Mình không sinh ra để làm Bug Bounty Hunter  !!! Bạn cũng thế 🐧

Mình không sinh ra để làm Bug Bounty Hunter !!! Bạn cũng thế 🐧

·

5 min read

Play this article

Xin lỗi vì cái title rất là hư..Trong bài viết này, mình sẽ chia sẻ về những thứ tiêu cực trong beg bounty mà mình đã gặp phải và các bạn có thể sẽ/đã gặp phải. Và mình cũng mong rằng các bạn có ý định bắt đầu con đường beg bounty sẽ có thêm một góc nhìn khác về con đường này.


"Đếm cua trong lỗ"

Một ngày đẹp trời, bạn tìm được một lỗi bảo mật, bạn surevkl nó là một lỗi bảo mật. Bạn vội vã viết report và submit ngay cho program. Sau đó là thời gian chờ đợi, và đó là lúc mà bạn bắt đầu mắc những sai lầm...

Đầu tiên, mong ngóng phản hồi từ chương trình, tưởng tượng rằng nó là 1 lời cảm ơn kèm theo thông báo họ đã reproduce thành công, đấy là một lỗ hổng hợp lệ.

Cái tiếp theo có thể gặp phải chính là "Đếm cua trong lỗ", bounty mõm. Bạn bắt đầu tính toán số tiền mình có thể nhận được từ báo cáo đấy, bạn sẽ mua gì, sẽ tiêu như nào với số tiền đấy.

Nhưng, nếu từ đầu nó đã không xảy ra như thế thì sao ? Như một câu nói cửa miệng của một người thầy mình rất kính trọng: "Trên đời việc quái gì cũng có thể xảy ra". Và cái tương lai màu hồng kia cũng chỉ là một trong số rất nhiều trường hợp có thể xảy ra ( và thường ít xảy ¯\_(ツ)_/¯ ). Và vì bạn đã hy vọng nhiều, nên đây là lúc bạn sẽ thất vọng nhiều, khi nhận về một thông báo duplicate, và tất nhiên có cả lời cảm ơn. Đây là tình trạng của đa số người khi vừa bắt đầu con đường beg bounty, và mình cũng không nằm trong thiểu số. Sai lầm này đã dẫn đến tình trạng burnout kực mạnk khi mình chơi Bug Bounty, mình hay gọi vui là bị Bug Bounty chơi. Còn về cách bypass được tình trạng này, mình lại hẹn trong một bài viết khác.


"Nó không phải lỗi, nó là tính năng"

Cũng lại là một ngày đẹp trời, bạn tìm thấy một cái gì đó hoạt động không giống như nó nên hoạt động, và nhanh chóng kết luận rằng nó là một lỗ hổng bảo mật. Lại một lần nữa bạn viết report rồi gửi ngay lập tức cho program owner. Không nói về quá trình "Mong ngóng, đếm cua hay bounty mõm" vì đã nói ở trên rồi, sai lầm mà bạn mắc phải ở đây là thiếu đi Tư duy phản biện (Critical thinking ), một trong những thứ mà mình nghĩ rất cần thiết ở trong ngành này. Vì thiếu sót đi tư duy phản biện, bạn đã nhầm lẫn một "lỗi lập trình" là "lỗi bảo mật". Thứ bạn tìm thấy hoàn toàn có thể là một lỗi trong quá trình lập trình, nhưng nó có thể khai thác hay không ? Nó nghiêm trọng như nào ? Hệ thống, ứng dụng, người dùng có thể bị tổn hại như nào ? Nếu bạn là một kẻ tấn công, bạn có thể khai thác nó như nào ? Đôi lúc, sau khi report, hoặc sau khi nghĩ lại, bạn hoàn toàn không thể trả lời được những câu hỏi vừa liệt kê ở trên, đơn giản vì nó có phải lỗi bảo mật đ đâu ¯\_(ツ)_/¯ Và thế là, tất cả những gì bạn nhận được là Not applicable cộng với việc stats của bản thân bị ảnh hưởng ( đôi lúc là cả điểm và rank trên nền tảng )


"Don't give me hope"

Cái này viết sau hehehe.

Don't give me hope hawkeye - Meme Template House


"Nhìn lên quá nhiều..."

Hẳn là bất kỳ anh em nào hứng thú hoặc đang trong secbiz đều lướt Twitter rất thường xuyên, như mình là hàng ngày luôn. Twitter là nơi rất nhiều tay to, pro, gosu chia sẻ về kinh nghiệm, tips n tricks để tìm ra những lỗ hổng siêu to khổng lồ, tin tức liên quan đến Cyber Security, nói chung là rất nhiều nhưng những gì mình quan tâm mình đã vừa liệt kê rồi. Bên cạnh đó, twitter cũng là nơi họ show thành quả, flexing xxxx$, xxxxx$ gì đó. Tiếp cận những bài viết này sai cách sẽ là sai lầm tiếp theo của bạn =))).

Nhìn lên quá nhiều, trầm trồ về kết quả họ đạt được, ngưỡng mộ, mơ ước hay khát khao một ngày bản thân cũng như họ =))) Đó đều là những phản ứng và cảm xúc bình thường khi thấy những bài viết như vậy.

Thực chất những bài viết như vậy không hoàn toàn xấu ( rõ ràng rồi, cái gì cũng có 2 mặt ). Nhưng nó dễ làm bản thân chúng ta thấy một tương lai màu hồng, hoặc nó làm một số người định hướng sai. Mình biết một vài người nhìn vào những bài viết như thế và sau đó quyết định theo con đường beg bounty ( ngố ). Đấy là một quyết định cực kì size nầm, lộn, sai lầm. Tại sao nó sai à ? Mình sẽ nói về vấn đề này sau =))). Ở đây mình đang muốn nói đến việc các tay to, gosu đang cho các bạn nhìn con đường beg bounty qua một lăng kính màu hồng (hồng vãi l). Sớm thôi bạn sẽ thấy nó không hề hồng hay ngon lành như bạn tưởng tượng =))) Nhưng lúc đấy thì sao, vì bạn đã dính sai lầm từ đầu rồi mà.

Meme: "Noob Bug Hunter Bug Bounty Penetration Testing Programming  Networking" - All Templates - Meme-arsenal.com


Tóm lại là?

Xin lỗi vì cái title giật tít (thiểu năng nhất mà mình biết tính đến 7:31 PM 30/03/2023). Bài viết này mình viết ra để cho bạn thấy một lăng kính khác ( tất nhiên đ phải màu hồng ) về beg bounty. Dù có vài đoạn mình chưa nói rõ lắm, mình sẽ sửa lại vào 1 lúc nào đấy. Mục đích của bài này chỉ đơn giản là vậy.

  • Beg bounty để kiếm tiền? ( cũng hay, nhưng có nhiều việc giúp bạn kiếm tiền tốt hơn là beg bounty mà không có đam mê )

  • Beg bounty vì thấy dễ làm, dễ ăn, ez money? ( Well, cứ thử đi, giữ vững mindset đấy và burnout, quit game sớm :^ )