बग बाउंटी पर पैसा कमाने का एक आसान तरीका

निश्चित रूप से आपने कई बार "बग शिकार" की अभिव्यक्ति सुनी है। मैं यह मानने की हिम्मत करता हूं, आप किसी के कार्यक्रम में संभावित भेद्यता पाकर एक या दो सौ (या हजार) डॉलर कमाने का मन नहीं करेंगे। इस लेख में, मैं आपको एक ऐसी ट्रिक के बारे में बताऊंगा जो इस तरह की कमजोरियों को खोजने के लिए ओपन सोर्स प्रोजेक्ट्स का विश्लेषण करने में मदद करेगी।

फ्री और ओपन सोर्स सॉफ्टवेयर पर बग बाउंटीज़ - यह क्या है?

बग बाउंटी विभिन्न कार्यक्रमों के लिए एक सामान्य नाम है, जहां वेबसाइट और सॉफ्टवेयर डेवलपर्स बग और कमजोरियों को खोजने के लिए नकद पुरस्कार प्रदान करते हैं। ऐसे बड़े निगमों के प्रसिद्ध बग बाउंटी कार्यक्रमों के अलावा, Apple या Microsoft के रूप में, ओपन सोर्स प्रोजेक्ट्स में कमजोरियों को खोजने के लिए भी प्रोग्राम हैं।

उनमें से कई HackerOne पर पाए जा सकते हैं, लेकिन शायद सबसे बड़ा FOSSA - फ्री और ओपन सोर्स सॉफ्टवेयर ऑडिट है। यह यूरोपीय संघ द्वारा प्रायोजित विभिन्न खुले स्रोत परियोजनाओं में कमजोरियों की खोज करने पर एक कार्यक्रम है। कुल पुरस्कार राशि एक प्रभावशाली राशि है - जितना कि 850,000 यूरो!

कैसे भाग लें?

सबसे पहले, आपको HackerOne पर पंजीकरण करना होगा । हमें केवल ओपन सोर्स प्रोजेक्ट की आवश्यकता होगी। HackerOne पर एक पूरी सूची है।

यदि आप यूरोपीय संघ से बग बाउंटी में भाग लेना चाहते हैं, तो इस कार्यक्रम में भाग लेने वाली परियोजनाओं की सूची यहाँ पाई जा सकती है । अधिकांश परियोजनाओं के लिए, यह HackerOne पर पंजीकृत होने के लिए पर्याप्त होगा, लेकिन कई सूचीबद्ध कार्यक्रम intigriti.com वेबसाइट पर भी हैं।

भाग लेने के लिए, आपको अपने लिए एक उपयुक्त प्रोजेक्ट चुनना होगा और फिर ध्यान से भागीदारी की शर्तों को पढ़ना होगा। यदि आप उनसे सहमत हैं, तो एक व्यावहारिक भाग पर जाएं।

एक भेद्यता खोजने के लिए और अपना पैसा पाने के लिए, आपको बस एक प्रोजेक्ट डाउनलोड करना होगा (या इसे GitHub से क्लोन करना होगा) और संभावित त्रुटियों के लिए प्रत्येक अभिव्यक्ति की जांच करते हुए, प्रत्येक कोड लाइन का सावधानीपूर्वक विश्लेषण करें। यदि आपको कुछ मिलता है, तो यह प्रोग्राम सुरक्षा को प्रभावित कर सकता है - एक रिपोर्ट बनाएं और डेवलपर्स को भेजें। यदि वे आपकी खोज को पुरस्कृत करने के योग्य मानते हैं - आपकी जेब में आपका पैसा है :)।

लेकिन सरलता कहां है?

सरल भाग यह है कि आपको कोड का मैन्युअल रूप से विश्लेषण करने की आवश्यकता नहीं है। ऐसे उपकरण हैं जो आपको कोड में त्रुटियों के लिए स्वचालित रूप से खोज करने देते हैं। उदाहरण के लिए - स्थैतिक कोड विश्लेषक। मैं हमारे उपकरण का उपयोग करना पसंद करता हूं - पीवीएस-स्टूडियो । PVS-Studio विश्लेषक कोड में त्रुटियों को खोजने में सक्षम है, जो C ++, C # और Java में लिखा गया है, साथ ही साथ उपयोगकर्ता के अनुकूल इंटरफेस भी है। इसके अलावा, इसके मुफ्त उपयोग के कई विकल्प हैं। वैसे भी, अन्य विभिन्न कोड विश्लेषक हैं ।

बेशक, स्थिर विश्लेषक सभी त्रुटियों को प्रकट नहीं कर सकते हैं। कोई बात नहीं! आखिरकार, हमारे पास एक उद्देश्य है कि त्रुटियों को जल्दी और आसानी से मिल जाए, और उन सभी को खोजने के लिए नहीं।

एक बार परियोजना डाउनलोड और निर्मित होने के बाद, विश्लेषण शुरू करने के लिए केवल कुछ ही क्लिक होंगे। परिणाम विश्लेषक द्वारा उत्पन्न चेतावनियों की संख्या (आमतौर पर महत्वपूर्ण) के साथ एक रिपोर्ट होगी। पीवीएस-स्टूडियो में, उन्हें तीन स्तरों में वर्गीकृत किया गया है। आपको पहले स्तर की चेतावनियों के साथ शुरुआत करनी चाहिए, इसलिए विश्लेषण के परिणाम से नारंगी और पीले रंग के स्तर को कम किया जा सकता है।

विश्लेषण के परिणामों को फ़िल्टर करने का एक उदाहरण।

इस प्रकार, आपको केवल बाकी चेतावनियों को देखना होगा और उन स्थानों को चुनना होगा जो सबसे बड़ा खतरा पैदा कर सकते हैं। यह जांचने योग्य है कि क्या कार्यक्रम चलाने पर सीधे उनमें से किसी को भी पुन: प्रस्तुत करना संभव है। यदि आप इसे करने का प्रबंधन करते हैं - यह न केवल उन अवसरों को बढ़ाएगा जो डेवलपर्स रिपोर्ट को स्वीकार करेंगे, बल्कि निश्चित रूप से भुगतान की मात्रा में भी वृद्धि करेंगे। इस मामले में, दृश्यता आपका सबसे अच्छा दोस्त है।

यह भी विचार करने योग्य है कि क्या बग आपको मिला है जो प्रोग्राम की सुरक्षा को प्रभावित करता है। आखिरकार, इस मामले में, आपको दी गई राशि कई गुना अधिक होगी :)

स्क्रीनशॉट विजुअल स्टूडियो इंटरफ़ेस दिखाता है। हालाँकि, इसे आपको गुमराह न होने दें। विश्लेषक का उपयोग न केवल विज़ुअल स्टूडियो के लिए एक प्लगइन के रूप में किया जा सकता है, बल्कि लिनक्स और मैकओएस वातावरण सहित, अपने दम पर भी किया जा सकता है।

इस दृष्टिकोण के पेशेवरों

सबसे पहले, एक स्थैतिक विश्लेषक का उपयोग करना बग खोजने के लिए सबसे आसान तरीकों में से एक है। कोड एनालाइजर का उपयोग करने के लिए आपके पास कोई विशेष ज्ञान नहीं है: आपको बस उस भाषा को समझने की जरूरत है जिसमें कोड लिखा गया है।

दूसरे, analyzers चौकस हैं। वे थकते नहीं हैं और एक इंसान के विपरीत अपनी सतर्कता नहीं खोते हैं। इसलिए, उनका उपयोग बड़े कोड बेस के रूप में विश्लेषण करने के लिए किया जा सकता है, जैसा कि आप न्यूनतम लागत के साथ पसंद करते हैं।

तीसरा, विश्लेषक अक्सर मनुष्यों की तुलना में अधिक ज्ञान रखते हैं। इसका क्या मतलब है? मुझे Android कर्नेल कोड से उदाहरण के साथ अपने विचारों की व्याख्या करने दें:

static void FwdLockGlue_InitializeRoundKeys() { unsigned char keyEncryptionKey[KEY_SIZE]; .... memset(keyEncryptionKey, 0, KEY_SIZE); // Zero out key data. } 

ऐसा लगता है, यहाँ एक त्रुटि कहाँ है?

यह पता चला है, कि एक संकलक, यह देखते हुए कि एक सरणी का उपयोग कहीं और नहीं किया गया है, कोड का अनुकूलन कर सकता है और इसके साथ मेमसेट फ़ंक्शन के कॉल को हटा सकता है। और यह केवल तब होगा जब रिलीज कॉन्फ़िगरेशन का निर्माण होगा। सबकुछ ठीक हो जाएगा, लेकिन कुछ समय के लिए रैम में केवल संलग्न कुंजी ही रहेगी, इस तरह इसे एक घुसपैठिए द्वारा प्राप्त किया जा सकता है। एक वास्तविक सुरक्षा उल्लंघन!

इसके अलावा, यह शायद ही खुद से पाया जा सकता है: डिबगिंग मोड में मेमसेट का कॉल ठीक काम करता है। टेस्ट से भी मदद नहीं मिलेगी ... केवल एक चीज जो बनी हुई है वह है जागरूक होना और इस सुविधा के बारे में खुद याद रखना।

क्या होगा अगर परियोजना डेवलपर्स को इस सुविधा के बारे में पता नहीं है? जब आप बग खोजते हैं तो आपको इस सुविधा के बारे में क्या पता नहीं होता है? विश्लेषक के लिए, इसमें V597 डायग्नोस्टिक है, इसलिए रिपोर्ट देखने पर आपको निश्चित रूप से इस सुविधा के बारे में पता चलेगा।

अंत में, चौथा बिंदु। बग बाउंटी के लिए पीछा करते समय स्थैतिक विश्लेषण का उपयोग करने के सबसे उपयोगी लाभों में से एक गति है। यह सच है कि आप एक शाम में दो, तीन, चार परियोजना की जांच कर सकते हैं - लेकिन यह सब नहीं है।

मुख्य बात यह है कि आप पहले हो सकते हैं। जबकि किसी भी परियोजना में कीड़े खोजने के लिए पुरस्कार की पेशकश की जाती है, परियोजना को परिष्कृत और विकसित किया जाता है। डेवलपर्स नई रिलीज़ और नई सुविधाओं के साथ-साथ त्रुटियों के लिए नए कोड और नए स्पेस को शिप करते हैं। मेरे द्वारा बताए गए दृष्टिकोण का उपयोग करते समय, आप पहले दिन जारी की गई नई त्रुटियों और संभावित कमजोरियों पर लक्षित रूप से विचार कर पाएंगे।

संभावित कमजोरियाँ

एक चौकस पाठक हैरान हो सकता है:

रुको, रुको! एक ओर, आप प्रोग्राम में कोड में त्रुटियों की खोज के बारे में कह रहे हैं, दूसरी ओर - आप संभावित कमजोरियों का उल्लेख कर रहे हैं। बग बाउंटी के संदर्भ में कमजोरियां अधिक दिलचस्प हैं। कृपया स्पष्ट करें कि आपका क्या मतलब है!

इस तथ्य का तथ्य यह है कि त्रुटियां और संभावित कमजोरियां मूल रूप से एक ही चीज हैं। निश्चित रूप से, केवल कुछ त्रुटियां / संभावित कमजोरियां आगे के शोध में वास्तविक कमजोरियां साबित होती हैं। हालांकि, एक हानिरहित गड़गड़ाहट और महत्वपूर्ण भेद्यता कोड में बिल्कुल समान दिख सकती है। " कमजोरियों के पता लगाने में पीवीएस-स्टूडियो कैसे मदद कर सकता है? " लेख कई सामान्य रूप से पहचाने जाने वाले सामान्य बग देता है जो अब कमजोरियों के लिए जाना जाता है।

वैसे, नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (एनआईएसटी) की रिपोर्ट के अनुसार, अनुप्रयोगों में लगभग 64% कमजोरियां सॉफ्टवेयर त्रुटियों से संबंधित हैं, न कि सीधे सुरक्षा से संबंधित मुद्दे।

तो नेटबल को समझें, पीवीएस-स्टूडियो प्राप्त करें और त्रुटियों और सुरक्षा खामियों की खोज करना शुरू करें! CWE के अनुसार वर्गीकरण से यहाँ बहुत मदद मिलेगी।

निष्कर्ष

उम्मीद है, मैंने एक पाठक को उसकी खोज में बहुत मदद की, जो उसे सम्मान और मौद्रिक इनाम दिलाएगा। मुझे यकीन है कि स्थैतिक विश्लेषण इसमें मदद करेगा! याद रखें कि डेवलपर्स के पास आमतौर पर बग का विस्तार से विश्लेषण करने का समय नहीं होता है, इसलिए आपको यह साबित करना होगा कि आपकी खोज वास्तव में कार्यक्रम को प्रभावित कर सकती है। सबसे अच्छा तरीका नेत्रहीन इसे पुन: पेश करना है। और याद रखें: बग जितना अधिक सुरक्षा को नष्ट करेगा - उतना ही आपको इसके लिए भुगतान करना होगा।

खैर, यह बात है। इनाम की तलाश में गुड लक!