כתיבת דוחות bug bounty בעזרת AI

באג לא שווה כלום עד שמישהו אחר יכול לשחזר אותו ולראות את ההשפעה. הדוח הוא המקום שבו זה קורה, וזה הצעד שמתחילים ממהרים בו. מודל מנסח דוח נקי מההערות שלך בשניות, מה שמועיל, כל עוד אתה מאמת כל שורה לפני שהיא יוצאת. הפוסט הזה סוגר את המסלול שהתחיל ב-לולאה. ליסודות של כתיבת דוח, איך כותבים את דוח האבטחה הראשון משתלב היטב עם זה.

#מה triager צריך

triager קורא הרבה דוחות ומשחזר את אלה הברורים. תן לו כותרת קצרה שנוקבת בבאג ובנכס, צעדים מדויקים שאפשר לעקוב אחריהם, את ה-request וה-response שמוכיחים אותו, והצהרת השפעה פשוטה. עשה כך שהוא יוכל להדביק את הצעדים שלך ולראות את אותה תוצאה. דוח שמשאיר את הקורא לנחש נסגר או מוחזר לפרטים נוספים.

#החלקים של דוח

חלק	מה נכנס בו
כותרת	מחלקת הבאג והנכס המושפע
תקציר	משפט או שניים על מה ולמה זה חשוב
צעדים	ממוספרים, מדויקים, ניתנים לשחזור ממצב נקי
ראיות	ה-request וה-response, צילומי מסך איפה שהם עוזרים
השפעה	מה תוקף משיג, מנוסח בפשטות
תיקון	הצעה קצרה וישרה כשיש לך אחת

#ניסוח מההערות שלך עם המודל

אם שמרת הערות לאורך הלולאה, יש לך את חומר הגלם. תן למודל את ה-request, את ה-response, ואת מה שהבאג מאפשר לתוקף לעשות, ובקש דוח במבנה שלמעלה. המודל טוב בהפיכת הערות גולמיות לכתיבה נקייה ולצעדים עקביים. תן לו עובדות, לא ניחוש על חומרה, ואמור לו להשאיר placeholder בכל מקום שחסר בו פרט, כך שהוא כותב פער במקום להמציא אחד.

#דרג חומרה בכנות

החומרה קובעת את דרגת הפרס, ולכן הפיתוי לנפח אותה אמיתי, ו-triagers רואים דרכו מהר. דרג את מה שהוכחת, לא את מה שאולי אפשרי. Bugcrowd Vulnerability Rating Taxonomy ממפה מחלקות באגים לרמות חומרה, ו-CVSS מ-FIRST נותן ציון עם vector מתועד. מודל יכול להציע CVSS vector, ואתה בודק כל מטריקה מול מה שבאמת הדגמת. medium כן עדיף על high מנופח שיורד בדרגה ומסמן אותך כמי שמגזים.

#אמת כל שורה לפני שאתה שולח

זה אותו כלל שכל המסלול רץ עליו. קרא את הטיוטה של המודל מול הראיות שלך. כל צעד עובד ממצב נקי? כל URL ופרמטר נכונים? ההשפעה תואמת את מה שהוכחת, בלי שום דבר שהוסף לאפקט? עבור על הצעדים שלך עוד פעם על היעד, בדיוק כפי שנכתבו, ותקן כל דבר שלא משתחזר. הדוח חייב להיות אמיתי, כי ה-triager יריץ אותו.

#מה לא לתת למודל לעשות

אל תיתן למודל לכתוב השפעה שהוא לא יכול לתמוך בה, לנקוב ב-CVE שהוא לא בטוח בו, או לתאר צעד שלא ביצעת. אלה הטעויות שמודל שוטף עושה בזמן שהוא מנסה להיות מועיל, וכל אחת מהן עולה לך באמינות מול התוכנית. שמור נתוני תוכנית ומשתמש מחוץ לטיוטה מעבר למינימום הדרוש כדי להראות את הבאג, ושמור את הדוח מחוץ לשירותים ציבוריים עד שהתוכנית תיקנה את הבעיה והסכימה לחשיפה. התנאים של disclose.io מתארים חשיפה בתום לב.

#שלח, ואז עקוב

שלח את הדוח דרך הערוץ של התוכנית, ענה על שאלות מהר, והוסף פרטים אם ה-triager מבקש. אם הבאג יורד בדרגה, קרא למה לפני שאתה מתווכח, כי ל-triager בדרך כלל יש הקשר שאין לך. מעקב רגוע ומדויק בונה את הרקורד שמזכה בהזמנות פרטיות בהמשך.

#סוף המסלול, והתחלת הלולאה

קראת scope, מיפית משטח, בדקת ואימתת באגים, בנית סוכן כדי לזרז את החלקים המשעממים, וכתבת דוח. זו כל הלולאה. הרץ אותה שוב על הנכס הבא. השאר את OWASP Web Security Testing Guide ואת מקרה השימוש של bug bounty פתוחים, והתחל את המעבר הבא מ-הלולאה.