bbscope.com

Web-Oberfläche und API zum Aggregieren von Bug-Bounty-Programm-Scopes von HackerOne, Bugcrowd, Intigriti und YesWeHack.

Schnellstart (Docker)

cd website
cp .env.example .env
# Bearbeite .env — setze mindestens POSTGRES_PASSWORD und deine Plattform-Anmeldedaten
docker compose up -d --build

Die Seite wird unter https://yourdomain.com verfügbar sein (Caddy kümmert sich automatisch um HTTPS via Let's Encrypt).

Cloudflare DNS-Challenge

Wenn Ihr Server hinter Cloudflare (proxied DNS) liegt, funktioniert die standardmäßige HTTP-ACME-Challenge nicht. Verwenden Sie stattdessen die Cloudflare-Compose-Datei, die einen benutzerdefinierten Caddy mit dem Cloudflare-DNS-Plugin erstellt:

docker compose -f docker-compose.cloudflare.yml up -d --build

Setze CF_API_TOKEN in deiner .env. Erstelle den Token unter https://dash.cloudflare.com/profile/api-tokens mit der Berechtigung Zone:DNS:Edit für deine Domain.

Lokale Entwicklung

Voraussetzungen: Go 1.24+, eine laufende PostgreSQL-Instanz.

DB_URL="postgres://postgres:yourpassword@localhost:5432/bbscope?sslmode=disable" \
  go run *.go serve --dev --poll-interval 0 --listen localhost:7001

Das Flag --dev aktiviert den HTTP-Only-Modus (kein TLS). --poll-interval 0 deaktiviert das Hintergrund-Polling, sodass Sie keine Plattform-Anmeldedaten benötigen.

Flags des Serve-Befehls

Die Datenbankverbindung wird aus der Umgebungsvariable DB_URL oder db_url in ~/.bbscope.yaml gelesen.

Konfiguration

Plattform-Anmeldedaten

Alle Plattform-Anmeldedaten sind optional. Nicht konfigurierte Plattformen werden während des Pollings einfach übersprungen.

AI-Normalisierung (optional)

Setze OPENAI_API_KEY und optional OPENAI_MODEL (standardmäßig gpt-4.1-mini), um die KI-basierte Normalisierung von Scope-Zielen zu aktivieren. Wird pro Ziel zwischengespeichert, um API-Aufrufe zu minimieren.

Basic-Authentifizierung (optional)

Um die Seite mit HTTP-Basic-Auth zu schützen:

1. Erzeuge einen Passwort-Hash:

   root@kitploit:~

   docker run --rm caddy:2-alpine caddy hash-password --plaintext 'yourpassword'
   

2. Kopiere die Beispielkonfiguration in conf.d/:

   root@kitploit:~

   cp basicauth.caddy.example conf.d/basicauth.caddy
   

3. Bearbeite conf.d/basicauth.caddy und füge deinen Benutzernamen und Hash hinzu:

   root@kitploit:~

   basic_auth {
       myuser $2a$14$hashgoeshere...
   }
   

4. Starte Caddy neu: docker compose restart caddy

Zum Deaktivieren entferne conf.d/basicauth.caddy und starte neu.

Architektur

caddy (ports 80/443) → bbscope-web (:8080) → postgres

• Caddy übernimmt TLS-Terminierung und Reverse-Proxy. Zusätzliche Konfigurationsfragmente in conf.d/*.caddy werden automatisch importiert.
• bbscope-web hostet die Seite und führt Hintergrund-Poller aus.
• PostgreSQL speichert Programme, Ziele und Scope-Änderungshistorie. Das Schema wird beim Start automatisch migriert.

API

Die Seite stellt eine öffentliche API bereit:

Abfrageparameter: scope (in/out/both), platform, type, raw (KI überspringen), format (json/text).

Die Standardausgabe ist zeilenumbruchgetrennter Text; füge format=json für JSON hinzu. Antworten werden 5 Minuten zwischengespeichert.