دوره گزارش نویسی حرفه‌ای در Bug Hunting
سلام خدمت دوستان عزیز.بهروز منصوری هستم و با دوره گزارش نویسی حرفه‌ای در Bug Hunting در خدمتتون هستم.
باگ بانتی چیست؟ ( Bug Bounty )
باگ بانتی ( Bug Bounty ) یا مسابقات کشف باگ و آسیب‌پذیری، برنامه‌هایی هستند که طی آنها وب‌سایت یا اپلیکیشن، سازمان یا توسعه‌دهنده‌ای بررسی می‌شود و با پیدا شدن باگ‌های امنیتی پاداشی به نفوذگر پرداخت می‌شود.
هدف از این برنامه، کشف آسیب‌پذیری‌های امنیتی قبل از انتشار عمومی آنها است.
پاداش این مسابقات می‌تواند به صورت نقدی، دریافت مدرک و یا هدیه غیر نقدی باشد.
برای آشنایی بیشتر با بحث باگ بانتی می‌توانید از دوره “باگ بانتی (از روش‌های کسب درآمد در حوزه امنیت)” استفاده کنید.
باگ هانتینگ چیست ؟ ( Bug Bounty Hunting )
باگ هانتینگ به آن معنی است که درخواست ایجاد بانتی از سوی سازمان ارائه نشده است و باگ هانتر ( شکارچی باگ ) با پیدا کردن یک باگ امنیتی در سامانه‌های تحت وب و موبایل سازمانهای خصوصی و استارتاپ‌های فعال، می تواند از طریق پنل مخصوص پلتفرم قابل اطمینان خودش ،شواهد(POC) باگ را ثبت نماید.
پلتفرم و مجموعه متخصصین قابل اعتماد هکر شواهد تایید شده را به سازمان مورد نظر ارایه می‌نماید.
در صورت موافقت سازمان، باگ ارزش‌گذاری می‌شود و پرداخت صورت می‌گیرد و معمولا مجموعه‌ای که هکر به آنها اعتماد کرده(پلتفرم باگ هانتینگ) کارمزدی را بابت برقراری ارتباط و مذاکره با سازمان از مبلغ جایزه نهایی کم می‌کند .
نکات مهم در باگ بانتی:
- ابتدا به دقت بخش قوانین و سیاست‌ها ( policy ) و محدوده‌ها ( Scope ) را مطالعه کنید.
- روش‌های مهندسی اجتماعی، فیشینگ، DDoS و حملاتی از این قبیل جزء برنامه باگ بانتی نیستند.
- به لیست و پاداش‌های در نظر گرفته برای آسیب‌پذیری‌ها توجه ویژه داشته باشید.
- همیشه تست را از Subdomains ها شروع کنید.چون معمولا این بخش‌ها مشکلات بیشتری دارند.
- CMS و زبان برنامه‌نویسی Back-end را با ابزارهایی مثل Builtwith ، Wappalyzer شناسایی کنید.
- از گوگل دورک (Google Dorks) برای پیدا کردن بخش‌های مختلف سایت استفاده کنید.
- هر درخواست ( request ) و پاسخ ( response ) را با ابزار burp suite به دقت بررسی کنید.
- خلاق باشید و خارج از چارچوب فکر کنید.
قوانین عمومی که در اکثر مسابقات باگ بانتی وجود دارد :
- تست نفوذ مهندسی اجتماعی، فیشینگ، DDoS و حملاتی از این قبیل در باگ بانتی مورد قبول نیست.
- در صورتی که فعالیت شما باعث اخلال در خدمات کارفرما شود، فعالیت خود را متوقف کرده و کارفرما را در جریان قرار دهید.
- در صورت کشف باگ، سریعا آن را برای بررسی ارسال کنید و از استخراج اطلاعات اضافه پرهیز کنید.
- گزارش باگ باید شامل مراحل بازتولید باگ به صورت کاملا شفاف باشد.
- تمام گزارش‌ها و اطلاعات مربوط به باگ‌های کشف شده باید از طریق پلتفرم باگ‌بانتی آپلود شود.
- انتشار اطلاعات به دست آمده در خارج از پلتفرم باگ‌بانتی ممنوع است.
- پاداش به اولین نفری که آسیب‌پذیری را گزارش کند تعلق می‌گیرد.
- برای انتشار آسیب‌پذیری سازمان و مجموعه‌ها حتما از آنها اجازه‌نامه دریافت کنید.
- زمان مناسب برای انتشار معمولا ۳۰ روز پس از تایید آسیب‌پذیری است.
آسيب‌پذيری‌ها‌ی غير قابل قبول:
در اکثر برنامه‌های باگ‌بانتی آسیب‌پذیری‌های زیر غیرقابل قبول هستند:
- حملات از كاراندازی سرويس (DoS)
- حملات مهندسی اجتماعی و Phishing
- آسيب‌پذيری در دامنه‌ها و آدرس‌های IP غير از آدرس هدف
- Best Practice ها، شامل حداقل طول كلمات عبور و نظایر آن
- آسیب‌پذیری‌ها و Best Practiceهای مربوط به SSL
- حمله Brute Force
- آسیب‌پذیری‌هایی که به تعامل با کاربر نیاز است.
- آسیب‌پذیری‌های مربوط به مرورگرهای قدیمی
- نامه‌نگاری الکترونیکی جعلی (E-mail spoofing)
- حمله Self XSS
- هر موردی که مربوط به بدست آوردن نام‌های کاربری (Account/e-mail enumeration) باشد.
- آسیب‌پذیری‌هایی که قبلاً توسط سایر متخصصین گزارش شده است.
- آسیب‌پذیری‌های گزارش‌شده توسط اسکنرها و سایر ابزارهای اتوماتیک
- گزارش پایین‌بودن ورژن کتابخانه‌ها و نرم‌افزارهای به کار رفته در صورت عدم بهره‌برداری
- آسیب‌پذیری‌های مربوط به نشت اطلاعات سرور و پیکربندی نادرست آن مثل نسخه و نوع وب سرور
مشاهده دمو دوره گزارش نویسی حرفه‌ای در باگ هانتینگ
“دوره گزارش نویسی حرفه‌ای در Bug Hunting”
دیدگاهتان را بنویسید