидеры-хакеры? В этом разделе я расскажу об ошибках, которые мешают Вам добиться успеха в борьбе за ошибки, и о том, как Вы можете их улучшить.

Почему Вы не находите ошибки?

Если Вы тратите много времени на поиск ошибок, но у Вас все еще возникают проблемы с их поиском, вот несколько возможных причин. Вы участвуете в неправильных программах. Возможно, Вы все время ориентировались не на те программы. Программы вознаграждения за обнаружение ошибок создаются по-разному, и важно выбрать правильную. Некоторые программы откладывают исправление ошибок, поскольку им не хватает ресурсов для обработки отчетов. Некоторые программы преуменьшают серьезность уязвимостей, чтобы не платить хакерам. Наконец, другие программы ограничивают свою сферу действия небольшой частью своих активов. Они запускают программы вознаграждения за обнаружение ошибок, чтобы получить положительную известность, и не собираются фактически исправлять уязвимости. Избегайте этих программ, чтобы избавить себя от головной боли.

Вы можете идентифицировать эти программы, прочитав публично опубликованные отчеты, проанализировав статистику программ на платформах поиска ошибок или поговорив с другими хакерами. Статистика программы, представленная на платформах поиска ошибок, предоставляет много информации о том, насколько хорошо выполняется программа. Избегайте программ с длительным временем отклика и программ с низким средним вознаграждением. Тщательно выбирайте цели и расставляйте приоритеты для компаний, которые инвестируют в свои программы вознаграждения за обнаружение ошибок.

Вы можете идентифицировать эти программы, прочитав публично опубликованные отчеты, проанализировав статистику программ на платформах поиска ошибок или поговорив с другими хакерами. Статистика программы, представленная на платформах поиска ошибок, предоставляет много информации о том, насколько хорошо выполняется программа. Избегайте программ с длительным временем отклика и программ с низким средним вознаграждением. Тщательно выбирайте цели и расставляйте приоритеты для компаний, которые инвестируют в свои программы вознаграждения за обнаружение ошибок.

Вы не придерживаетесь программы

Как долго Вы должны ориентироваться на программу? Если Ваш ответ — несколько часов или дней, это причина, по которой Вы ничего не находите. Перескакивание с программы на программу — еще одна ошибка, которую часто допускают новички.В каждой программе по вознаграждению за ошибки есть бесчисленное количество охотников за ошибками, которые ее взламывают. Выделитесь среди конкурентов или рискуете ничего не найти! Вы можете выделиться двумя способами: копать глубже или искать широко. Например, углубиться в отдельные функции приложения для поиска сложных ошибок. Или найдите и взломайте менее известные активы компании.

Чтобы делать эти вещи хорошо, требуется время. Не ждите, что сразу обнаружите ошибки, когда начинаете работу над программой заново. И не закрывайте программу, если в первый день не удалось найти ошибки.

Вы не разведываете

Переход к большим общедоступным программам без проведения разведки — еще один способ потерпеть неудачу в борьбе за обнаружение ошибок. Эффективная разведка, о которой мы поговорим в разделе 5, поможет Вам обнаружить новые поверхности атаки: новые поддомены, новые конечные точки и новые функциональные возможности. Потратив время на разведку, Вы получите невероятное преимущество перед другими хакерами, поскольку Вы будете первым, кто заметит ошибки во всех обнаруженных вами малоизвестных ресурсах, что увеличит Ваши шансы найти ошибки, которые не являются дубликатами.

На этом все. Всем хорошего дня!

Цикл статей по Bug Bounty.