Bugbounty

Nedir bu Bugbounty?

En kısaca özetleyecek olursak şirketlerin bir kurum yerine kişilerle herhangi bir diplomatik anlaşma Yapmadan zaafiyet testi yaptırması ve buna karşılık bulunan zaafiyetin kritiklik derecesine göre para vermesidir. Şimdi detaylıca açıklayalım...

Bugbounty programının amacı nedir?

Şirketlerin bir platform üzerinden yayınladıkları domain , subdomain , apı gibi endpointlere zaafiyet testi yapılarak bulunan kolay / orta / zor kritiklik derecesine göre (CVE numaraları ile derecelendirilir) para ödülü yada hediyeler göndermesi ile ortaya bir kazan-kazan durumu oluşur.

Şirketlerin çıkarlarından birisi bir siber güvenlik departmanı kurmadan (personel masrafına girmeden) dünyanın heryerinden zaafiyet tespiti yapan ve açık bulan kişilere ödeme yapmasıdır.

Hackerların kazandığı tarafı ise bir kuruma bağımlı kalmadan sabit maaş yerine emekleri kadar kazandıkları bir uygulamadır. Yani çok çalış çok kazan demektir.

Kimler Bugbounty programı düzenleyebilir?

Hackerlara yeterli bütçeyi ayırabilecek tüm şirketler en büyüğünden en küçüğüne bugbounty programı yayınlayabilmektedir.
Örnek: google , meta , porsche , butik diş klinikleri , fabrikalar vs. akla gelen tüm sektörler.

Nasıl Bugbounty Hunter olurum?

Öncelikle bolca sabır :D 

1. Temel Bilgiler

   - HTTP/HTTPS, TCP/IP, DNS, Cookies, Session mantığı öğren

   - Web uygulaması mimarisi (frontend, backend, database) kavra

   - Linux kullanmaya alış (Kali, Parrot veya Ubuntu tercih edilebilir)

2. Programlama / Script Bilgisi

   - HTML & CSS: Web’in iskeleti nasıl çalışıyor anlamak için

   - JavaScript: XSS, DOM tabanlı saldırıları çözmek için

   - Python: Otomasyon ve kendi araçlarını yazmak için

   - SQL temelleri: SQL Injection mantığını anlamak için

3. Güvenlik Temelleri

   - OWASP Top 10 zafiyetlerini tek tek öğren

   - XSS, SQL Injection, CSRF, IDOR, SSRF, RCE, LFI/RFI

   - Burp Suite kullanmayı öğren (trafik yakalama, request manipulation)

4. Araç Bilgisi

   - Nmap: Port taraması

   - Dirb / ffuf: Dizine ve dosya brute-force

   - Burp Suite: Proxy, repeater, intruder

   - Nikto: Basit zafiyet taraması

   - Metasploit: Exploit framework

   - Paramspider, Sublist3r: Alt domain keşfi

5. Raporlama Bilgisi

   - Bulduğun açığı sadece teknik olarak değil, anlaşılır şekilde yazmayı öğren

   - “Reproduce steps” (tekrarlanabilir adımlar) çok önemli

   - İngilizce rapor yazma pratiği yap (çoğu platform İngilizce)

6. Strateji

   - Önce az rekabet olan küçük firmaların programlarını seç

   - Sadece bir-iki zafiyete odaklan (ör. XSS + IDOR)

   - Scope dışına çıkma, ban yiyebilirsin

   - Sabırlı ol: İlk ödül bazen aylar sürebilir

7. Bilmen Gereken Ek Şeyler

   - GitHub & Google Dorks ile bilgi toplama

   - Recon metodolojisi (alt domain, endpoint, parametre keşfi)

   - Rate limit & auth mekanizmalarını test etme

   - API güvenliği (özellikle modern hedeflerde çok önemli)

8. Kariyer ve Süreklilik

   - İlk ödülünü almak için acele etme, önce öğrenmeye odaklan

   - Blog / rapor yazarak öğrendiklerini paylaş (CV’de güçlü bir artı)

   - Discord, Twitter/X, Reddit gibi ortamlarda topluluklara katıl

   - İngilizceyi geliştirmeyi unutma (rapor + iletişim için kritik)

(AI desteği alınmıştır)


Tüm bu yazılanları öğrenip ctf çözerek pratiğimizi yaptıysak gelelim ençok kullanılan aracı siteler: HackerOne / Bugcrowd / Intigriti / YesWeHack  ençok kullanılan bugbounty programı pazarlanan sitelerdir.

Kendimize uygun platformu/siteyi/scopezone bulduktan sonra diyelimki öğrendiğimiz zaafiyetlerden biriyle bir açık bulduk elimizede bir şeyler var.Artık cve numarasını belirleyip kritiklik puanına bakmakta.

cve.org sitesinde üstteki search barda zaafiyeti arayıp bulabiliriz.


Rapor nasıl hazırlanır:

Bulduğumuz zaafiyeti önce hangi endpointde sonrasında ne zaafiyeti gibi temel önden bilgilendirmek için gerekli bilgileri veriyoruz daha sonrasında TAMAMEN İNGİLİZCE şekilde işlemleri yaptığınız tarayıcıdan başlayarak chrome,firefox vs bu bilgileri verip bilgi toplama sırasında neler yaptınzı bu süreçte kullandığınız araçlar neyi nasıl değiştirierek bu zaafiyeti buldunuz herşeyi 5 yaşında bir çocuğa anlatır gibi açıklıyorsunuz bu süreçte karşınızdakilerde bir insan ve onlarında gözünü korkutun tavsiyemdir para anlamında daha güzel şeyler elde edebilirsiniz :D 

Ödüller genelde ortalama minimum 50 dolardan başlayıp şirketin büyüklüğüne göre 100.000 dolar gibi fiyatlara çıkabiliyor.

Eğer ben para istemem maneviyat önemli derseniz hediye suluk , sticker , tshirt gönderen programlarda var.

Aşağıdaki link hackerone üzerinde şuanda aktif olan bugbounty programlarını görebileceğiniz biryer SCOPE içerisinde olanlara mutlaka göz atın kör iş yapmaya kalkmayın ve sizden İSTEDİKLERİ VE İSTEMEDİKLERİ kurallara uyun.

https://hackerone.com/opportunities/all
RASTGELE BİR PROGRAMA GİRİP SOLDAN SCOPE İLE ETKİN İÇERİKLERİ GÖREBİLİRSİNİZ

Okuduğunuz için teşekkürler :D