Веб-версияОткрыть в Telegram
ДДругая сторона багбаунти

Другая сторона багбаунти

@another_side_bb · канал · Технологии · в индексе с 2026-04-18
477подписчиков+4 за неделю
376средний охват поста
2постов за 30 дней
14постов в индексе
Д
Другая сторона багбаунти
Фотография
нажмите — покажем
Здрасьте. Я периодически шучу, что моим тотемным зверем является один розовый покемон, но в рамках создания профильных каналов - это уже не шутка. Куда не посмотри, у каждого есть свой канал, а я что хуже что ле. "Опять канал проибе это ваше" подумал кто-то и подумал верно, но ибешечка будет специфичная, с различным душком, так сказать. И имя ей bug bounty(или багбаунти, кому как удобно). Про багбаунти сказано многое, у багхантеров есть свои каналы, которые я с удовольствием читаю, но каналов про багбаунти со стороны вендора я не встречал(хотя иногда хочется почитать). Может плохо искал, кто знает. О чем тут будет посты? В основном, личные заметки, решения различных ситуаций, интересные кейсы,(обезличенные естественно), GORENIE, саморефлексия(на этом слове отписались мои единственные 1.5 подписчика) и все другое из жизни вендора бб. Кидать мемы, думать о жизни, делать репостики и всякое другое, чем занимаются другие каналы, я, конечно же, буду. А могу ли я рассуждать о таком? Надеюсь, что опыт ~3 лет развитию багбаунти программы в крупном бигтехе может в этом помочь 👀 Помимо этого, я еще и багханчу во всяких разных местах, поэтому, надеюсь, смогу посмотреть на ситуацию с развитием бб в Росии(и не только) с различных точек зрения. Слог специфичный, авторский, с нерегулярной активностью, но с регулярным "блин, чтобы написать любимым подписчикам". Добро пожаловать, в общем.
6 · 1.5K ·
Другая сторона багбаунти
Фотография
нажмите — покажем
ИИшечка прочно вошла и не выходит из наших жизней. Багбаунти это тоже не обделило и есть как хорошие последствие этой иинтеграции, так и не очень. Собственна, вот есть условный Вася(имя вымышленное все совпадения с реально существующими Василиями случайны). Василий узнает из каких-то источников, что есть какая-то биг баунти и платят там биг деньги. Наш персонаж регистрируется на платформе бб, берет себе никнейм vasyan1337(все совпадения случайны, а никнейм вымышлен) и идет смотреть программы. Понимает, что это золотая жила, вон какие суммы платят. Денег хочется, а погружаться в то, как их получить - нет. И тут, у нашего новоиспеченного хакера возникает идея. "Чатжпт найди мне уязвимость здесь" и LLM, не будь дураком, находит. От осознания того, НАСКОЛЬКО просто она была найдена, Василий преисполняется и присылает еще больше уязвимостей. А потом еще и еще... Триажеры на утро, за кофе, разбирая ночные баги видят over9000 отчетов от vasyan1337 и все закрывают как N/A, NMI, просят показать импакт и тд. Василий не понимает, что происходит, засылает ответы в жпт, который отвечает триажерам, которые отвечают ему и так далее. Штош, добро пожаловать в вайбхантинг - новую проблему, с которой уже столкнулись некоторые вендора, а кто-то для себя ее еще откроет. Последствия у этого не самые радостные и страдают не только вендоры, но и багхантеры. А что конкретно может всех ждать - расскажу позже 😎
114 · 9.9K ·
Д
Фотография
нажмите — покажем
Итак, последствия. Штош, представим, что наш гипотетический vasyan1337 не один. И то количество отчетов, которое может генерировать небольшая армия Василиев, может значительно превышать пропускную способность триажеров. Что из этого следует? Правильно, замедление времени разбора отчетов. Ситуация №2 - багхантер присылает валидный отчет, но триажер из-за того, что его достала армия подражателей vasyan1337, может отнестись к отчету скептически и не принять его. Дальше могут быть споры в комментариях к отчету, призыв платформы(внутреннее обсуждение внутри команды), но факт остается фактом: качество валидации уязвимости снизилось. Здесь как в анекдоте - у багхантера остается "осадочек", который может копиться и докопится до того, что он уйдет хантить в другие места. Идем дальше - Устав от зерг-раша Василиев, компания приходит к платформе с вполне валидный требованием: сделайте что-то, чтобы такого не было! Вопрос к подписчикам - какие решения вы видите? Я не знаю, где вы будете отвечать, потому что комментарии закрыты Компания делает что-то, и это что-то может усложнить жизнь новым багхантерам(или даже всем) на платформе. Но у нас же не все новые хакеры - это аналоги vasyan1337, не так ли? Т.е. логичное следствие всего этого - усложнение жизни реальным багхантерам. 4я ситуация - Функционал на платформе запланирован, но до его релиза еще несколько месяцев. Василии радуют отчетами, хантеры негодуют из-за увеличения времени выплат и ответов, триаж зашивается и думает об отпуске. И тут в какой-то момент вместо GORENIE происходит VIGORENIE. Один триажер уходит монахом в монастырь, другой едет на пару месяцев к морю и с триажом в компании становится все очень плохо. Так и запишем: VIGORENIE - это плохо, пнятненько. Ситуация №5 - Триажеры сгорели, багхантеры штурмуют бб компании, менеджер запил. Что еще может случиться? Допустим, багбаунти программа может встать на паузу или вообще прекратить свое существование. Случай с curl'ом тому пример. Все это немного грустно и навева
7 · 1.5K ·
Другая сторона багбаунти
Фотография
нажмите — покажем
Так как по жизни я неисправимый оптимист (с периодическими фаталистическими настроениями), то не могу не отметить плюсы того, насколько ИИшечка входит в нашу багбаунтевскую жизнь. Хочу подчеркнуть, что прежде всего речь идет о таком замечательном инструменте как AI-агент, а также о том, что он может дать багхантеру. Начнем с простого: 1) Рекон и все такое. Сейчас можно дать задание AI-агенту найти и проанализировать весь скоуп и он это сделает. А если не сможет с наскока, то вежливо спросит: "Товарищ кожаный мешок, мне бы тут ключи на шодан, да на вирустотал, подкинь по-братски". В некоторых случаях, даже спрашивать не будет, а сам все сделает. Таким образом, мы довольно быстро с помощью только одного инструмента существенно расширяем поверхность атаки. 2) Если вы понимаете, что не понимаете, куда дальше копать, то все найденное можно передать агенту и попросить его нагенерировать гипотез или идей для того, чтобы проверить уязвимость. Будут ли они совпадать с вашими? Скорее всего да, но эти идеи он может протестить и сразу сказать, стоит ли копать дальше или стоит посвятить вечер чему-то более полезному 3) Агент может закрыть ваши слабые стороны, поэтому, почему бы не настроить его таким образом, чтобы он занимался тем, что вам не нравится/не хочется? Уязвимости могут быть в самых разных местах и, кто знает, где он может их найти Это не все плюсы, что уж там. Как и любой инструмент, умелое обращение с ним может показать шикарные результаты - при должной настройке он пропылесосит вам все и вся (не без вашей помощи естественно), а также найдет уязвимости, на которые вы бы потратили кучу времени. Багхантеры, которые сейчас умеют применять таких агентов в поиске уязвимостей, могут получить неплохую прибавку в количестве и качестве сданных уязвимостей. Но что мы все о багхантерах, давайте поговорим и о вендорах, не зря же тут про другую сторону багбаунти рассказывается. Плюс, на мой взгляд, довольно большой и очевидный – Мы будем получать больше качественных и к
30 · 4.4K ·
Д
Другая сторона багбаунти
Фотография
нажмите — покажем
Когда я на Confab упоминал антирекорд по вайбхантингу, я вовсе не имел в виду, что его нужно побить...
27 · 1.7K ·
Д
Другая сторона багбаунти
Фотография
нажмите — покажем
Однако здравствуйте. После того, как у меня сгорела жепа нашу команду завалило «уязвимостями» от вайбхантеров, возникли объективные причины для отсеивания их отчётов и надо было что-то делать. И срочно. Список решений был более-менее понятен: 1) Выбивать клин клином радикально Тут всё просто и понятно — стоит внедрять AI для того, чтобы бороться с тем валом отчётов, который падает. AI-автотриаж, оценка валидности репортов, автоответы на невалидные репорты и так далее. Дело хорошее, но, как я люблю говорить, ЕСТЬ ОДИН (не один) НЮАНС: - Время внедрения — быстро и качественно это не внедрить. Всё равно потребуется минимум несколько недель для того, чтобы обучить и интегрировать одно или несколько решений. - Для всего этого нужны ресурсы: как людские, так и технические. И если с последним проблем может и не быть, то для сотрудников надо выделить время, чтобы это всё внедрить. А откуда ему взяться, когда поток отчётов не уменьшается, а бэклог растёт? - При неверной настройке и небезопасной интеграции можно получить отдельный класс проблем: prompt injection, утечки через контекст, небезопасную работу с внутренними данными или инструментами, к которым подключён AI и др. Никто не спорит, что это стоит делать, но главная проблема — это время. И тут можно перейти ко второму варианту. 2) Решения платформ Если почитать эти ваши интернеты, то уже есть список решений, которые внедряют платформы по всему миру. Решений много, каждая платформа старается с этим как-то бороться. Кто-то вводит плату за отправку High/Critical-отчётов: если отчёт валидный — комиссия возвращается с оплатой за уязвимость, а если нет, то уходит в фонд восстановления триажеров😎. Таким образом, деньги становятся своего рода фильтром. Другие внедряют функционал для компаний, чтобы они сами устанавливали порог рейтинга, после которого хакер может отправлять отчёты. Например, у HackerOne есть Signal Requirements, а у отдельных программ можно встретить требования по репутации для участия. Знаю, что на росс
14 · 1.1K ·
Д
Другая сторона багбаунти
Фотография
нажмите — покажем
ОТЛОЖИЛ Я НЫНЧЕ ВСЕ ОТЧЁТЫ, НАЛИЛ СЕБЕ ЧАЮ ПОКРЕПЧЕ И СМОТРЮ В ОКНО — ДУМАЮ ОБ ОДНОЙ ШТУКЕ, ЧТО ДАВНО У МЕНЯ В ГОЛОВЕ ВОРОЧАЕТСЯ И НИКАК НЕ УЛЯЖЕТСЯ. ВЕДЬ ЧТО ВЫШЛО, ДРУГ СЕРДЕЧНЫЙ. ПРЕЖДЕ БАГХАНТЕР УЯЗВИМОСТЬ РУКАМИ ЩУПАЛ — ВОТ ЗАПРОС, ВОТ ОТВЕТ, ВОТ ЧУЖИЕ ДАННЫЕ ВЫГЛЯНУЛИ, ТУТ ЕХИДНАЯ XSS АЛЕРТИТ, А ВОТ ТЕБЕ СЕРВЕР УСЛУЖЛИВО ПОКАЗЫВАЕТ /etc/passwd ИССЛЕДОВАТЕЛЬ НА ЭТО ВЕЛИЧАВО СМОТРИТ, ДОВОЛЕН РЕЗУЛЬТАТОМ, И ПОТОМ СИДИТ И БЕРЕЖНО, ПО БУКОВКЕ, ПИШЕТ ОТЧЁТ. КАЖДОЕ СЛОВО ВЫСТРАДАНО, КАЖДАЯ СТРОЧКА СВОЯ, КАЖДАЯ УЯЗВИМОСТЬ БУРПОМ ТЫКАННАЯ, ЛИЧНО ПРОВЕРЕННАЯ. А НЫНЕ ПОДОСПЕЛ ИНТЕЛЛЕКТ НЕНАТУРАЛЬНЫЙ , ЗАГОВОРИЛ ЛАСКОВЫМ ГОЛОСОМ И СТАЛ ПЛОДИТЬ КРАСИВЫЕ РОВНЫЕ ТЕКСТЫ ЦЕЛЫМИ КОРЗИНАМИ. ПРО SSRF РАСПИШЕТ ТАК СКЛАДНО, БУДТО САМ ЕГО И ВИДЕЛ, А ГДЕ ВИДЕЛ, ТАК ЭТО В ДЕВТУЛСАХ СПРАШИВАТЬ НАДО И ВОТ СИДИТ ТРИАЖЕР НАД ЭТОЙ ГОРОЙ ОТЧЕТОВ — ГЛАДКОЙ, СКЛАДНОЙ, ЛЮБО-ДОРОГО ПОСМОТРЕТЬ — А ЖИВОГО БАГА В НЕЙ ЕЩЕ ПОИЩИ. КАЖДЫЙ ОТЧЁТ ОРЁТ «КРИТИКАЛ, КРИТИКАЛ!», ОДИН ОТКРОЕШЬ — КРАСИВАЯ ГАЛЮЦИНАЦИЯ, ПРИЧЁСАННАЯ ДА НАПУДРЕННАЯ. ДРУГОЙ СМОТРИШЬ - ПОЧЕТНЫЙ ИНФОРМАТИВ, ИБО НА ПРАВИЛА КОНТЕКСТНОГО ОКНА УЖЕ НЕ ХВАТИЛО. ТРЕТИЙ СМОТРИШЬ, ЗНАКОМОГО БАГХАНТЕРА ВИДИШЬ, В БОРОДУ УЛЫБАЕШЬСЯ "ОХ ШЕЛЬМЕЦ ЧТО НАШЕЛ". НО ВСЕ МЕНЬШЕ И МЕНЬШЕ ТАКОГО ЖИВОГО ЛЮДСКОГО, А БОЛЬШЕ МУСОРА НЕЙРОННОГО А ВЕДЬ ПО ТУ СТОРОНУ СИДИТ ЖИВОЙ ЧЕЛОВЕК, ЧЕСТНЫЙ И УСТАЛЫЙ. ВЫСТРАДАЛ ОН СВОЙ НАСТОЯЩИЙ БАГ, ПРИСЛАЛ В ПРОГРАММУ — А ОН ЛЁГ В ТУ ЖЕ КУЧУ, ЧТО И ЧУЖОЙ НЕЙРОСЛОП. И ТРИАЖЕР, РАЗГРЕБАЯ ЭТУ ГОРУ РУКАМИ, ЗА КАЖДУЮ ПУСТУЮ ВЫДУМКУ ТИХО СЕРДЦЕМ ЧЕРСТВЕЕТ. И БОЮСЬ Я ПУЩЕ ОГНЯ ОДНОГО: ЧТО ОЧЕРСТВЕЮТ ТРИАЖЕРЫ ВКОНЕЦ ДА И НАЧНУТ ФУТБОЛИТЬ ВАЛИДНЫЕ ОТЧЕТЫ ВМЕСТЕ С МУСОРОМ, ОДНИМ УСТАЛЫМ ВЗМАХОМ. ОКАЗАЛОСЬ, ДУМАЮ НЕ ОДИН. ПОТОМУ И СОБРАЛСЯ НА STANDOFF TALKS, — СЯДУ ТАМ ЗА КРУГЛЫЙ СТОЛ И ПРО ЭТИ САМЫЕ НЕЙРООТЧЁТЫ ПОТОЛКУЮ С ТАКИМИ ЖЕ, КАК Я, КОМУ ОНО ПО НОЧАМ ПОКОЯ НЕ ДАЁТ. ИДУ ТУДА НЕ ЗА ТЕМ, ЧТОБ ГОВОРИТЬ КТО ВИНОВАТ И ЧТО ДЕЛАТЬ, — НЕТ У МЕНЯ ВСЕХ ОТВЕТОВ НА ЭТО В КАРМАНЕ, ЧЕГО ВРАТЬ. ИДУ ПОСЛУШАТЬ ДРУГИХ ДА ВСЛУХ ПОДУМАТЬ:
9 · 1.1K ·
Другая сторона багбаунти
Фотография
нажмите — покажем
711 ·
Однако здравствуйте. Завтра на Offzone буду рассказывать про конец багбаунти. Да, заголовок кликбейтный, но пока мы триажили/багхантили/смеялись над вайбхантерами произошла трансформация багбаунти для каждого его участника. Кто виноват Что делать, как жить, чего ждать, как могут попробовать заменить багхантеров и другие размышления – все это завтра потому что сегодня мне лень😎
3 · 743 ·
Д
Фотография
нажмите — покажем
Ну что, до OFFZONE остался всего день 👀 Самое время отметить доклад, на который стоит заглянуть: 🎮 Пётр Уваров — «GGWP, или Конец ББ» Порассуждаем о том, правда ли багбаунти движется к своему «концу», посмотрим на происходящее с разных сторон — вендора, багхантера и стороннего наблюдателя — и попробуем понять, что ждёт багбаунти дальше. 📍 20 августа · 18:00–18:30 · AppSec.Zone Отмечайте нужный слот и приходите — будем рады увидеться, пообщаться и обсудить всё после доклада👋 VK Security | Буст этому каналу! #эксперты #доклады #bugbounty
4 · 809 ·
Д
Другая сторона багбаунти
Фотография
нажмите — покажем
Хорошая история получилась
21 · 849 ·
Другая сторона багбаунти
Фотография
нажмите — покажем
Однако здрасьте. Давно чот ничего нормального не писал, но в голове крутилось что-то про базу (не ту, которая в Red Alert). Поэтому давайте поговорим про базу триажа репортов. Дальше будет духота всякое про прописные истины, которыми я обычно руководствуюсь при оценке отчётов и общении с исследователями. Если с простого, то что такое багбаунти для компании? Это один из инструментов обеспечения ИБ. Если чуть сложнее, то это поиск уязвимостей с помощью внешних исследователей. В его рамках рассматриваются проблемы безопасности, которые влияют на конфиденциальность, целостность или доступность сервисов и клиентских данных. Каждая уязвимость есть повод разобраться, что не сработало в процессах ИБ. Поэтому, если вообще по сложному, то задача багбаунти помогать улучшать процессы ИБ в компании. При этом многое тут держится на доверии между компанией и багхантерами. Чем понятнее решения по отчётам, тем меньше вопросов к триажу. Совсем без вопросов, конечно, не получится. Ниже - некоторые принципы триажа и работы с исследователями, которыми я сам пользуюсь. 1. Есть польза для ИБ - должно быть вознаграждение Отчёт подтвердил уязвимость, выявил проблему в процессах ИБ или привёл к исправлению, которое повысило безопасность? Значит, он принёс пользу, и исследователь должен получить вознаграждение. Оно может быть денежным или репутационным (но лучше денежным, конечно). Здесь речь именно о пользе для безопасности. Если после отчёта решили поправить неудобное или неожиданное поведение продукта, это само по себе ещё не означает, что нашли уязвимость. Про такие случаи - поговорим ниже 2. Все врут Исследователь может преувеличить импакт. Разработка или инфраструктура — занизить его, чтобы не брать ещё одну задачу. ИИ тоже может выдать убедительный, но неверный ответ. Ни одно утверждение не стоит принимать на веру - независимо от того, кто его озвучил. Всегда надо проверять самостоятельно и задавать вопросы. При этом неверное утверждение не обязательно означает намеренный обман: челове
3 · 359 ·

Открытая публичная лента из поискового индекса ChatCrawler — «Google по публичному Telegram»; обновляется по мере обхода площадки. Время — UTC.

Только публичный контент, официальный API Telegram. О проекте · Вопросы · Чего мы не делаем · Убрать страницу из выдачи · Каталог · Поиск · Как мы считаем