5 THINGS TOP BUG BOUNTY HUNTERS DO DIFFERENTLY

出处:https://www.hackerone.com/blog/5-things-top-bug-bounty-hunters-do-differently

本周，我们有幸收容了50名比利时科技学生，他们正在参观硅谷科技公司。 我们有机会作为企业家分享我们在硅谷的经验。 但主要是我们讨论了黑客攻击和安全问题，因为毕竟，这就是我们在HackerOne中生活和呼吸的东西。 我们分享了一些众所周知和公开的黑客与公司合作的例子，以展示该行业的发展程度。 我们报道了Samy Kamkar的MySpace蠕虫，Chris Putnam非常相似的“Facespace”蠕虫，Jeep和特斯拉汽车黑客以及联合航空公司的漏洞赏金，以及其他很酷的故事。 在故事情节之后，我们直接跳到成为一个成功的bug赏金猎人的提示和技巧。

这里有5件顶级虫子赏金猎人做的不同：

他们知道如何建立
一些最好的黑客说他们在编码之前就学会了破解。一些黑客在学习编码后捡起了黑客。事实是，这并不重要。但最有效的黑客同时实践黑客技术和工程软件科学。

如果你曾经 - 或者更好的是 - 在创建新产品功能方面，你可以更好地了解在哪里寻找bug。人类犯错误，直接体验这些错误是如何产生并变成弱点的，这是成为一个成功的臭虫赏金猎人的关键。软件开发人员几乎总是使用框架来为他们正在尝试构建的应用程序提供构建块。使用各种框架的经验可以让您深入了解它们的使用方式，但更重要的是，它还告诉您如何使用它们。后者是您作为安全研究人员需要利用的。

拥有编写软件的经验是帮助我成为黑客的最重要的事情。

他们有一个异常的眼睛
首先确定目标应用程序中使用的设计模式。 然后将这些实例与开发人员选择采用不同模式的实例进行匹配。 当您发现开发人员的一个实例不顾一切地绕过最佳实践时，您应该开始闻到漏洞。 根据我的个人经验，这通常意味着在你嗅探的地方附近至少有一个漏洞。 保证您可以在任何应用程序中找到这些例外。

用于HTTP端点的命名模式的偏差，用户输入表单的结构方式，在API中传递的数据的表示，或者仅仅是它看起来的方式。 这些都是异常的经典说明。

他们提交质量报告
人们不应忘记，在涉及漏洞报告时，质量往往高于数量。对于运行bug赏金计划的团队而言，了解远程代码执行漏洞比一系列自我XSS机会更有趣。

作为一名黑客，如果您喜欢发现超级严重漏洞的难题或智力挑战，那么您就是好人。如果您也喜欢尽可能清楚地描述您所发现的内容，那就更好了！不要忘记，报告漏洞是您与安全团队之间的专业互动。使用专业语言，简洁，包括清晰的再现步骤，并且不会给接收端的人带来不必要的开销。虽然您对找到漏洞感到兴奋，但要意识到您所报告的安全团队可能不会因为出现漏洞而感到兴奋。您还必须了解您所报告的安全团队可能具有相互竞争的优先级 - 您不了解他们的业务。在您的交流中保持耐心和理解总是受到赞赏，有时甚至得到适当的奖励。

他们设定目标
你怎么知道你是否是一个成功的bug赏金猎人？ 对于某些人来说，在您的银行帐户中没有比$$$更好的成功指标。 为自己设定目标有助于保持积极性和参与度。 你将能够更好地选择在哪里度过你的时间 - 毕竟这是一场竞争激烈的游戏。 您可以围绕您想要在一个季度内赚取的金额，您想要查找的错误的类型或严重程度，或者您想要查找漏洞的特定公司设定目标。我的目标是三者的组合。

就我个人而言，并不仅仅是赏金。 我喜欢挑战并为互联网的安全做出贡献。 我担心我使用的服务的安全性，我经常花时间在我最依赖的服务中找到漏洞。 对我来说，知道我正在帮助保护我的个人数据或我的公司是非常有益的。

他们一起嘻嘻哈哈
你会发现更多。 2015年，我的联合创始人Jobert和我赚了超过10万美元的bug奖励。 我们几乎总是一起寻找错误。 我们互相反对意见。 我们不同意，当他们愚蠢的时候我们互相打电话。 我们争辩说，我们是braindump，通常它变成了一个出色的工作漏洞。

一起工作非常强大。 它允许您并行化。 更重要的是，它允许你让某人反复思考，以帮助证明你的理论，几乎疯狂的漏洞。 如果您还没有黑客伙伴，请不要担心，不需要成功。 这是一个额外的奖励技巧，可以让你优化你的bug赏金工作。