1. Wat is een Bug Bounty Programma?
Een Bug Bounty Programma is een overeenkomst (Rules of Engagement) van een bedrijf (zoals Google, Tesla of het Amerikaanse Ministerie van Defensie) waarin ze expliciet zeggen: "Probeer ons alsjeblieft te hacken. Als je een fout vindt en deze netjes aan ons meldt, geven we je geld (een Bounty) en beloven we je niet aan te klagen."
Dit geeft een win-win situatie: het bedrijf repareert een gevaarlijk lek voordat criminelen het vinden, en de hacker verdient legaal geld.
2. De Platformen
Je kunt bedrijven individueel benaderen (via een Responsible Disclosure / Coordinated Vulnerability Disclosure beleid op hun site), maar de meeste hackers gebruiken grote platformen die bemiddelen tussen de hacker en het bedrijf:
- HackerOne: Het grootste platform ter wereld.
- Bugcrowd: Een zeer populaire concurrent.
- Intigriti: Een groot, snelgroeiend Europees (Belgisch!) platform.
3. Een goed rapport schrijven
Je hebt een Stored XSS-lek gevonden in Yahoo. Wat nu? Je moet een rapport ("Report") indienen op het platform. Bedrijven krijgen duizenden rapporten per dag, dus jouw rapport moet professioneel zijn.
Een goed rapport bevat altijd:
- Title: Kort en krachtig (bijv. "Stored XSS on profile.yahoo.com").
- Description: Wat is het probleem en hoe heb je het gevonden?
- Steps to Reproduce: Een stap-voor-stap handleiding (1. Ga naar X, 2. Vul Y in, 3. Klik op Z) zodat de IT'er van Yahoo het zélf kan naspelen.
- Impact: Waarom is dit erg? (bijv. "Een aanvaller kan hiermee accounts stelen"). Geef de juiste CVSS score op.
- Proof of Concept (PoC): Een screenshot of korte video waarop je de hack aantoont.
4. Duplicaten (N/A of Dupes)
De grootste frustratie van een Bug Bounty Hunter is de "Duplicate". Je steekt uren tijd in een hack, je stuurt het rapport in, en het bedrijf antwoordt: "Bedankt, maar hacker X heeft dit lek twee dagen geleden al gemeld. Je krijgt geen geld."
Daarom focussen de beste hunters zich vaak op hele kleine, vergeten subdomeinen (Reconnaissance is king!) of ze combineren meerdere kleine foutjes tot één grote kwetsbaarheid (Exploit Chaining) in plaats van te zoeken naar oppervlakkige bugs op de hoofdpagina.