Выбор первой программы bug bounty

От выбора программы зависит, будет ли первый месяц продуктивным или уйдёт на цели, которые вы не можете тестировать. Этот пост о том, как хорошо прочитать скоуп: первый проход делает модель ИИ, а решение принимаете вы. Он продолжает цикл и ведёт к настройке toolkit.

#Что такое программа

Программа bug bounty это публичное предложение. Организация называет активы, которые хочет проверить, задаёт правила их тестирования и назначает вознаграждения за валидные отчёты. Политика это контракт. Всё, что вы делаете, остаётся внутри её списков, и отчёт, который выходит за них, закрывают, каким бы хорошим ни был баг. Некоторые сайты также публикуют файл security.txt по пути /.well-known/security.txt с контактом и ссылкой на политику, и он говорит, куда идут отчёты.

#В скоупе и вне скоупа

Любая политика делит мир на активы, которые тестировать можно, и активы, которые нельзя. В скоупе обычно набор доменов, wildcard-доменов, мобильных приложений или API. Вне скоупа всё остальное, и туда часто входят сторонние сервисы, которыми организация пользуется, но которые ей не принадлежат. Для новичка список вне скоупа важнее списка в скоупе, потому что именно там случаются аварии. Wildcard вроде *.example.com всё равно может исключать отдельные хосты, поэтому читайте оба списка вместе.

#Правила, из-за которых отчёты закрывают

Кроме списков активов, политика задаёт правила работы: лимиты запросов, разрешено ли автоматическое сканирование, какие классы багов не оплачиваются и что можно делать с любыми данными, до которых вы дошли. Частые классы вне скоупа для новичков это self-XSS, отсутствие security-заголовков без эксплуатации и отчёты автоматических сканеров без ручного доказательства. Правила работы в bug bounty объясняют их полностью.

#Прочитайте скоуп с моделью, потом проверьте

Вставьте политику в чат и попросите три списка: активы в скоупе, активы вне скоупа и правила, из-за которых отчёт закроют. С этой работой по чтению модель справляется хорошо. Она же способна выбросить хост или выдумать правило, поэтому потом вы читаете политику сами и правите её списки. Смысл модели здесь в скорости на скучной задаче, а не в вердикте, которому вы слепо доверяете.

Признак	Дружелюбно к новичку	Старт сложнее
Размер скоупа	Несколько понятных доменов	Большое wildcard-хозяйство
Зрелость	Новая программа, мало охотников	Зрелая программа, всё перебрано
Правила	Сканирование разрешено, классы ясны	Жёсткие лимиты запросов, много исключений
Цели	Веб-приложение, которое можно поднять локально	Железо или приложения только под native

#Выберите актив, который реально можете тестировать

Программа может перечислять десять активов, а подойдут вам только два. Как новичку, выбирайте веб-приложение, которое можно изучить и на своей машине, чтобы понимать его поведение, не отправляя трафик на боевую цель по каждому вопросу. Если программа предлагает self-hosted или демо-сборку, поднимите её локально, а боевой хост оставьте для подтверждения бага. Так число запросов к реальной цели остаётся низким, это уважает правила по частоте запросов и оставляет более чистый след.

#Запишите скоуп, прежде чем его трогать

Запишите скоуп туда, где его могут проверить ваши инструменты, а не только память. NotHoly CLI может держать скоуп для прогона командой notholy engage и читает цель из каждой команды перед её запуском, так что хост вне скоупа запрашивает второе подтверждение. Пост про toolkit это настраивает. Запись скоупа превращает правило, которое надо помнить, в проверку, которую делает терминал.

#Выбор платформы

Программы живут на bounty-платформах и на страницах компаний, которые находят через security.txt или страницу /security. Публичные программы принимают любого. Приватные приходят по приглашению, когда вы накопите репутацию. Начните с публичных, прочитайте несколько политик с моделью, чтобы почувствовать, чем они различаются, и останьтесь на одной программе достаточно долго, чтобы хорошо изучить её приложение.

#Дальше в этой серии

Когда у вас есть программа и актив, настройте toolkit и терминал. Держите рядом OWASP Web Security Testing Guide и условия disclose.io как ссылки на то, как выглядит добросовестное тестирование.