Не стесняйтесь вносить свой вклад в этот репозиторий!

Дорожная карта для начинающих в Bug Bounty

Привет! Я Ansh Bhawnani. В настоящее время я работаю инженером по безопасности (Security Engineer), а также по совместительству создаю контент. Я создаю этот репозиторий, чтобы каждый мог внести свой вклад и помочь направить молодые и увлечённые умы, начинающие свою карьеру в сфере bug bounty. Контент будет добавляться регулярно. Следите за обновлениями. Итак, начнём!

ПРИМЕЧАНИЕ: Ландшафт bug bounty изменился за последние несколько лет. Проблемы, которые мы легко находили год назад, сейчас найти не так просто. Автоматизация активно используется, и большинство «низко висящих плодов» уже продублированы, если вам не повезло. Если вы хотите начать заниматься bug bounty, вам нужно быть решительным, последовательным и сосредоточенным, так как конкуренция очень высока.

Введение

Что такое баг?
- Баг безопасности или уязвимость — это «слабое место в вычислительной логике (например, в коде), обнаруженное в программных и аппаратных компонентах, которое при эксплуатации приводит к негативному воздействию на конфиденциальность, целостность ИЛИ доступность».
Что такое Bug Bounty?
- Bug bounty или программа bug bounty — это ИТ-жаргон, обозначающий программу вознаграждения за поиск и сообщение об ошибке в конкретном программном продукте. Многие ИТ-компании предлагают bug bounty, чтобы стимулировать улучшение продукта и получать больше взаимодействия от конечных пользователей или клиентов. Компании, которые управляют программами bug bounty, могут получать сотни отчётов об ошибках, включая баги безопасности и уязвимости, и многие из тех, кто сообщает об этих ошибках, могут получить вознаграждение.
Какое бывает вознаграждение?
- Существуют всевозможные виды вознаграждений в зависимости от серьёзности проблемы и стоимости её устранения. Они могут варьироваться от реальных денег (наиболее распространённый вариант) до премиум-подписок (Prime/Netflix), дисконтных купонов (для интернет-магазинов), подарочных сертификатов, мерча (одежда, бейджи, фирменные канцтовары и т. д.). Сумма денежного вознаграждения может составлять от 50$ до 50 000$ и даже больше.

Что изучать?

Технические знания

Где учиться?

Книги
- Web Application Hacker's Handbook: https://www.amazon.com/Web-Application-Hackers-Handbook-Exploiting/dp/1118026470
- Real World Bug Hunting: https://www.amazon.in/Real-World-Bug-Hunting-Field-Hacking-ebook/dp/B072SQZ2LG
- Bug Bounty Hunting Essentials: https://www.amazon.in/Bug-Bounty-Hunting-Essentials-Quick-paced-ebook/dp/B079RM344H
- Bug Bounty Bootcamp: https://www.amazon.in/Bug-Bounty-Bootcamp-Reporting-Vulnerabilities-ebook/dp/B08YK368Y3
- Hands on Bug Hunting: https://www.amazon.in/Hands-Bug-Hunting-Penetration-Testers-ebook/dp/B07DTF2VL6
- Hacker's Playbook 3: https://www.amazon.in/Hacker-Playbook-Practical-Penetration-Testing/dp/1980901759
- OWASP Testing Guide: https://www.owasp.org/index.php/OWASP_Testing_Project
- Web Hacking 101: https://www.pdfdrive.com/web-hacking-101-e26570613.html
- OWASP Mobile Testing Guide :https://www.owasp.org/index.php/OWASP_Mobile_Security_Testing_Guide
Райтапы
- Medium: https://medium.com/analytics-vidhya/a-beginners-guide-to-cyber-security-3d0f7891c93a
- Infosec Writeups: https://infosecwriteups.com/?gi=3149891cc73d
- Hackerone Hacktivity: https://hackerone.com/hacktivity
- Google VRP Writeups: https://github.com/xdavidhu/awesome-google-vrp-writeups
Блоги и статьи
- Hacking Articles: https://www.hackingarticles.in/
- Блоги Vickie Li: https://vickieli.dev/
- Блоги Bugcrowd: https://www.bugcrowd.com/blog/
- Блоги Intigriti: https://blog.intigriti.com/
- Блоги Portswigger: https://portswigger.net/blog
Форумы
- Reddit: https://www.reddit.com/r/websecurity/
- Reddit: https://www.reddit.com/r/netsec/
- Bugcrowd Discord: https://discord.com/invite/TWr3Brs
Официальные сайты
- OWASP: https://owasp.org/
- PortSwigger: https://portswigger.net/
- Cloudflare: https://www.cloudflare.com/
YouTube-каналы
- Англоязычные
  - Insider PHD: https://www.youtube.com/c/InsiderPhD
  - Stok: https://www.youtube.com/c/STOKfredrik
  - Bug Bounty Reports Explained: https://www.youtube.com/c/BugBountyReportsExplained
  - Vickie Li: https://www.youtube.com/c/VickieLiDev
  - Hacking Simplified: https://www.youtube.com/c/HackingSimplifiedAS
  - Pwn function :https://www.youtube.com/c/PwnFunction
  - Farah Hawa: https://www.youtube.com/c/FarahHawa
  - XSSRat: https://www.youtube.com/c/TheXSSrat
  - Zwink: https://www.youtube.com/channel/UCDl4jpAVAezUdzsDBDDTGsQ
  - Live Overflow :https://www.youtube.com/c/LiveOverflow
- Хинди
  - Spin The Hack: https://www.youtube.com/c/SpinTheHack
  - Pratik Dabhi: https://www.youtube.com/c/impratikdabhi

Присоединяйтесь к Twitter уже сегодня!

Исследователи безопасности мирового уровня и охотники за багами (bug bounty hunters) сидят в Twitter. А где вы? Присоединяйтесь к Twitter прямо сейчас и получайте ежедневные обновления о новых проблемах, уязвимостях, zero-day, эксплойтах, а также присоединяйтесь к людям, которые делятся своими методологиями, ресурсами, заметками и опытом в мире кибербезопасности!

Bug-Bounty-Beginner-Roadmap

Популярное

Дорожная карта для начинающих в Bug Bounty

Введение

Что изучать?

Где учиться?

Присоединяйтесь к Twitter уже сегодня!

ПРАКТИКА! ПРАКТИКА! И ПРАКТИКА!