Первый баг баунти за полгода — делюсь цифрами и граблями

[tvictor10]

Полгода ковыряю программы на HackerOne по вечерам. Итог: 11 валидных репортов, заработал 2300$, из них один IDOR на 1500. Куча дублей и информативов. Если интересно — спрашивайте, отвечу.

[grumpylurker]

А как ты выбираешь программу? Я открываю любую и просто теряюсь, всё кажется уже проверенным до меня.

[vasya1]

Беру свежие программы и новые фичи в старых — там меньше затоптано. Не лезу в Google/PayPal, туда тысячи глаз смотрят. Узкий нишевый SaaS часто золото.

[k8s2000]

IDOR и broken access control до сих пор кормят больше всего, по статистике HackerOne это топ категория по выплатам уже не первый год. XSS почти везде задушили, а вот логика авторизации ломается постоянно.

[grumpylurker]

Подтверждаю, бизнес-логика и BOLA рулят. Автосканеры это не находят, поэтому конкуренции меньше. Burp + руки + понимание домена приложения.

[debianmaster]

2300 за полгода вечерами это вообще как, окупается по времени или чисто фан и обучение?

[leochir]

Честно — как замена зарплате пока нет, в час выходит немного. Но как прокачка скилла и портфолио бесценно, плюс адреналин когда триаж ставит Resolved. Воспринимаю как платное обучение которое иногда платит мне.

[torch22]

Спасибо за честность, а то в твиттере все только скрины пятизначных выплат постят. Реальная картина мотивирует больше.

[tsav]

@vasya1, про нишевый saas плюсую, но там и платят порой копейки, и триаж месяцами молчит. свежие фичи это да. я в прошлом году на бете нового апи одного финтеха нашел два idor подряд за неделю, пока остальные ченджлог дочитывали. правило простое: иди туда где код только что поменялся.

[heckman]

@leochir, замена зарплате это вообще миф для 95% багхантеров. посчитай реально часы на рекон и чтение доков, подели 2300 на них, выйдет дай бог минималка по региону. но как учеба не спорю, на живых таргетах скилл растет быстрее чем на htb лабах. главное не вестись на твиттерные скрины пятизнаков, там выживший рассказывает.