このリポジトリへの貢献をためらわないでください！

バグバウンティ初心者向けロードマップ

こんにちは！Ansh Bhawnaniです。現在、セキュリティエンジニアとして働きながら、パートタイムでコンテンツクリエイターとしても活動しています。このリポジトリは、バグバウンティでのキャリアを始めようとする若く情熱的な人々を導くために、誰もが貢献できる場として作成しました。今後も定期的にコンテンツを追加していきます。ぜひフォローし続けてください。それでは始めましょう！

注記: バグバウンティの状況はここ数年で変化しています。1年前には簡単に見つけられた問題も、今では簡単ではありません。自動化が徹底的に使用されており、運が悪ければ「low hanging fruits（簡単に取れる脆弱性）」のほとんどは重複報告になります。競争が非常に激しいため、バグバウンティを始めるには、一貫性を保ち集中し続けるという強い決意が必要です。

はじめに

バグとは何か？
- セキュリティバグまたは脆弱性とは、「ソフトウェアおよびハードウェアコンポーネントに含まれる計算ロジック（例：コード）の弱点であり、悪用されると機密性、完全性、または可用性に悪影響を及ぼすもの」を指します。
バグバウンティとは何か？
- バグバウンティまたはバグバウンティプログラムとは、特定のソフトウェア製品のバグを発見・報告したことに対して報酬や賞金が与えられるプログラムを指すIT用語です。多くのIT企業は、製品改善を促進し、エンドユーザーやクライアントからのより多くの関与を得るためにバグバウンティを提供しています。バグバウンティプログラムを運営する企業は、セキュリティバグやセキュリティ脆弱性を含む何百ものバグ報告を受け取ることがあり、それらのバグを報告した多くの人が報酬を受け取ることができます。
報酬とは何か？
- 問題の深刻度と修正にかかるコストに応じて、あらゆる種類の報酬があります。現金（最も一般的）から、プレミアムサブスクリプション（Prime/Netflix）、割引クーポン（ショッピングサイトの電子商取引用）、ギフト券、スワッグ（衣類、バッジ、カスタマイズされた文房具など）まで多岐にわたります。金額は50ドルから50,000ドル、あるいはそれ以上になる場合もあります。

何を学ぶべきか？

技術

どこで学ぶべきか？

書籍
- Web Application Hacker's Handbook: https://www.amazon.com/Web-Application-Hackers-Handbook-Exploiting/dp/1118026470
- Real World Bug Hunting: https://www.amazon.in/Real-World-Bug-Hunting-Field-Hacking-ebook/dp/B072SQZ2LG
- Bug Bounty Hunting Essentials: https://www.amazon.in/Bug-Bounty-Hunting-Essentials-Quick-paced-ebook/dp/B079RM344H
- Bug Bounty Bootcamp: https://www.amazon.in/Bug-Bounty-Bootcamp-Reporting-Vulnerabilities-ebook/dp/B08YK368Y3
- Hands on Bug Hunting: https://www.amazon.in/Hands-Bug-Hunting-Penetration-Testers-ebook/dp/B07DTF2VL6
- Hacker's Playbook 3: https://www.amazon.in/Hacker-Playbook-Practical-Penetration-Testing/dp/1980901759
- OWASP Testing Guide: https://www.owasp.org/index.php/OWASP_Testing_Project
- Web Hacking 101: https://www.pdfdrive.com/web-hacking-101-e26570613.html
- OWASP Mobile Testing Guide :https://www.owasp.org/index.php/OWASP_Mobile_Security_Testing_Guide
Writeups（解析記事）
- Medium: https://medium.com/analytics-vidhya/a-beginners-guide-to-cyber-security-3d0f7891c93a
- Infosec Writeups: https://infosecwriteups.com/?gi=3149891cc73d
- Hackerone Hacktivity: https://hackerone.com/hacktivity
- Google VRP Writeups: https://github.com/xdavidhu/awesome-google-vrp-writeups
ブログと記事
- Hacking Articles: https://www.hackingarticles.in/
- Vickie Li Blogs: https://vickieli.dev/
- Bugcrowd Blogs: https://www.bugcrowd.com/blog/
- Intigriti Blogs: https://blog.intigriti.com/
- Portswigger Blogs: https://portswigger.net/blog
フォーラム
- Reddit: https://www.reddit.com/r/websecurity/
- Reddit: https://www.reddit.com/r/netsec/
- Bugcrowd Discord: https://discord.com/invite/TWr3Brs
公式サイト
- OWASP: https://owasp.org/
- PortSwigger: https://portswigger.net/
- Cloudflare: https://www.cloudflare.com/
YouTubeチャンネル
- 英語
  - Insider PHD: https://www.youtube.com/c/InsiderPhD
  - Stok: https://www.youtube.com/c/STOKfredrik
  - Bug Bounty Reports Explained: https://www.youtube.com/c/BugBountyReportsExplained
  - Vickie Li: https://www.youtube.com/c/VickieLiDev
  - Hacking Simplified: https://www.youtube.com/c/HackingSimplifiedAS
  - Pwn function :https://www.youtube.com/c/PwnFunction
  - Farah Hawa: https://www.youtube.com/c/FarahHawa
  - XSSRat: https://www.youtube.com/c/TheXSSrat
  - Zwink: https://www.youtube.com/channel/UCDl4jpAVAezUdzsDBDDTGsQ
  - Live Overflow :https://www.youtube.com/c/LiveOverflow
- ヒンディー語
  - Spin The Hack: https://www.youtube.com/c/SpinTheHack
  - Pratik Dabhi: https://www.youtube.com/c/impratikdabhi

今すぐTwitterに参加しよう！

世界クラスのセキュリティ研究者やバグバウンティハンターはTwitterにいます。あなたはどこにいますか？今すぐTwitterに参加して、新しい問題、脆弱性、ゼロデイ、エクスプロイトに関する毎日の最新情報を入手し、サイバーセキュリティの世界で方法論、リソース、メモ、経験を共有している人々に加わりましょう！

実践！実践！そして実践！

CTF
- Hacker 101: https://www.hackerone.com/hackers/hacker101
- PicoCTF: https://picoctf.org/
- TryHackMe: https://tryhackme.com/ (プレミアム/無料)
- HackTheBox: https://www.hackthebox.com/ (プレミアム)
- VulnHub: https://www.vulnhub.com/
- HackThisSite: https://hackthissite.org/
- CTFChallenge: https://ctfchallenge.co.uk/
- PentesterLab: https://pentesterlab.com/referral/olaL4k8btE8wqA (プレミアム)
オンラインラボ
- PortSwigger Web Security Academy: https://portswigger.net/web-security
- OWASP Juice Shop: https://owasp.org/www-project-juice-shop/
- XSSGame: https://xss-game.appspot.com/
- BugBountyHunter: https://www.bugbountyhunter.com/ (プレミアム)
- W3Challs : https://w3challs.com/
オフラインラボ
- DVWA: https://dvwa.co.uk/
- bWAPP: http://www.itsecgames.com/
- Metasploitable2: https://sourceforge.net/projects/metasploitable/files/Metasploitable2/
- BugBountyHunter: https://www.bugbountyhunter.com/ (プレミアム)
- W3Challs : https://w3challs.com/

その他のツールとサービス

サーバー

Bug-Bounty-Beginner-Roadmap

人気