Tất tần tật về Bug Bounty

[Baby_parrot]

Bug Bounty là chương trình trao thưởng của các tổ chức cho các nhà nghiên cứu, các hacker có các phát hiện bảo mật trên hệ thống và các sản phẩm của tổ chức đó. Phần thưởng dành cho các nhà nghiên cứu khi báo cáo lỗ hổng phụ thuộc vào chương trình Bugbounty có thể là tiền mặt, quà tặng, vinh danh …

Các nhà phát triển phần mềm quan tâm tạo ra các chương trình bug bounty trực tiếp hoặc gián tiếp qua các trang web cung cấp nền tảng bug bounty kết nối giữa nhà phát triển và hacker. Tham gia các chương trình bug bounty giúp cho các nhà phát triển phần mềm phát hiện và vá được nhiều lỗi bảo mật cho hệ thống giảm thiếu nguy cơ bị khai thác tấn công cho hệ thống. Còn đối với các nhà nghiên cứu và hacker mũ trắng là cơ hội đóng góp cho xã hội và kiếm thêm thu nhập cho bản thân.

Dưới đây là những tổng hợp hỗ trợ cho công việc tìm kiếm lỗ hổng hoặc bắt đầu tìm hiểu để tham gia các chương trình Bug Bounty.

Trang web cung cấp Bug Bounty:

• Bugcrowd: https://www.bugcrowd.com/
• Hackerone: https://www.hackerone.com/
• Synack: https://www.synack.com/
• Japan Bug bounty Program: https://bugbounty.jp/
• Cobalt: https://cobalt.io/
• Zerocopter: https://zerocopter.com/
• Hackenproof: https://hackenproof.com/
• BountyFactory: https://bountyfactory.io
• Bug Bounty Programs List : https://www.bugcrowd.com/bug-bounty-list/
• AntiHack: https://www.antihack.me/
• Việt nam: https://bugbounty.vn/ , https://whitehub.net/.

Tài liệu tham khảo cho kiểm thử website:

• The Web Application Hacker’s Handbook
• OWASP Testing Guide
• Penetration Testing
• The Hacker Playbook 2: Practical Guide to Penetration Testing
• The Tangled Web: A Guide to Securing Web Applications
• Jhaddix Bug Hunting Methodology
• The Hacker Playbook-3
• Ethical Hacking and Penetration Guide
• Web Penetration Testing with Kali Linux

Moblie hacking:

• The Mobile Application Hacker’s Handbook
• iOS Application Security
• Owasp Mobile AppSec

Môi trường thực hành:

• BWAPP
• Webgoat
• Rootme
• OWASP Juicy Shop
• Hacker101
• Hacksplaining
• Penetration Testing Practice Labs
• Damn Vulnerable iOS App (DVIA)
• Mutillidae
• Trytohack
• HackTheBox
• SQL Injection Practice
• Whitehat Wargame

Các trang web chứa write-up bug bounty:

• Bug Bounty write-ups and POC
• Awesome Bug Bounty
• SecurityBreached-BugBounty POC
• Facebook Hunting POC
• Bug Hunting Tutorials
• PentesterLand Bug Bounty Writeups
• Hackerone POC Reports
• Bug Bounty POC
• Netsec on Reddit
• Bug Bounty World

Nguồn video học hacking

• JackkTutorials on YouTube
• DEFCON Conference videos on YouTube
• Hak5 on YouTube
• How To Shot Web — Jason Haddix, 2015
• Bug Bounty Hunting Methodology v2 — Jason Haddix, 2017
• Hunting for Top Bounties — Nicolas Grégoire, 2014
• The Secret life of a Bug Bounty Hunter — Frans Rosén, 2016
• Finding Bugs with Burp Plugins & Bug Bounty 101 — Bugcrowd, 2014
• How to hack all the bug bounty things automagically reap the rewards profit — Mike Baker, 2016
• SecurityIdiots
• BlackHat
• Injector PCA
• DevilKiller
• SulemanMalik
• Penetration Testing in linux

Tổng hợp các lỗ hổng

• OWASP Top 10 2017
• SANS TOP 25
• SSRF Bible Cheetsheet
• File upload Stored XSS
• OWASP Web Application Security Testing Cheat Sheet

InfoSec CheatSheet

• Pentest Bookmarks
• Awesome OSINT Cheat-sheet
• Awesome Pentest Cheat-sheet
• Bug Bounty Cheat-sheet
• Awesome Hacking Cheat-sheet
• Awesome-Infosec Cheat-Sheet
• SQL Injection Cheat-Sheet
• XSS Cheat-Sheet
• XXE Payload

Tools & OS:

• Bug Bounty Forum Tool list
• Bug crowd Tool list
• Nmap
• Burp Suite
• Wp-scan
• Kali Linux
• Browser

Wordlist :

• SecLists (Discovery, Fuzzing, Shell, Directory Hunting, CMS)
• Directory wordlist
• Portable Wordlist
• FUZZ-DB
• Mix-Wordlist

Payloads:

• Payloads All The Things
• XSS Payloads
• XSS Payloads -2
• SQL Injection Payloads
• Google-Dorks Payloads
• Google-Dorks-2 Payloads