Bug Bounty: Advanced Techniques and Automation

Prerequisites:

• Znałość OWASP Top 10 podatności
• Doświadczenie praktyczne z Burp Suite i podstawowymi praktykami bug bounty
• Wiedza na temat protokołów sieciowych, HTTP oraz skryptowania (np. Bash lub Python)

Grupa docelowa

• Doświadczeni łowcy bugów poszukujący zaawansowanych metod
• Badacze bezpieczeństwa i testerzy penetracyjni
• Członkowie zespołu red team oraz inżynierowie bezpieczeństwa

Overview:

From: en To: pl

Bug Bounty: Advanced Techniques and Automation jest pogłębionym omówieniem wysokowpływowych luk, ram automatyzacji, technik rozpoznawczych oraz strategii narzędziowych stosowanych przez elitarnych łowców bugów.

To prowadzone przez instruktora szkolenie na żywo (online lub stacjonarne) jest przeznaczone dla średniozaawansowanych do zaawansowanych badaczy bezpieczeństwa, testerów penetracyjnych i łowców bugów, którzy chcą zautomatyzować swoje procesy, skalować rozpoznanie i odkrywać złożone luki w wielu celach.

Na zakończenie tego szkolenia uczestnicy będą w stanie:

• Automatyzować rozpoznanie i skanowanie dla wielu celów.
• Korzystać z zaawansowanych narzędzi i skryptów używanych w automatyzacji łowienia nagród.
• Odkrywać złożone, oparte na logice luki poza standardowymi skanami.
• Budować niestandardowe procesy dla wyliczania poddzienin, fuzzingu i raportowania.

Format kursu

• Interaktywne wykłady i dyskusje.
• Praktyczne używanie zaawansowanych narzędzi i skryptowania do automatyzacji.
• Przewodniki po laboratoriach skupionych na rzeczywistych procesach łowienia nagród i zaawansowanych łańcuchach ataków.

Opcje dostosowania kursu

• Aby poprosić o dostosowane szkolenie dla tego kursu na podstawie swoich celów łowienia nagród, potrzeb automatyzacji lub wewnętrznych wyzwań bezpieczeństwa, skontaktuj się z nami, aby to ułożyć.

Course Outline:

Zaawansowane Rozpoznanie i Wyliczanie

• Automatyczne wyliczanie poddzieniów za pomocą Subfinder, Amass i Shodan
• Odkrywanie zawartości i brutalne wymuszanie katalogów w dużą skalę
• Rozpoznanie technologii i mapowanie dużych powierzchni ataków

Automatyzacja z Nuclei i Niestandardowymi Skryptami

• Budowanie i dostosowywanie szablonów Nuclei
• Łączenie narzędzi w bash/Python przepływach
• Używanie automatyzacji do znalezienia łatwo dostępnych i nieprawidłowo skonfigurowanych zasobów

Ominięcie Filtrów i WAF

• Triki kodowania i techniki uniknięcia
• Rozpoznanie WAF i strategie ominięcia
• Zaawansowane konstruowanie ładowanych danych i zmywanie

Łowienie na Business Błędy Logiki

• Wykrywanie nietypowych wektorów ataków
• Manipulacja parametrami, złamane przepływy i eskalacja uprawnień
• Analiza błędnych założeń w logice serwerowej

Wykorzystywanie Autentykacji i Kontroli Access

• Manipulacja JWT i ataki na powtarzanie tokenów
• Automatyzacja IDOR (Insecure Direct Object Reference)
• SSRF, otwarte przekierowania i nadużywanie OAuth

Bug Bounty w Dużej Skali

• Zarządzanie setkami celów w ramach programów
• Przepływy raportowania i automatyzacja (szablony, hostowanie PoC)
• Optyymalizowanie wydajności i unikanie wyczerpania

Odpowiedzialne Ujawnianie i Najlepsze Praktyki Raportowania

• Tworzenie jasnych i reprodukowalnych raportów o lukach
• Koordynacja z platformami (HackerOne, Bugcrowd, prywatne programy)
• Nawigowanie po politykach ujawniania i granicach prawnych

Podsumowanie i Krok Dalej