HackerOne第二名白帽专访:业余挖洞,两年赚 40 万美金

本文讲的是 HackerOne第二名白帽专访:业余挖洞,两年赚 40 万美金

你必须要体谅Sean Melia(meals),他在十万白帽黑客聚集的HackerOne社区只是位列第二名。毕竟他把时间分割成了两部分,业余寻找漏洞,日常则在安全服务公司Gotham Digital Science干资深安全工程师的活儿。

Melia,26岁,北卡罗来纳州居民。从2014年9月注册HackerOne到现在,个人提交了超过700个有效漏洞,并且还在Bugcrowd、Synack和其它有独立漏洞披露计划的平台上提交过更多漏洞。

Melia在HackerOne上的id叫“Meals”,在SC Magazine最近一次专访中,Melia分享了过去挖到的一些印象深刻(赏金丰厚)的漏洞案例,以及个人对漏洞行业的看法。以下为采访对话。

SC:兼职漏洞赏金猎人以来,你赚了多少钱?

M:过去两年多里,大约40万美元。

SC:如果你想,其实可以全职做这个。只是现在你选择业余时间做。

M:是的,我喜欢两个一起,因为这样我能找到更多的漏洞。两个同时进行非常有挑战,我可以在工作中学习各种技术。我希望接触更多各式各样的应用,并试图尽所能的去掌握它们。就这个角度看,工作对这两方面都有益处。另外,专职漏洞赏金计划可不会有健康保险和休假。

SC:你印象最深刻的漏洞是什么?

M:最近一个是去年6月,星巴克网站上发现的一个低级漏洞。如果你在网站上下单,购买一杯送货上门的咖啡,你会收到一个订单号。这个订单号是一个逐渐增大的数字,现在下单是#1000,再下单可能是#1001。我发现,通过修改订单号,可以查看其他买家的订单详情。比如我尝试修改为#2002,我会看到“加利福尼亚州 约翰·史密斯”,他的信用卡最后四位是“xxxx”,地址、电话、订购的咖啡种类等细节都能看到。通过这个漏洞,我得到了6000美元奖金。

那个地方还有一些其它错误。在网站上咖啡送货上门的订阅服务里,可以在你的账号里编辑其他用户的订阅。比如约翰·史密斯订阅了每周送一次上门,我可以在我的账号更新他的订阅,把他的咖啡送到我家来,钱还是由他付。而这只需要修改一些数字,把你的地址更新进去即可。不过这很可能被发现,一千杯咖啡被送去了同一个地址。

SC:星巴克该给你个免费咖啡的奖励。

M:大概来说,在星巴克网站上发现的漏洞,让我收获了4万美元奖金。所以足够支付很长时间的咖啡了。

SC:你注意到许多非传统公司和组织开始对漏洞赏金计划感兴趣了吗?

M:当然。国防部,政府的漏洞赏金计划,这对我来说是一个惊喜。我觉得很有趣,有着诸多繁文缛节的政府居然可以通过这样一项计划。现在来看,连政府都可以做到,很难说有某家公司做不到吧

还有物联网,当我被邀请测试某个程序,如果有硬件部分我会很高兴。有次圣诞购物,我收到邮件受邀参加某个这样的测试,当时我便立即离开了商场,去百思买购买了硬件开始测试。我很喜欢尝试硬件,那次发现了两个非常酷的bug,赚了大概5000美元。那天晚上没有人去买硬件,我花两百美元买了,最终一晚上赚了5000美元。

SC:你注意到许多非传统公司和组织开始对漏洞赏金计划感兴趣了吗?

M:银行,它进来会很有趣,不过银行们可能不太会为他们的应用程序设置赏金计划。

还有医疗健康,这个行业有太多的安全违规案例了。只是应该很难被批准,该死的官僚主义。或许最终有一天我们能看到。

SC:作为HackerOne排名第二的研究员,你觉得你的个人竞争力如何?

每隔一段时间,我都会检查一下我的排名,因为我想拿到第一名。只是时间太少了,如果我有无限的时间,我想我可以获得第一名的。但这样生活将会失调,漏洞挖掘和正常工作。

我知道其他一些顶级白帽子。大家处于竞争关系,但我们会彼此分享。如果发现一个特别酷的漏洞,我们会互相谈论,并分享不同的见解,以及更好的利用方法。

M:你过往挖漏洞的经历中,碰到的最好公司有哪些?它们有什么特点?

SC:我喜欢那些沟通透明的公司和研究人员。如果他们某些业务没有奖励,或者奖励较少,他们会把信息放在介绍里,并解释为什么。

我曾经为一些程序找漏洞,对方只是说:“这不适用”,没有其它解释并关闭了反馈。而对于沟通透明的程序,工作人员会说:“因为这些因素,我们将降低赏金”,或者“我们不会为此付费,因为它是一个第三方托管的系统。”如果某家公司会这样反馈,他们是伟大的,也许你可以主动多关注下。假设他们发现你报告的某类型错误较多,可能会直接说:“嘿,你可能不想花更多时间来报告这些。”

有次我工作时,有个独立软件找过来,邀请我进行测试。我当时和对方研发和安全人员可以直接沟通,我问他们:“你认为这是个有效的漏洞吗?或者这个?”当得到他们认可后,我把相关漏洞详情写好并提交过去。我很享受这样的过程。

至于规格方面,Twitter是个很好的例子。他们会具体定义某类漏洞的定价,比如跨站脚本,可以得到这个金额。所以挖Twitter的漏洞很踏实,你很清楚即将提交的漏洞会被奖励多少钱。

某些公司发布漏洞赏金计划,他们可能会说,我们单个漏洞的奖金区间为50-10000美元,但他们对于什么样漏洞可以拿到10000美元没有任何说明。当一家公司有一份清单,很清楚的说明他们的需求,你知道去找哪些漏洞会获得最高回报,那种感觉真棒!

M:有没有公司在漏洞赏金上犯过错?

SC:某年夏天我被邀请测试一个项目,单个漏洞支出是100-5000美元。通常,能拿5000美元的漏洞有远程代码执行或SQL注入,你可以访问客户数据或绕过授权控制。我向这家公司提交了大概超过100个漏洞,最终付款只是最高奖金的一小部分。

我记得应该报告了8、9个远程代码执行,赏金最高的一个是500美元。当时我在想,如果远程代码执行只够500美元,什么样的漏洞可以拿5000美元呢?这家公司不太爱沟通,到现在我还不知道他们的5000美元要奖励给怎样的漏洞?假设有人把办公室里所有电脑偷走,或许能得到吧。

SC:你对灰帽子怎么看?你会考虑把漏洞卖给外部公司、组织或政府吗?

M:我不知道。我喜欢漏洞赏金计划的设置,在修复后我可以去谈论,取得授权并公开。如果我SC:发现一个特别酷的漏洞,可以赚一百万美元,那么我肯定会卖。但就目前看,我很怀疑这会发生。

M:对于想进行安全测试的公司,你有什么建议?

SC:如果一家公司想尝试下,可以制定一个私密计划,和漏洞平台合作邀请5到10位研究者参与。

M:什么样的项目会吸引你?

SC:我主要参与一些私密项目,邀请的人很少,我会有更高机会挖到非重复漏洞。此外,如果某个项目如果开出最高5000-10000美元奖金,我也会去看看。

M:许多公司的漏洞赏金计划只包含一到两个网站,或者是一个功能繁杂的应用。而我更喜欢去关注赏金范围大的项目,比如外部基础架构在范围内,或者外部资产(IP主机、虚拟主机、第三方服务域等)在的。范围大,攻击面也会很大,我可以先查找他们的所有资产,然后逐个仔细研究。你可能在某个系统上发现一个问题,然后意识到他们在许多系统上做了同样的事情,这样下去很快就可以找到5、6个案例甚至更多的严重漏洞。




原文发布时间为:2017年3月22日
本文作者:longye
本文来自云栖社区合作伙伴嘶吼,了解相关信息可以关注嘶吼网站。
原文链接

你可能感兴趣的:(嵌入式)