Як кращий баг-баунті-хантер обирає функції GitHub для атаки?

Програма, що платить за глибину, а не обсяг

GitHub перебудувало таблиці винагород цього року навколо єдиного принципу: заробляєш більше не тим, хто надсилає більше звітів, а тим, хто надсилає кращі. Зміна ввела постійний VIP-рівень лише за запрошенням для дослідників, які стабільно надають якісну, впливову роботу. Учасники VIP отримують значно вищі виплати — до $30,000 і більше за критичні знахідки — а також прискорені відповіді на звіти та ранній доступ до бета-продуктів до публічного запуску. Запрошення отримують автори з одним критичним або двома високими вирішеними знахідками. Доступ також відкриває чотири середні або сім низьких за серйозністю випадків.

Як дослідник вибирає, де шукати

@vaib25vicky спеціалізується на авторизації та контролі доступу. Підхід починається з функції, яка виглядає складною та важкою для розуміння, а не з класу помилок. Досвід підказує, чи варта функція часу. Якщо нічого цікавого не виявляється, дослідник переходить далі.

Штучний інструмент, що все ще потребує людської перевірки

Дослідник використовує ШІ для економії часу та підвищення продуктивності, порівнюючи його з дуже швидким автомобілем, якому все ще потрібен хороший водій. Слабке місце ШІ — керування: завжди перевіряй, що видає ШІ, і ніколи не надсилай знахідку, яку не підтвердив сам. Терпіння — частина роботи. Довгий час на цілі до першого результату — це норма. У вільний від хакінгу час дослідник грає і подорожує, його можна знайти в X за @vaib25vicky. Звіти надсилаються через HackerOne.