Отчёты bug bounty с помощью ИИ

Баг ничего не стоит, пока кто-то другой не может его воспроизвести и увидеть impact. Отчёт это место, где это происходит, и это шаг, который новички торопят. Модель набрасывает чистый отчёт по вашим заметкам за секунды, что полезно, пока вы проверяете каждую строку перед отправкой. Этот пост закрывает серию, которая началась с цикла. По основам написания отчётов хорошо подходит как написать первый отчёт о безопасности.

#Что нужно triager

Triager читает много отчётов и воспроизводит те, что понятны. Дайте ему короткий заголовок, который называет баг и актив, точные шаги, по которым он пройдёт, request и response, которые это доказывают, и простое утверждение об impact. Сделайте так, чтобы он мог вставить ваши шаги и увидеть тот же результат. Отчёт, который заставляет читателя гадать, закрывают или возвращают за деталями.

#Части отчёта

Часть	Что в ней
Заголовок	Класс бага и затронутый актив
Резюме	Одно или два предложения о том, что это и почему важно
Шаги	Пронумерованные, точные, воспроизводимые из чистого состояния
Доказательства	Request и response, скриншоты, где они помогают
Impact	Что получает атакующий, сказано прямо
Исправление	Короткое честное предложение, когда оно у вас есть

#Набросайте по заметкам с моделью

Если вы вели заметки по ходу цикла, у вас есть сырьё. Дайте модели request, response и то, что баг позволяет атакующему, и попросите отчёт в структуре выше. Модель хорошо превращает черновые заметки в чистый текст и согласованные шаги. Давайте ей факты, а не догадку о severity, и велите оставлять заглушку везде, где ей не хватает детали, чтобы она писала пробел, а не выдумывала его.

#Оценивайте severity честно

Severity решает уровень вознаграждения, поэтому соблазн завысить её реален, и triager видит это насквозь. Оценивайте то, что доказали, а не то, что могло бы быть возможно. Bugcrowd Vulnerability Rating Taxonomy сопоставляет классы багов с severity, а CVSS от FIRST даёт оценку с задокументированным вектором. Модель может предложить вектор CVSS, а вы сверяете каждую метрику с тем, что реально продемонстрировали. Честный medium лучше раздутого high, который понижают и который метит вас как того, кто завышает.

#Проверяйте каждую строку перед отправкой

Это то же правило, на котором держится вся серия. Читайте черновик модели против своих доказательств. Работает ли каждый шаг из чистого состояния? Верны ли каждый URL и параметр? Совпадает ли impact с тем, что вы доказали, без добавленного для эффекта? Пройдите свои шаги ещё раз на цели, ровно как записано, и поправьте всё, что не воспроизводится. Отчёт обязан быть правдой, потому что triager его запустит.

#Что модели делать нельзя

Не позволяйте модели писать impact, который она не может подкрепить, называть CVE, в котором она не уверена, или описывать шаг, который вы не выполняли. Это ошибки, которые беглая модель делает, пытаясь быть полезной, и каждая стоит вам доверия в программе. Держите данные программы и пользователей вне черновика сверх минимума, нужного, чтобы показать баг, и держите отчёт вне публичных сервисов, пока программа не исправит проблему и не согласует раскрытие. Условия disclose.io описывают добросовестное раскрытие.

#Отправьте, потом ведите переписку

Отправьте отчёт через канал программы, быстро отвечайте на вопросы и добавляйте детали, если triager просит. Если баг понизили, прочитайте почему, прежде чем спорить, потому что у triager обычно есть контекст, которого нет у вас. Спокойная, точная переписка строит репутацию, которая позже приносит приватные приглашения.

#Конец серии и начало цикла

Вы прочитали скоуп, разметили поверхность, протестировали и проверили баги, собрали агента, чтобы ускорить скучные части, и написали отчёт. Это весь цикл. Пройдите его снова на следующем активе. Держите OWASP Web Security Testing Guide и сценарий использования bug bounty открытыми и начните следующий проход с цикла.