7 conseils pour devenir un·e chasseur·se de bug bounty accompli·e

La chasse aux bug bounties consiste, pour des chercheurs en sécurité ou des hackers, à rechercher activement et à identifier des failles de sécurité ou « bugs » dans des applications web, des appareils IoT, des applications mobiles, voire des smart contracts. Ces vulnérabilités peuvent être relativement simples, comme le cross-site scripting (XSS) ou l’injection SQL, ou bien plus complexes et critiques, au point de compromettre potentiellement la sécurité et la confidentialité des données des utilisateurs.  

Comment fonctionne la chasse aux bugs ?

Les programmes de chasse aux bugs permettent aux chercheurs en sécurité d’identifier et de signaler des vulnérabilités de manière responsable et éthique. L’objectif principal est d’aider les organisations à renforcer leur sécurité en identifiant et en corrigeant les vulnérabilités avant que des hackers malveillants ne puissent les exploiter. Cela se fait généralement de deux façons :

1. Programmes de divulgation de vulnérabilités : Lorsqu’un chercheur en sécurité découvre une vulnérabilité, il la signale à l’organisation ou à l’entreprise propriétaire du système concerné, au lieu de l’exploiter ou de la rendre publique. L’organisation a alors la possibilité de corriger le problème avant qu’il ne puisse être utilisé à des fins malveillantes. La divulgation responsable est souvent résumée par la formule « si vous voyez quelque chose, signalez-le ». Il s’agit simplement d’un canal de communication entre les hackers et les organisations. Cette approche ne donne généralement pas lieu à une récompense pour le hacker. 

2. Programmes de bug bounty : Comme dans un programme de divulgation responsable, les hackers découvrent une vulnérabilité et la signalent à l’organisation propriétaire du système concerné, sans la rendre publique. En échange, ils reçoivent une récompense financière, souvent appelée « bounty », pour leur travail. Les récompenses sont attribuées en fonction de la nouveauté des découvertes. Autrement dit, si plusieurs personnes signalent la même vulnérabilité, seule la première à l’avoir signalée reçoit la récompense. 

Je recommande aux personnes qui débutent dans la chasse aux bugs de commencer par un programme de divulgation de vulnérabilités (VDP) avant de participer à un bug bounty, et ce pour plusieurs raisons.

Tout d’abord, les hackers débutants sont désavantagés dans les programmes publics de bug bounty, car ceux-ci sont saturés et attirent souvent des hackers plus expérimentés. Vous aurez donc moins de chances de trouver des vulnérabilités valides et plus de risques de soumettre un doublon. En d’autres termes, vous avez davantage de chances de faire un signalement valide dans un VDP que dans un programme de bug bounty. 

Ensuite, les VDP vous permettent de définir votre propre méthodologie de test et de découvrir vos points forts. Participer à un VDP vous familiarisera avec les différents types de vulnérabilités, vous apprendra comment les aborder et vous permettra de découvrir les bases de la reconnaissance et de l’automatisation. 

L’intérêt de participer à un VDP plutôt qu’à un programme de bug bounty, c’est d’apprendre en pratiquant et de vivre une expérience positive qui vous donnera de l’élan. Alors, si vous lisez cet article et que vous débutez dans les bug bounties, gardez ces conseils à l’esprit ! 

Maintenant que nous avons vu les avantages et les inconvénients des programmes de bug bounty et de divulgation de vulnérabilités, passons aux 10 meilleurs conseils pour devenir un·e chasseur·se de bug bounty accompli·e :

7 conseils pour chasser les bug bounties

Trouvez votre spécialité 

Trouver votre spécialité joue un rôle important dans votre réussite en tant que hacker. Elle peut concerner les différentes piles technologiques sur lesquelles vous travaillez ou les types de vulnérabilités que vous préférez rechercher. Personnellement, j’aime rechercher les vulnérabilités de type cross-site scripting (XSS), server-side request forgery (SSRF) et insecure direct object reference (IDOR). On peut trouver ces vulnérabilités dans n’importe quelle pile technologique, mais j’évite souvent de travailler sur la plupart des applications développées en .NET.

Découvrez ce qui vous passionne le plus, apprenez tout ce que vous pouvez sur le sujet et confirmez votre spécialité en recherchant ces vulnérabilités sur des cibles réelles.

Ne cessez jamais d’apprendre 

Le hacking a une contrainte (ou une chance ?) : il faut constamment apprendre de nouvelles techniques et se tenir au courant des dernières technologies. À mesure que de nouvelles technologies et de nouveaux frameworks apparaissent, vous devrez apprendre de nouvelles façons de les compromettre. Souvent, les causes profondes des vulnérabilités ressemblent à celles déjà étudiées, mais chaque découverte apporte des pistes créatives pour aller plus loin. 

Tenez-vous au courant des nouvelles technologies et des recherches en sécurité présentées lors des conférences, continuez à perfectionner vos compétences et à approfondir vos connaissances tout au long de votre parcours de hacker.

Restez régulier·ère

Comme dans bien des domaines, la régularité est essentielle ! Il vous arrivera de peiner à trouver des vulnérabilités, ce qui peut être décourageant. Mais n’oubliez pas : cela fait partie du processus, et tous les hackers passent par là. 

Profitez de cette expérience pour réévaluer votre stratégie et approfondir vos connaissances. Votre régularité finira par payer, surtout lorsque vous recommencerez à trouver des vulnérabilités. 

Collaborez et rejoignez la communauté

Rejoindre une communauté vous aide à rencontrer des personnes qui partagent vos centres d’intérêt et à accéder à un réseau de pairs auprès desquels apprendre. Collaborer avec les bonnes personnes vous permettra de découvrir comment d’autres abordent des situations similaires et les surmontent. Vous pourrez, par exemple, apprendre comment elles s’y prennent face à un type de vulnérabilité précis ou comment elles les recherchent dans certaines fonctionnalités. 

Ces communautés peuvent être locales ou en ligne. Créez un compte sur Twitter et suivez des hackers qui vous inspirent. Recherchez des serveurs Discord susceptibles de vous intéresser. Participez à une conférence sur la sécurité près de chez vous et faites des rencontres !

Automatisez les tâches fastidieuses (pour gagner en efficacité) 

L’automatisation peut nous faire gagner beaucoup de temps sur les tâches fastidieuses. Cela ne signifie pas nécessairement qu’il faut remplacer tout votre flux de travail par des outils et des scripts personnalisés : l’idée est de trouver des moyens de gagner en efficacité. Créer des raccourcis clavier, des alias Bash ou des scripts personnalisés vous aidera non seulement à être plus productif, mais aussi à vous concentrer sur les tâches les plus importantes.

Si vous utilisez un outil en ligne de commande plusieurs fois par jour, créez un alias ou un script pour éviter de retaper sans cesse la même commande.

Sortez de votre zone de confort

Il est naturel de rechercher le confort, mais repousser ses limites peut vous amener à découvrir des sujets inattendus qui vous passionneront. Sortir de votre zone de confort vous donnera de nouvelles occasions d’acquérir des compétences qui enrichiront votre parcours de hacker. 

Si vous vous ennuyez ou vous lassez de votre spécialité actuelle, n’hésitez pas à vous tourner vers un tout nouveau sujet. J’ai commencé par pirater de grandes applications web, puis j’ai appris la reconnaissance et l’automatisation. Récemment, je me suis lancé dans le piratage d’applications de bureau et mobiles.

Faites une pause 

Ce dernier conseil est extrêmement important ! Le succès peut devenir addictif et il est facile de perdre de vue les autres aspects de sa vie. N’hésitez donc pas à prendre du temps pour vous. Une pause vous permettra aussi de digérer toutes les informations que vous avez apprises ou de trouver des solutions aux vulnérabilités sur lesquelles vous travaillez. 

N’ayez donc pas peur de vous éloigner de votre ordinateur. Prenez le temps de profiter de la vie, que ce soit quelques heures, quelques jours ou même une semaine entière. Mais pensez à reprendre là où vous vous étiez arrêté·e.