本文作者:Shreyas Chavhan
原文地址:https://shreyaschavhan.notion.site/Roadmap-I-followed-to-make-15-000-Bounties-in-my-first-8-months-of-starting-out-and-my-journey-98b1b9ff621645c0b97d1e774992f300
今天要讲的是我从零漏洞赏金经验,历时八个月,通过漏洞赏金平台,获得 15000+$ 的故事,每个人都是从零经验开始的,虽然是零经验,但是我也具备相当扎实的技术背景。起初报告的漏洞也都比较基础,比如邮件注入、无速率限制、会话固定等问题。
2019-2022:这个阶段,探索了很多技术领域,比如前后端开发、UI/UX 开发等,可以使用 C++、Python 编写一些基础的东西。
2022-2023:决定深入网络安全领域并作为职业,然后开始学习网络安全相关技术,包括 OSCP、OSWE 等证书所需技术,这个过程中还学到很多基础知识,比如 Linux 基础、Bash 脚本、正则表达式、高级 SQL 注入、Powershell、Python、Php、Java 等。
关于上面的学习参考都来自于 Github,以下是我总结的一些不错的项目:
OSCP:
https://github.com/shreyaschavhan/oscp-pre-preparation-plan-and-notes
OSWE:
https://github.com/shreyaschavhan/oswe-awae-pre-preperation-plan-and-notes
其他资料:
正则:https://github.com/shreyaschavhan/regex-notes
SQL 注入:https://github.com/shreyaschavhan/sql-cheatsheet
Powershell:https://github.com/shreyaschavhan/powershell-notes
Python:https://github.com/shreyaschavhan/python-for-awae
2023-2024:这个阶段是大学的最后一年,这个过程中大部分时间用在了看电影、阅读、准备考试、写作业等方面,做的事儿比较杂,从 2023 年 7 月份开始进行漏洞赏金活动。
月份 | 投入时间 | 工作天数 | 获得赏金 (USD) | 报告数量 | 项目数 |
---|---|---|---|---|---|
2023年7月 | 99 hr 42 min | 21 | 50 | 6 | 3 |
2023年8月 | 65 hr 15 min | 16 | 50 | 9 | 4 |
2023年9月 | 93 hr 33 min | 23 | 400 | 17 | 9 |
2023年10月 | 59 hr 21 min | 17 | 0 | 8 | 4 |
2023年11月 | 48 hr 24 min | 13 | 750 | 8 | 3 |
2023年12月 | 47 hr 56 min | 18 | 0 | 10 | 7 |
2024年1月 | 106 hr 36 min | 21 | 100 | 23 | 22 |
2024年2月 | 59 hr 33 min | 15 | 0 | 10 | 2 |
2024年3月 | 54 hr 52 min | 12 | 14250 | 9 | |
合计 | 636 hrs | - | 15600$ | 100 | 56 |
有很多初学者对我的学习路线感兴趣,想知道我是如何学习进步的,如何能达到如今的成就,下面就来分享我的学习之路。
学习 Linux 基础命令和 Bash 脚本可以帮助我们更好的安装和使用安全相关的工具和脚本,提高我们在漏洞赏金中的实战效率。
关于 Linux 基础学习参考:
https://github.com/shreyaschavhan/linux-commands-cheatsheet
学习完基础之后,可以使用在线 CMD 挑战平台,验证所学:
https://cmdchallenge.com/
关于 Bash 脚本学习参考:
https://github.com/shreyaschavhan/bash-scripting-cheatsheet/
为了更方便学习,可以使用在线学习平台:
https://www.learnshell.org/
其中的一些内容虽然已经过时,但是大多数内容还有效,关于此书的学习笔记 Github 有不少分享,比如:
https://github.com/Sivnerof/The-Web-Application-Hackers-Handbook
学习之余,可以前往 portswigger 进行实战练习:
https://portswigger.net/web-security
从学习到实践需要一个过程,对于初学者而言,选择简单易得的目标,更容易出成果,比如我先以 IDOR 作为切入点,找关于 IDOR 相关的资料学习,然后去实践,因为 IDOR 这类漏洞比较容易找到。
不安全的直接对象引用 (IDOR) 是一种访问控制漏洞,当应用程序使用用户提供的输入直接访问对象时会出现这种漏洞。IDOR 一词因出现在 OWASP 2007 Top 10 中而广为人知。然而,这只是可能导致绕过访问控制的许多访问控制实施错误的其中一个。IDOR 漏洞最常与水平权限提升相关,但也可能与垂直权限提升相关。案例如图:
合理分配自己的学习和实战的时间,学习结合实战,不断重复这个过程(选择漏洞类型-》学习漏洞原理及测试方法-〉实战),直到将所有漏洞类型都学完并应用在实战中,比如:xss、sql注入、csrf、ssrf、jsonp、rce、lfi、信息泄漏、越权、条件竞争、子域接管、备份泄漏、参数污染、反序列化等。
当然不仅仅是 web 漏洞,还可以扩展到 API、移动 APP 等方面,比如参考:OWASP Top 10 2021、OWASP Top 10 API Security Risks、OWASP Mobile Top 10 等
在从事漏洞赏金的过程中,会遇到各种各样的问题,比如提交的漏洞重复、危害不足忽略、内部已知等情况。这个时候要保持良好的心态,积极与审核或者运营沟通,适当争取。
当然,你可以选择口碑和风评比较好的 SRC 进行漏洞挖掘,这样可以多少避免一些不公的事儿发生,给我们增加不必要的烦恼。
实战的过程中,你可能有很长时间没有成果,但是也不要气馁,不断寻找自己的不足,学习他人的经验,直到发现问题未知。
切记贪多,想要在漏洞赏金这个领域有所成就,不能大而全,而是要小而精,只有深度上超越他人,才有可能发现他人无法发现的问题,否则大概率是重复,简单容易发现的问题,你一定不是最先的那个,就算是,那也是运气问题。
H1 的报告是公开的,如果你要去做这个事儿,至少要阅读 1000 份报告,而我读了 5000 份以上,随着技术的积累,你应用在学习和挖洞实战上的时间可以适当调整。
本文是国外的一个小伙伴分享的关于自己 8 个月的漏洞赏金经验,我对其进行了学习并加以总结,其中有不少有价值的内容值得初学者参考,其中涉及的那本英文版书籍,后台回复关键词 "赏金" 获取下载地址。