Hackhub: Bug Bounty

Описание

Bug Bounty: дополнение о карьере. Вы регистрируетесь на HackerNone, платформе скоординированного раскрытия уязвимостей, и компании платят вам за изъяны безопасности, которые вы сумеете доказать на их сайтах.

Никто не подсказывает, где баги. Страница программы даёт список целей в скоупе, политику, таблицу выплат и оценку того, насколько цель уже перерыли до вас. Всё остальное: ходить по сайту, читать его JavaScript, запускать разведку в терминале и замечать ту единственную деталь, которая не сходится.

Как найти

Дополнение устанавливает Borp, перехватывающий прокси, как отдельное настольное приложение. Пустите браузер через него, и каждый запрос попадёт в историю. Задержите запрос на лету и перепишите его до того, как его увидит сервер, или отправляйте его вручную через Repeater сколько угодно раз и с какими угодно заголовками. Находки, после которых не происходит ничего видимого, доказываются через collaborator: ваша полезная нагрузка обращается к домену, который записывает обращение, и эта строка в логе и есть доказательство.

Реализованы двадцать четыре класса уязвимостей, все настоящие: IDOR, нарушение контроля доступа, обход проверки подписи JWT, SSRF, обход каталогов (path traversal), хранимая и слепая XSS, SSTI, инъекция заголовка Host, захват поддомена, секреты, попавшие в исходный код, ошибки бизнес-логики, состояния гонки. Уязвимость каждой цели действительно существует на её смоделированном сервере. Здесь нет заскриптованного флага, на который можно просто наткнуться.

Как отчитаться

Найти баг - это полдела, а отчёт здесь не сводится к текстовому полю.

Borp записывает всё, что вы делали. Чтобы описать воспроизведение, вы перетаскиваете из этого лога нужные шаги, выстраиваете их по порядку и отмечаете те, что служат доказательством. Затем вы классифицируете находку: какой актив, какая уязвимость и набор вопросов простым языком, из которых для вас собирается вектор CVSS. Влияние: своими словами. Исправление, если вам есть что предложить.

Через несколько игровых часов отчёт читает триажер и отвечает в ветке. Подтверждён, а затем Решён с выплатой, когда исправление выкатят. Нужно больше информации, потому что ваши шаги не воспроизводятся. Дубликат: вы были правы, но опоздали. Информативно: правда, но платить за это вам не станут. Неприменимо: единственный вердикт, который вам чего-то стоит.

Цели

Десять компаний, написанных вручную, примерно по возрастанию сложности.

• Sprocket Supply ведёт программу только с раскрытием уязвимостей. Никаких вознаграждений, снисходительный триаж и эндпоинт заказов, который проверяет, что вы авторизованы, но не проверяет, что заказ ваш. Здесь же обучение.
  
• Kestrel People и Peppermint награждают скорее за разведку, чем за эксплуатацию: админские маршруты, лежащие в собранном скрипте, рабочий почтовый ключ в shop.js, поддомен, всё ещё указывающий на хост, которым давно никто не владеет.
  
• Lumen Notes и Atlas Docs сделаны грамотно, но в каждом есть по одному неверному допущению: в проверке токена и в фильтрации путей.
  
• Vantage Analytics открывается на 70 Репутации, а её баг слепой, так что без внеполосного доказательства сказать о нём будет нечего.
  
• Northwind: маркетплейс с ограничениями частоты запросов и путями-ловушками, за визит в которые вам приходит письмо с предупреждением. Обо всём очевидном здесь уже сообщил кто-то другой.
  
• Meridian Bank доступен только по приглашению: узкий скоуп, строгая политика, ваш собственный аккаунт или ничего.
  
• Fitric живёт в мобильном приложении, и веб-поверхности, достойной тестирования, у него нет. Декомпилируйте APK и работайте с тем, что лежит в строках.
  
• Corveil даёт вам доступ на чтение к своему репозиторию. Находка здесь - файл и номер строки, а отчёт - код-ревью.

После них продолжают приходить процедурные программы. У каждой сгенерированной компании своё веб-приложение, API, тестовый аккаунт и уязвимость, которую действительно можно проэксплуатировать, а багхантеры в таблице лидеров набирают Репутацию по игровым часам независимо от того, играете вы или нет.

Ваше положение

Всю работу делают два числа. Репутация суммирует всю вашу карьеру, никогда не падает и открывает уровни целей, от стартапов и SaaS до крупных технологических компаний и критической инфраструктуры. Сигнал показывает среднюю ценность ваших отчётов, и реальные последствия есть только у Сигнала. Дубликаты его не трогают. Двадцать отчётов наугад в надежде, что хоть один попадёт, тянут его вниз, а программы с верхних ступеней тихо перестают читать багхантеров с плохим Сигналом. Поднимите его достаточно высоко, и начнут приходить приватные приглашения.

Дело

Mara Vega ведёт триаж в нескольких программах и замечает закономерность в отказах по вашим отчётам раньше вас. Багхантер по имени dup3_king отправляет дубликаты ваших отчётов примерно через четыре минуты после того, как вы их подали, а это невозможно, если только кто-то не читает очередь.

Шесть глав, которые заканчиваются за столом разбора дела с двумя кнопками и своей ценой за каждой из них. Параллельно идёт вторая линия: Meridian закрыл критическую уязвимость как Не будет исправлено, запускается девяностодневный отсчёт до раскрытия, и вам предлагают гонорар за то, чтобы срок вышел тихо.

Что ещё в дополнении

• Live-события по таймеру на одной общей цели: очки за критичность и качество отчёта, бонусы за лучший баг и самую изобретательную цепочку, деньги и Репутация тем, кто финиширует наверху.
  
• Триаж как оплачиваемая работа, когда ваш Сигнал станет достаточно хорошим. Читайте отчёты других багхантеров, выносите по ним решения и получайте оплату за каждое верное.
  
• Восемь терминальных инструментов, которые ведут себя как оригиналы: amass, ffuf, arjun, gitleaks, jwt-tool, waybackurls, apktool и пассивный монитор, который выдаёт новые активы спустя несколько дней, пока вы заняты другим.
  
• Справочник из шестнадцати статей о скоупе, критичности, написании отчётов и каждом классе багов, плюс HackTales: блог разборов от игровых багхантеров, который учит приёмам, не называя цели.
  
• Посредник, который появляется после вашей первой принятой критической уязвимости и предлагает примерно впятеро больше вознаграждения за эксплойт и ваше молчание.
  
• Четыре достижения.

Компании вымышленные. Баги, инструменты и бумажная работа настоящие.