[ Итоги Bug Bounty за Q2 2025 ]

Всем привет! 👋

Недавно подвели топ Исследователей за прошедший квартал на BI.ZONE Bug Bounty.
Мне по итогам 2-го квартала 2025 г. удалось залететь в топ-3 по количеству принятых отчетов, а также в топ-5 по начисленному рейтингу (по выплатам я далеко не в топе, но всё впереди 🔝)

Впечатления мега-приятные, результатом я более чем доволен, ведь ещё относительно недавно я делился первыми успехами тут и тут, а сейчас разделил топ с сильнейшими и именитыми хантерами платформы @bizone_bb.


Далее напишу несколько тезисов и некоторую статистику по итогам этих результатов:

➡️ Стал ли я считать себя крутым web-ером?
Скорее нет, но однозначно у меня повысилась насмотренность, я стал узнавать некоторые технические решения/используемые паттерны с полувзгляда и подбирать проверки, специфичные для конкретного стека на лету. Также в целом прокачался и выстроил некий план проверок под себя, потому что удалось пощупать веб-сервисы разных вендоров после многих крутых Исследователей, где нужно иногда мыслить шире, а не обкладываться в лоб условным dirsearch-ем и иным fuzzing-ом вслепую


➡️Теперь статистика:
⏺Активно хантил я с 9 мая и до 26 июня, за это время сдал 22 подтвержденных репорта (1 из репортов зачелся в Q2 будучи отправленным ещё в марте). Программы 50/50 были приватными/публичными

⏺Хантил я преимущественно черным ящиком (не использовал симку с номером тел. и практически нигде не регистрировал личный кабинет через почту). Тут могу отметить, что даже на поверхности находятся баги и весьма неплохие. Да, в среднем это low-medium находки, но свой кусочек пирога можно урвать, если внимательно исследовать и то, что лежит на поверхности функциональности до авторизации даже после десятков сданных отчетов от других багхантеров

⏺Заметил интересный факт, о котором говорили многие хантеры независимо друг от друга: для 80% моих багов я даже не открывал Burp 😈.
Очень "прокачался" в связке DevTools Mozilla 🖼️ + Google-Dorking🔎 + curl = валидная бага 🪙. Для многих задач этого было более чем достаточно

⏺Был приятно удивлен триажем как от самих вендоров, так и от первичного триажа @bizone_bb. Порадовала и скорость, и фактура (были информы, куда без них, но с адекватным обоснованием), за всё время только по одному репорту встретил на мой взгляд непонимание статуса info, так как буквально в соседней программе на том же стеке этой же баге был присвоен статус low/medium, и триажил это вроде бы один человек. Но меня это не напрягало, бага в любом случае была минорной.
Также было приятно быстро получать фидбэк по нескольким возникшим вопросам по работе самой платформы от Руководителя продукта, это здорово

⏺В процессе этого хантинга наткнулся на 2-3 необычных уязвимости бизнес-логики, но словил дубликат, причем они меня не расстроили, а наоборот добавили мотивации. Их я воспринял как мысль:"О, круто, я смотрю в нужном направлении, работаем дальше".

⏺А info отчеты я перестал воспринимать близко к сердцу — просто решил, что нужно продолжать хантить и прокачивать навыки.
Важно грамотно и лаконично описывать импакт — на мой взгляд это показывает и Ваш уровень как специалиста, так и уважение к Вендору/Триажеру, ведь всегда приятно читать понятный, структурированный и аккуратно оформленный отчет.
У меня иногда на формирование отчета уходило достаточно много времени, однако 1 раз это явно принесло свои плоды — первичный info превратился в medium, так как я предложил рассмотреть вектор под другим углом и сам докрутил багу (показал альтернативную возможность эксплуатации)

Пост получается большим, поэтому если у Вас есть вопросы по хантингу — пишите в комментариях, с удовольствием отвечу!
В будущих постах планирую рассказать больше о технике, используемых инструментах и методологии поисков багов с моей стороны. Плюсом продолжим делиться интересными кейсами, которые выстреливают на BB, оставайтесь с нами👨‍💻

@GigaHack

#web #bug_bounty