YusukeNakajimeのブログ

バグバウンティ初心者が最初の3カ月で読んだ記事や書籍のご紹介

はじめに

こんにちは。nakajimeeeeです。

バグバウンティを始めて、はや3カ月が経ちました。私の所属している会社ではプライベートのバグバウンティプログラムを開催しており、主にそのプログラムでバグを探索をしています。バグの詳細は公開できませんが、2024年4月 ～ 2024年7月の3カ月間で以下の通り、11件の脆弱性が認定されました。


手を動かしてバグ探索することで、オフェンシブなセキュリティの知識が身につき、かつ、報奨金がもらえることもあり、社内でバグバウンティプログラムへの参加を勧めています。ですが、興味を持ってくれる方は多いものの、実際に参加するのはハードルが高いようで、なかなか参加まで至らないというのが現状です。また、周囲の方からは、「何から始めればよいかわからない」という声を多数聞きました。そこで、私がこの3カ月で読んだ記事・書籍のうち有益と思ったものについて、共有させていただきます。まずはここで紹介する記事から読んでみることをお勧めします。この記事がバウンティプログラムへの参加ハードルを低くすることに貢献すれば幸いです。

 

 

対象読者

  • セキュリティ初学者
  • オフェンシブなセキュリティに興味のある方
  • バグバウンティに興味はあるが、何から始めればよいかわからず困っている方

免責事項

  • 本記事の内容は、悪用を推奨するものではありません。
  • ここで紹介する脆弱性については、網羅的ではありません。個人的な趣味嗜好で偏りがあることはご了承ください。
  • 脆弱性によって、紹介している記事数が大きく異なります。これは私が重点的に取り組んでいるものかどうかに寄ります。この点はご了承頂けると幸いです。

バグバウンティ開始前の事前知識

  • CISSPなどの資格取得を通じて、代表的な脆弱性の概要を把握していた
  • HackTheBoxやOSCPの受験を通じて、特にSQLインジェクションやファイルアップロードなどの脆弱性については、具体的な攻撃方法を知っていた
    • これはあくまで持論ですが、ウェブアプリケーションの脆弱性を見つけるにあたって、この経験はそこまで役に立っていない印象です
    • そもそも、HackTheBoxやOSCPにおいては、ウェブアプリケーションなどをマシンへの初期侵入の足掛かりとして、最終的にそのマシンの管理者権限を取得することが目的です。したがって、リモートコード実行等の深刻な脆弱性が対象であり、バグバウンティで報告することの多いXSS等の脆弱性は対象外であることが多いです。

参考となった記事・書籍

私の基本的な考え方は、ウェブアプリケーション診断の代表的なツールであるBurpSuiteの開発元PortSwiggerのAcademyで一通り勉強して、あとは様々な事例を参考にしてバグ探索していく、というものです。ですので、紹介する記事もPortSwiggerのものが多く含まれています。まずは、PortSwiggerのAcademy（Labも含む）から始めるのは個人的にすごくお勧めです。

 

まずはじめに読むと良い記事・書籍

辞書的に使うと良い記事・書籍

各脆弱性ごとに参考にした記事・書籍

最後に

自分がこれまで読んできた記事や書籍の中で、有益と思ったものを列挙してみました。この記事が、バグバウンティへの参加ハードルを低くすることに貢献できれば、とても嬉しく思います。