(05-04-2017, 15:03)R3dpill Skrev: Nej, den slags resulterer normalt i at ens bug er en duplicate medmindre der er et nyt program der lige er blevet offentliggjort, og du er hurtigere end de andre ;) det er fint med automatiserde værktøjer (såfremt det er accepteret i reglerne for et program), men det er bestemt vigtigt at man også roder manuelt for at gå i dybden. Ellers når man ikke særligt langt.

Hvis du ikke har styr på andre web-sårbarheder end sql injection, kan det faktisk være ganske lærerigt at køre en automatiseret scanner ved siden af din manuelle test. Hvis den eksempelvis finder en XSS, du har overset, så tænk over, hvorfor du overså den (og husk naturligvis også at bekræfte at det ikke bare er en falsk positiv)

Jeg har prøvet mig lidt fren med en lokal butiks hjemmeside i min by. De har en masse ting available som helst ikke skulle være det fx. example.com/admin (Er sådanne bugs værd at report?) Jeg tænker bare okay; jeg har adgang til admin login page, men jeg kender ikke adgangskoden. Så det er vel ret ubrugeligt.

(05-04-2017, 15:22)plant Skrev: Jeg har prøvet mig lidt fren med en lokal butiks hjemmeside i min by. De har en masse ting available som helst ikke skulle være det fx. example.com/admin (Er sådanne bugs værd at report?) Jeg tænker bare okay; jeg har adgang til admin login page, men jeg kender ikke adgangskoden. Så det er vel ret ubrugeligt.

Hold dig hellere fra det :) offentligt admin login er ikke noget særligt, og hvis du vil lave whitehat hacking er det bedst at gå målrettet efter de sider, som har bug bounty programmer, så du ved at du kan få noget for at finde sårbarheder, og at der sidder nogle folk der tager din rapportering alvorligt.

Alternativt kan du bruge open bug bounty til at rapportere xss, open redirects eller csrf på forskellige hjemmesider og se om der er nogen af dem der vælger at henvende sig og måske belønne dig eller blot give en positiv udtalelse på din profil. Ikke det helt store, men det er bedre end ingenting :)

Mange af programmerne tillader dog ikke automatiserede skanninger. Pludselig sidder der jo 100 indere og halv-DoS'er systemerne.
Desuden behøver du ikke 'melde' dig til de fleste programmer. Du kan bare teste og indrapportere. Det er også blevet diskuteret hvorvidt det er en god idé, da folk kan teste løs, og hvis de så bliver busted, jamen så var deres hensigt 'selvfølgelig' at meddele om fejlen. Eller var den?

Hvis det er closed-source, så find en kopi af Burp og tag en enkelt funktion af siden og lav Alt det ballade der falder dig ind. Alt lige fra tokens, cookies, sessions, externe scripts, Ajax, diverse requests, upload- og download funktionalitet. Og prøv at forstå hvad siden/applikationen gør på et lidt dybdegående niveau. De største udbetalinger er oftest dem der kræver kreativitet, og somme tider flere sårbarheder der kan sammenkædes. Du ved, du finder en funktion der eksekverer lokale scripts på serveren. Efterfølgende finder du en upload-form som er sårbar, og tillader dig at uploade alle filtyper. Til sidst finder du så en directory-traversal sårbarhed, som giver dig den fulde sti til serveren, samtidig med at den giver lejlighed til at du kan gætte dig frem til stien over uploadede filer. Disse fejl er ikke specielt kritiske alene, men sammen giver de dig adgang til at køre kode på serveren.