در سال‌های اخیر با گسترده‌تر شدن نفوذ اینترنت و فناوری‌های مدرن در زندگی مردم، شغل‌ها و کسب و کارهای جدیدی به وجود آمد که اتفاقا نسبتا به عموم شغل‌های دیگر می‌توانستند درآمدزایی بالاتری داشته باشند و بسیاری از افراد و شرکت‌ها توانستند از طریق این راه‌های جدید ثروت بسیاری کسب کنند.
افرادی که در حوزه نرم‌افزار فعالیت کرده یا آگاهی دارند مفهوم باگ را کاملا می‌شناسند. باگ به ایرادات نرم‌افزاری گفته می‌شود که در عملکرد یک نرم‌افزار اثر منفی گذاشته یا باعث ایجاد خطا می‌شود. در حوزه اینترنت، باگ، می‌تواند حفره‌های یک وبسایت یا اپلیکیشن و برنامه تحت وب باشد که باعث نفوذپذیری سیستم می‌شود. هکرها از این باگ‌ها بهره می‌برند تا با ایجاد اختلال در نرم‌افزار یا وبسایت‌های اینترنتی، منافع خود را تامین کنند. آنها ممکن است با ایجاد بدافزاها و سوءاستفاده از باگ‌ها در یک نرم‌افزار، از سازنده نرم‌افزار باج‌خواهی کنند و یا اینکه با نفوذ به سایت‌ها از اطلاعات حساس سوءاستفاده کرده و یا دست به کلاهبرداری‌های مالی بزنند.
در مقابل این هکرهای بد، هکرهای خوب (یا اخلاقی) هم داریم که با اصطلاح کلاه سفید White Hat شناخته می‌شوند. این هکرها به جای سوءاستفاده از باگ‌ها و حفره‌ها و فروش غیرقانونی اطلاعات، این باگ‌ها را به سازندگان نرم‌افزار یا صاحبان وبسایت اطلاع می‌دهند و در مقابل، آن کسب و کارهایی که از آسیب‌پذیری سیستم خود مطلع شده‌اند پاداشی به آنها می‌دهند.
همین موضوع موجب به وجود آمدن یک شغل جدید برای هکرها شده که به آن باگ بانتی Bug Bounty گفته می‌شود. با ما همراه باشید تا پس از آشنایی با باگ بانتی یا باگ هانتینگ Bug Hunting، روش‌های کسب درآمد از این تخصص را در داخل کشور بشناسیم.
تاریخچه ابداع باگ و باگ بانتی
برای اولین بار خانم گری موریس هاپر که به عنوان اولین برنامه‌نویس زن شناخته می‌شود از اصطلاح باگ برای اشاره به خطا و اشکال در نرم‌افزار استفاده کرد. زیرا زمانی که هوپر به همراه تعدادی از متخصصین در حال بررسی کامپیوتر Mark II بودند، متوجه شدند که اختلال در عملکرد این کامپیوتر به دلیل وجود یک حشره در آن ایجاد شده‌است؛ بنابراین در آنجا از اصطلاح Bug (حشره) به معنای نقص نرم‌افزاری استفاده کردند.
اما باگ بانتی اولین بار در کجا اتفاق افتاد؟ اولین بار در سال ۱۸۵۱ در ازای باز کردن یک قفل فیزیکی این عبارت مطرح شد که شرکت تولیدکننده قفل، ارزش معادل ۲۰۰ شمش طلا پرداخت کرد.
اما اولین بار باگ بانتی در دنیای دیجیتال را سال ۱۹۸۳ شرکت هانتر اند ردی (Hunter and Ready) برای یک سیستم عامل اجرا کردند و هرکس باگ‌ها را پیدا می‌کرد یک فولکس واگن می‌گرفت. پس از آن شرکت‌های زیادی آن را اجرا کردند، اغلب علاقه‌مندان به آن مهندسین نرم‌افزار بودند.
گام اصلی در زمینه باگ بانتی را شرکت ریدلینگ هافر (Ridlinghafer) برای کمپانی نت‌اسپیس با ایده‌ای که داد، برداشت؛ که باعث راه اندازی اولین باگ بانتی به طور رسمی از سال ۱۹۹۵ شد که آن را Bugs Bounty نام گذاری کردند و این نام تا اکنون بر این نوع تست نفوذ ماندگار شد.
یکی دیگر از رویداد‌های مهم در این زمینه مربوط به فیس‌بوک است؛ زمانی که یک دانشجوی علوم کامپیوتر ایرادی در اکانت‌های فیس‌بوک را کشف و آن را گزارش کرد که در ابتدا توسط مسئولان نرم‌افزار فیس‌بوک نادیده گرفته شد ولی بعد از مدتی با ارائه فیلمی از آن ایراد به مارک زاکربرگ، صاحب آن شرکت تصمیم گرفت تا در ازای یافتن باگ و رفع آن، به علاقه‌مندان این حوزه کارت اعتباری فیس‌بوک را بدهد. این برنامه باگ بانتی فیس بوک تا سال ۲۰۱۴ ادامه داشت.
باگ بانتی، تست نفوذ و هکرهای کلاه خاکستری و کلاه مشکی در برابر کلاه سفیدها
باگ بانتی نسبت به تست نفوذ مزایای زیادی دارد، مهم‌ترین آنها تبدیل هکرهای کلاه خاکستری و حتی کلاه مشکی به هکرهای مثبت کلاه سفید است؛ اما در تست‌های نفوذ، متخصص امنیت در مقابل هکرهای کلاه مشکی و خاکستری قرار می‌گیرد.
- هزینه روش امنیتی جدید (باگ بانتی) بسیار به‌صرفه‌تر از روش سنتی (پنتست) است.
- به دلیل جمعیت بیشتر فعالان حوزه باگ بانتی، سرعت آن از تست‌های نفوذ سنتی بیشتر است. همچنین تعداد بیشتر فعالان این زمینه و رقابتی شدن کار، باعث افزایش کیفیت کار فعالان باگ بانتی است.
- در تست نفوذ سنتی توسعه دهنده ملزم به پرداخت هزینه پیش از یافتن باگ است و ممکن است تست موفق نباشد اما در باگ بانتی در صورتی که متخصصان باگ حیاتی پیدا کنند، پاداش دریافت می‌کنند و توسعه دهنده هزینه بیهوده متحمل نمی‌شود!
- با توجه به دامنه گسترده‌تر متقاضیان ، اشکالات بیشتری پیدا می‌شود و هر متخصص ممکن است باگی متفاوت از دیگران شکار کنند اما در پنتست تمرکز متخصصان بر یک یا دو بخش از کار شماست.
بنابراین شرکت‌ها و سازمانهای مختلف که در حوزه وب یا نرم‌افزار فعالیت می‌کنند با راه‌اندازی برنامه‌های باگ بانتی، سعی می‌کنند حفره‌های سیستم خود را شناسایی کرده و به هکرهایی که در این زمینه به آنها کمک می‌کنند (یعنی شکارچیان باگ یا باگ هانترها) پاداش یا دستمزد دهند.
علی‌رغم مزایای بسیار استفاده از برنامه باگ بانتی معایبی نیز دارد بنابراین در این حوزه باید دقیق باشید و از بهترین و امن‌ترین برنامه‌ها استفاده کنید. به عنوان مثال مهندس‌هایی که از لحاظ اخلاقی مشکل دارند ممکن است اطلاعات باگ‌ها را به منابع دیگر و دشمنانتان بفروشند. همچنین با داشتن برنامه بانتی، تلاش به نفوذ به سرویس شما بیشتر می شود و ممکن است برنامه باگ بانتی به حملات سایبری خطرساز تبدیل شوند.
باگ بانتی اینترنتی
باگ بانتی اینترنت (Internet bug bounty) به افرادی که آسیب پذیری‌های امنیتی را در نرمافزارهای توسعه هسته که از اینترنت پشتیبانی می‌کند پیدا می‌کنند، پاداش و اعتبار می‌دهد. این برنامه شامل زبان‌های برنامه نویسی مختلف و نرم افزارهای سمت سرور مانند پایتون می‌شود. این برنامه‌ها توسط گروه هکر وان (HackerOne) ارزیابی می‌شود که شرکت‌هایی مانند فیس بوک، گیت‌هاب و مایکروسافت آن را پشتیبانی می‌کنند.
کمپانی‌های معروف دیگری نیز چون توییتر و بسیاری دیگر از کسب و کار‌ها از هکرهای کلاه سفید استقبال زیادی می‌کنند؛ پس باگ بانتی راه کسب درآمد خوبی است.
مهارت‌هایی که برای شروع باگ بانتی نیاز دارید!
قبل از فعالیت در این حوزه باید بدانید باگ بانتی آنقدر که به نظر می‌رسد ساده نیست! فعالیت در این حوزه نیاز به مهارت‌هایی دارد. مهارتی چون هک لازمه باگ بانتی است همچنین باید در حوزه نرم‌افزار یا وبسایت اطلاعات داشته باشید و در آن تجربه کسب کرده باشید تا بتوانید در حوزه باگ بانتی درآمد دلاری خوب کسب کنید. همچنین ابتدا باید بدانید در کدام حوزه از باگ بانتی قصد فعالیت دارید؛ به عنوان مثال برای فعالیت در شکار باگ وب‌سایت‌ها باید در برنامه نویسی تحت وب مهارت داشته باشید. برای فعالیت در این حوزه تنها مهارت در شکار باگ کافی نیست باید در اکسپلویت هم حرفی برای گفتن داشته باشید.
مهارت کار با شبکه
باید با شبکه و زیر ساخت‌ها آشنا باشید تا بتوانید در زمینه باگ بانتی فعالیت کنید. مهارت در این زمینه به بهبود فعالیت شما و در نتیجه شهرت بیشتر و درآمد بهتر شما در حوزه باگ بانتی کمک می‌کند.
مهارت کار با لینوکس
برای فعالیت در هر زمینه از باگ بانتی باید مهارت کار با لینوکس را داشته باشد به این خاطر که اکثر ابزارهای قدرتمند برای این سیستم عامل نوشته شده‌اند و حتما باید توانایی کار کردن با این سیستم عامل مهم را داشته باشید تا در حوزه باگ بانتی موفق‌تر عمل کنید.
یافتن پلتفرم مناسب!
علاوه بر مهارت نیاز به پلتفرمی دارید که از طریق آن سفارش از کسب و کارهای اینترنتی بگیرید.
یکی از معروف‌ترین پلتفرم‌های باگ بانتی «هکر وان» است که در سال ۲۰۱۲ افتتاح شد که زمینه همکاری بین شرکت‌ها و هکرها را در ازای رفع باگ برای شرکت و دریافت پاداش برای متخصص، فراهم می‌کند. خوشبختانه سایت هکر وان پرداخت از طریق بیت‌کوین را به پلتفرم خود افزوده که برای کشور‌های دچار تحریم مفید است. پرداخت بیت کوین این پلتفرم بسیار سودآور است.
نکات کلیدی و قوانین بانتی هانتینگ
برای موفقیت بیشتر در این زمینه نکاتی وجود دارد که با استفاده از آنها می‌توانید به درآمد بیشتری برسید نکاتی چون:
- دقت به قوانین و محدودیت‌های کمپانی توسعه دهنده و پلتفرم باگ بانتی
- از انجام هک‌های اجتماعی، فیشینگ و حملاتی از این قبیل که جز برنامه باگ بانتی نیست خودداری کنید.
- هر درخواست باگ بانتی و پاسخ را در زمان اسکن به دقت بررسی و حالت های مختلف تست کنید.
- در کارتان خلاق باشید!
- اطلاعات استخراج شده از سایت یا سرویس کارفرما باید در کمترین میزان ممکن باشد، به عنوان مثال هنگام تزریق دیتابیس ردیف های محدودی را دریافت کنید.
- از انتشار گزارش باگ خارج از پلفرم معین خودداری کنید و برای انتشار در یوتیوب و… از توسعه دهنده اجازه بگیرید.
- در صورت کشف باگ، سریعا آن را برای بررسی ارسال کنید و از استخراج اطلاعات اضافه بپرهیزید زیرا جایزه به اولین نفر یابنده تعلق می‌گیرد.
- توجه داشته باشید که برخی از باگ‌ها پذیرفته نمی‌شوند!
بهترین پلتفرم‌های باگ بانتی داخلی
پلتفرم‌های باگ بانتی در واقع از یک سو بستری برای کسب درآمد شکارچیان باگ فراهم کرده و از سوی دیگر به شرکت‌های دیگر در زمینه تامین امنیت پلتفرم‌ها و سیستم‌های‌شان یاری می‌رسانند. یعنی باگ‌هانترها از طریق این پلتفرم‌ها می‌توانند وجود باگ‌ها و حفره‌های امنیتی در سرویس‌های مربوط به شرکت‌ها را گزارش کنند و به ازای گزارشات درست و مهم پاداش دریافت کنند. شرکت‌ها هم به ازای گزارشاتی که درباره آسیب‌های سیستم‌های‌شان دریافت می‌کنند مبلغی پرداخت خواهند کرد.
برنامه باگ بانتی اسنپ
در داخل ایران پلتفرم‌های زیادی برای این منظور وجود ندارد. اگر بخواهید به عنوان باگ هانتر در داخل ایران فعالیت کنید انتخاب‌های زیادی ندارید. اما می‌توانید به سراغ برنامه‌های باگ بانتی شرکت‌های بزرگ ایرانی بروید و در آن شرکت کنید. مثلا اسنپ یک برنامه باگ بانتی دارد که به شکارچیان باگ که گزارشات باگ سیستم‌ها و پلتفرم‌های مختلف اسنپ را به انها ارایه کنند پاداش خوبی می‌دهد. برای اطلاعات بیشتر می‌توانید به این صفحه مراجعه کنید.
پلتفرم باگ بانتی راورو
«راورو» یک واژه‌ی کردی و به معنای شکارچی حرفه‌ای است. پلی بین متخصصین امنیت و کسبوکارها. یکی از معدود انتخاب‌های شما برای درآمدزایی از باگ بانتی، پلتفرم ایرانی راورو است. با توجه به اینکه شرکت‌های معتبری در راورو فعال هستند می‌تواند یک انتخاب خوب برای هکرهای کلاه سفید ایرانی جهت کسب درآمد باشد. آنها درباره خود می‌گویند:
ما در راورو تلاش می‌کنیم پاسخی برای دغدغه‌های امنیتی کسبوکارها باشیم. تلاش می‌کنیم با ایجاد پلی میان تخصص متخصصین امنیت و کسبوکارها، شرایطی را فراهم آوریم که کسبوکارها بتوانند با خیالی آسوده، ارتقای امنیت کسب‌وکار خود را به ما بسپارند و خود بر روی حل سایر چالش‌های موجود در مسیر رشد کسب‌وکارشان تمرکز کنند.
سایت راورو دارای دو نسخه فارسی و انگلیسی است.
پلتفرم باگ بانتی باگدشت
باگدشت پلتفرم باگ بانتی ایرانی است که هدف آن افزایش میزان همکاری در ایمن سازی سریع سامانه های فناوری اطلاعات و ارتباطات می باشد. زمان ورود به پلتفرم‌ها می‌تونید از صفحه اصلی تاپ هانترهای ایرانی رو ببینید.
هکرهای کلاه سفید ایرانی در قبال کشف آسیب پذیری و گزارش در پلتفرم‌های باگ بانتی ایرانی، پاداشی رو دریافت می‌کنند که با توجه به نوع و سطح آسیب پذیری این هزینه‌ها متفاوته. اما به سراغ آخرین پلتفرم باگ بانتی ایرانی بریم.
پلتفرم‌های خارجی باگ بانتی
کار کردن با پلتفرم‌های خارجی دردسرهای خاص خودش را دارد. بخصوص وقتی داخل ایران هستید. مهم‌ترین مشکل هم نحوه دریافت پول و درآمدتان در ایران است. آیا می‌توان به پلتفرم‌هایی مثل دلاری‌شو جهت دریافت درآمد دلاری‌تان از پلتفرم‌های خارجی اطمینان کنید. سعی می‌کنید در مطلب دیگری به ارزیابی این سرویس هم بپردازیم.
در هر صورت برای کار در پلتفرم‌های خارجی باید تمام جوانب را در نظر بگیرید. در فرصت دیگری به این موارد خواهیم پرداخت اما فعلا تنها به معرفی این پلتفرم‌های خارجی اکتفا می‌کنیم.
لیستی از پلتفرم‌ها وجود دارد که می‌توانید از آنها استفاده کنید:
- OpenBugBounty
- Cobalt Bug Bounty
- Synack
- Bugcrowd
- Hackerone
- Intigriti
- YesWeHack
- yogosha
- immunefi
- hackenproof
از میان این لیست برخی را معرفی می‌کنیم:
Hackerone
در سال ۲۰۱۲، هکرها و رهبران امنیتی HackerOne را به دلیل اشتیاقشان برای ایمن‌تر کردن اینترنت تشکیل دادند. امروزه، HackerOne به عنوان رهبر در مدیریت مقاومت در برابر حمله (ARM)، شکاف امنیتی بین آنچه سازمان‌ها در اختیار دارند و آنچه می‌توانند محافظت کنند، می‌بندد. ARM تخصص امنیتی هکرهای اخلاقی را با کشف دارایی، ارزیابی مستمر و بهبود فرآیند ترکیب می‌کند تا شکاف‌ها را در سطح حمله دیجیتالی در حال تکامل پیدا کند و ببندد. این رویکرد سازمان ها را قادر می سازد تا کسب و کار خود را تغییر دهند و در عین حال جلوتر از تهدیدات بمانند.
intigriti
Intigriti یک شرکت امنیت سایبری است که به سرعت در حال رشد است و در خدمات امنیتی جمع‌سپاری تخصص دارد تا به سازمان‌ها کمک کند از خود در برابر جرائم سایبری محافظت کنند. پلتفرم پیشرو در صنعت باگ بوونتی ما شرکت ها را قادر می سازد تا از جامعه جهانی هکرهای اخلاقی ما استفاده کنند که از تخصص خود برای یافتن و گزارش آسیب پذیری ها برای محافظت از مشاغل استفاده می کنند.
چکیده آنچه باید در مورد باگ بانتی بدانید
باگ بانتی چیست؟ ( Bug Bounty )
باگ بانتی ( Bug Bounty ) یا مسابقات کشف باگ و آسیب‌پذیری، برنامه‌هایی هستند که طی آنها وبسایت یا اپلیکیشن، سازمان یا توسعه‌دهنده‌ای بررسی می‌شود و با پیدا شدن باگ‌های امنیتی پاداشی به نفوذگر پرداخت می‌شود.
هدف از این برنامه، کشف آسیبپذیریهای امنیتی قبل از انتشار عمومی آنها است.
پاداش این مسابقات می‌تواند به صورت نقدی، دریافت مدرک و یا هدیه غیر نقدی باشد.
باگ هانتینگ چیست ؟ ( Bug Bounty Hunting )
باگ هانتینگ به آن معنی است که درخواست ایجاد بانتی از سوی سازمان ارائه نشده است و باگ هانتر ( شکارچی باگ ) با پیدا کردن یک باگ امنیتی در سامانه‌های تحت وب و موبایل سازمانهای خصوصی و استارتاپ‌های فعال، می تواند از طریق پنل مخصوص پلتفرم قابل اطمینان خودش ،شواهد(POC) باگ را ثبت نماید.
پلتفرم و مجموعه متخصصین قابل اعتماد هکر شواهد تایید شده را به سازمان مورد نظر ارایه می‌نماید.
در صورت موافقت سازمان، باگ ارزش‌گذاری می‌شود و پرداخت صورت می‌گیرد و معمولا مجموعه‌ای که هکر به آنها اعتماد کرده(پلتفرم باگ هانتینگ) کارمزدی را بابت برقراری ارتباط و مذاکره با سازمان از مبلغ جایزه نهایی کم می‌کند .
نکات مهم در باگ بانتی:
- ابتدا به دقت بخش قوانین و سیاست‌ها ( policy ) و محدوده‌ها ( Scope ) را مطالعه کنید.
- روش‌های مهندسی اجتماعی، فیشینگ، DDoS و حملاتی از این قبیل جزء برنامه باگ بانتی نیستند.
- به لیست و پاداش‌های در نظر گرفته برای آسیب‌پذیری‌ها توجه ویژه داشته باشید.
- همیشه تست را از Subdomains ها شروع کنید.چون معمولا این بخش‌ها مشکلات بیشتری دارند.
- CMS و زبان برنامه‌نویسی Back-end را با ابزارهایی مثل Builtwith ، Wappalyzer شناسایی کنید.
- از گوگل دورک (Google Dorks) برای پیدا کردن بخش‌های مختلف سایت استفاده کنید.
- هر درخواست ( request ) و پاسخ ( response ) را با ابزار burp suite به دقت بررسی کنید.
- خلاق باشید و خارج از چارچوب فکر کنید.
قوانین عمومی که در اکثر مسابقات باگ بانتی وجود دارد :
- تست نفوذ مهندسی اجتماعی، فیشینگ، DDoS و حملاتی از این قبیل در باگ بانتی مورد قبول نیست.
- در صورتی که فعالیت شما باعث اخلال در خدمات کارفرما شود، فعالیت خود را متوقف کرده و کارفرما را در جریان قرار دهید.
- در صورت کشف باگ، سریعا آن را برای بررسی ارسال کنید و از استخراج اطلاعات اضافه پرهیز کنید.
- گزارش باگ باید شامل مراحل بازتولید باگ به صورت کاملا شفاف باشد.
- تمام گزارش‌ها و اطلاعات مربوط به باگ‌های کشف شده باید از طریق پلتفرم باگ‌بانتی آپلود شود.
- انتشار اطلاعات به دست آمده در خارج از پلتفرم باگ‌بانتی ممنوع است.
- پاداش به اولین نفری که آسیب‌پذیری را گزارش کند تعلق می‌گیرد.
- برای انتشار آسیب‌پذیری سازمان و مجموعه‌ها حتما از آنها اجازه‌نامه دریافت کنید.
- زمان مناسب برای انتشار معمولا ۳۰ روز پس از تایید آسیب‌پذیری است.
آسیبپذیریهای غیر قابل قبول:
در اکثر برنامه‌های باگ‌بانتی آسیبپذیریهای زیر غیرقابل قبول هستند:
- حملات از کاراندازی سرویس (DoS)
- حملات مهندسی اجتماعی و Phishing
- آسیب‌پذیری در دامنه‌ها و آدرس‌های IP غیر از آدرس هدف
- Best Practice ها، شامل حداقل طول کلمات عبور و نظایر آن
- آسیب‌پذیری‌ها و Best Practiceهای مربوط به SSL
- حمله Brute Force
- آسیب‌پذیری‌هایی که به تعامل با کاربر نیاز است.
- آسیبپذیریهای مربوط به مرورگرهای قدیمی
- نامه‌نگاری الکترونیکی جعلی (E-mail spoofing)
- حمله Self XSS
- هر موردی که مربوط به بدست آوردن نام‌های کاربری (Account/e-mail enumeration) باشد.
- آسیب‌پذیری‌هایی که قبلاً توسط سایر متخصصین گزارش شده است.
- آسیبپذیریهای گزارش‌شده توسط اسکنرها و سایر ابزارهای اتوماتیک
- گزارش پایین‌بودن ورژن کتابخانه‌ها و نرمافزارهای به کار رفته در صورت عدم بهره‌برداری
- آسیبپذیریهای مربوط به نشت اطلاعات سرور و پیکربندی نادرست آن مثل نسخه و نوع وب سرور
برخی از منابع:
ویکیپدیا
