이 저장소에 기여하는 것을 망설이지 마세요!

버그 바운티 입문자 로드맵

안녕하세요! 저는 Ansh Bhawnani입니다. 현재 보안 엔지니어로 일하고 있으며, 파트타임으로 콘텐츠 크리에이터로도 활동하고 있습니다. 저는 버그 바운티 분야에서 경력을 시작하려는 젊고 열정적인 사람들을 안내하기 위해 이 저장소를 만들었으며, 누구나 기여할 수 있도록 하고 있습니다. 더 많은 콘텐츠가 정기적으로 추가될 예정이니 계속 지켜봐 주세요. 그럼 시작해 봅시다!

참고: 버그 바운티 환경은 최근 몇 년 사이 크게 변했습니다. 1년 전에는 쉽게 찾을 수 있던 이슈들이 지금은 쉽지 않습니다. 자동화가 활발히 사용되고 있으며, 운이 없다면 대부분의 "쉬운 먹잇감"은 중복으로 처리됩니다. 버그 바운티를 시작하려면 경쟁이 매우 치열하기 때문에 꾸준함과 집중력이 필요합니다.

소개

버그란 무엇인가?
- 보안 버그 또는 취약점이란 "소프트웨어 및 하드웨어 구성 요소에서 발견되는 계산 로직(예: 코드)의 약점으로, 악용될 경우 기밀성, 무결성 또는 가용성에 부정적인 영향을 미칩니다."
버그 바운티란 무엇인가?
- 버그 바운티 또는 버그 바운티 프로그램은 특정 소프트웨어 제품에서 버그를 발견하고 신고한 데 대한 보상이나 현상금 프로그램을 뜻하는 IT 용어입니다. 많은 IT 기업이 제품 개선을 유도하고 최종 사용자나 클라이언트와의 상호작용을 늘리기 위해 버그 바운티를 운영합니다. 버그 바운티 프로그램을 운영하는 기업은 보안 버그와 취약점을 포함한 수백 건의 버그 보고서를 받을 수 있으며, 이러한 버그를 신고한 많은 사람이 보상을 받을 수 있습니다.
보상은 무엇인가?
- 이슈의 심각도와 수정 비용에 따라 다양한 유형의 보상이 있습니다. 현금(가장 일반적)부터 프리미엄 구독(Prime/Netflix), 할인 쿠폰(쇼핑몰 등), 기프트 바우처, 스웩(의류, 배지, 커스텀 문구류 등)까지 다양합니다. 금액은 50달러에서 50,000달러, 그 이상이 될 수도 있습니다.

무엇을 배워야 하나?

기술

어디서 배워야 하나?

도서
- Web Application Hacker's Handbook: https://www.amazon.com/Web-Application-Hackers-Handbook-Exploiting/dp/1118026470
- Real World Bug Hunting: https://www.amazon.in/Real-World-Bug-Hunting-Field-Hacking-ebook/dp/B072SQZ2LG
- Bug Bounty Hunting Essentials: https://www.amazon.in/Bug-Bounty-Hunting-Essentials-Quick-paced-ebook/dp/B079RM344H
- Bug Bounty Bootcamp: https://www.amazon.in/Bug-Bounty-Bootcamp-Reporting-Vulnerabilities-ebook/dp/B08YK368Y3
- Hands on Bug Hunting: https://www.amazon.in/Hands-Bug-Hunting-Penetration-Testers-ebook/dp/B07DTF2VL6
- Hacker's Playbook 3: https://www.amazon.in/Hacker-Playbook-Practical-Penetration-Testing/dp/1980901759
- OWASP Testing Guide: https://www.owasp.org/index.php/OWASP_Testing_Project
- Web Hacking 101: https://www.pdfdrive.com/web-hacking-101-e26570613.html
- OWASP Mobile Testing Guide :https://www.owasp.org/index.php/OWASP_Mobile_Security_Testing_Guide
라이트업
- Medium: https://medium.com/analytics-vidhya/a-beginners-guide-to-cyber-security-3d0f7891c93a
- Infosec Writeups: https://infosecwriteups.com/?gi=3149891cc73d
- Hackerone Hacktivity: https://hackerone.com/hacktivity
- Google VRP Writeups: https://github.com/xdavidhu/awesome-google-vrp-writeups
블로그 및 기사
- Hacking Articles: https://www.hackingarticles.in/
- Vickie Li Blogs: https://vickieli.dev/
- Bugcrowd Blogs: https://www.bugcrowd.com/blog/
- Intigriti Blogs: https://blog.intigriti.com/
- Portswigger Blogs: https://portswigger.net/blog
포럼
- Reddit: https://www.reddit.com/r/websecurity/
- Reddit: https://www.reddit.com/r/netsec/
- Bugcrowd Discord: https://discord.com/invite/TWr3Brs
공식 웹사이트
- OWASP: https://owasp.org/
- PortSwigger: https://portswigger.net/
- Cloudflare: https://www.cloudflare.com/
YouTube 채널
- 영어
  - Insider PHD: https://www.youtube.com/c/InsiderPhD
  - Stok: https://www.youtube.com/c/STOKfredrik
  - Bug Bounty Reports Explained: https://www.youtube.com/c/BugBountyReportsExplained
  - Vickie Li: https://www.youtube.com/c/VickieLiDev
  - Hacking Simplified: https://www.youtube.com/c/HackingSimplifiedAS
  - Pwn function :https://www.youtube.com/c/PwnFunction
  - Farah Hawa: https://www.youtube.com/c/FarahHawa
  - XSSRat: https://www.youtube.com/c/TheXSSrat
  - Zwink: https://www.youtube.com/channel/UCDl4jpAVAezUdzsDBDDTGsQ
  - Live Overflow :https://www.youtube.com/c/LiveOverflow
- 힌디어
  - Spin The Hack: https://www.youtube.com/c/SpinTheHack
  - Pratik Dabhi: https://www.youtube.com/c/impratikdabhi

지금 트위터에 가입하세요!

세계 최고 수준의 보안 연구원과 버그 바운티 헌터들이 트위터에 있습니다. 당신은 어디에 있나요? 지금 트위터에 가입하여 새로운 이슈, 취약점, 제로데이, 익스플로잇에 대한 일일 업데이트를 받고, 사이버 보안 세계에서 자신의 방법론, 리소스, 노트, 경험을 공유하는 사람들과 함께하세요!

연습! 연습! 그리고 또 연습!

CTF
- Hacker 101: https://www.hackerone.com/hackers/hacker101
- PicoCTF: https://picoctf.org/
- TryHackMe: https://tryhackme.com/ (프리미엄/무료)
- HackTheBox: https://www.hackthebox.com/ (프리미엄)
- VulnHub: https://www.vulnhub.com/
- HackThisSite: https://hackthissite.org/
- CTFChallenge: https://ctfchallenge.co.uk/
- PentesterLab: https://pentesterlab.com/referral/olaL4k8btE8wqA (프리미엄)
온라인 랩
- PortSwigger Web Security Academy: https://portswigger.net/web-security
- OWASP Juice Shop: https://owasp.org/www-project-juice-shop/
- XSSGame: https://xss-game.appspot.com/
- BugBountyHunter: https://www.bugbountyhunter.com/ (프리미엄)
- W3Challs : https://w3challs.com/
오프라인 랩
- DVWA: https://dvwa.co.uk/
- bWAPP: http://www.itsecgames.com/
- Metasploitable2: https://sourceforge.net/projects/metasploitable/files/Metasploitable2/
- BugBountyHunter: https://www.bugbountyhunter.com/ (프리미엄)
- W3Challs : https://w3challs.com/

사용할 추가 도구 및 서비스

서버
Shodan - 모든 사물 인터넷을 위한 검색 엔진
Censys Search - 노출을 줄이고 보안을 개선하기 위한 인터넷의 모든 서버용 검색 엔진
Onyphe.io - 오픈소스 및 사이버 위협 인텔리전스 데이터를 위한 사이버 방어 검색 엔진
ZoomEye - 글로벌 사이버 공간 매핑
GreyNoise - 인터넷 소음을 이해하기 위한 소스
Natlas - 네트워크 스캐닝 확장
Netlas.io - 온라인에서 제공되는 모든 자산을 발견, 연구 및 모니터링
FOFA - 사이버 공간 매핑
Quake - 사이버 공간 측량 및 매핑 시스템
Hunter - 보안 연구원을 위한 인터넷 검색 엔진

Bug-Bounty-Beginner-Roadmap

인기