Как заработать на квартиру, находя чужие ошибки?

Представим себе мир, где ошибки других людей могут приносить миллионы. Для некоторых это не фантазия, а реальность. brain и kedr – два молодых исследователя, построившие свой путь к успеху на баг-баунти. Первый всего за год вошел в топ-1 площадки Standoff Bug Bounty и обнаружил критическую уязвимость, оцененную более чем в 4 млн руб. Второй же стабильно получает крупные вознаграждения, не входя в тройку лидеров. Именно он заработал самую большую выплату на платформе – 4,97 млн руб. Их истории показывают, что хобби может превратиться в бизнес, а настойчивость и любопытство – стать источником стабильного дохода.

– С чего все начиналось?

brain: С малого возраста я интересовался ИТ-сферой, программированием, устройством Android-игр и даже участвовал в бета-тесте мобильного порта одной игры. Это был в некотором роде мой первый проект по тестированию. После окончания бакалавриата мне повезло сразу попасть в пентест. За время учебы я хоть и не набрался достаточной практики, но отлично научился понимать природу многих уязвимостей и методы их эксплуатации. Таким образом, удачно сложились два фактора, причем образование было не менее значимым.

kedr: Осознанного выбора, как такового, не было. Сначала в моей жизни появился интерес к белому хакингу, и только потом – баг-баунти. Кажется, что впервые об этой сфере я прочитал на Habr. Так и началось: зарегистрировался на HackerOne, интуитивно выбирал программы и пытался что-то найти.

– Какой у вас подход к поиску уязвимостей, чтобы достигать высоких результатов?

brain: В самом начале пути нужно искать как можно больше разных валидных багов, не зацикливаясь на критичности, набивать руку и пробиваться на закрытые ивенты. Потом можно смещать фокус в сторону качества найденных уязвимостей. Если проанализировать мои отчеты, то можно увидеть, что сейчас я сдаю намного больше критически опасных уязвимостей, чем багов с низким уровнем риска.

Занимаюсь поиском уязвимостей в свободное время: это может быть час в день, час в неделю, а могу и целый день посвятить этому. По каждому скоупу я выделяю себе 2–3 недели до первого бага, а далее – по собственным ощущениям. Если чувствую, что я полностью просмотрел скоуп, могу отложить его на какое-то время.

kedr: Мне помогают базовые навыки программирования и общее понимание того, как устроен софт. Играет роль внутренняя уверенность в том, что я найду баг. Важна и способность спокойно выдерживать долгие периоды тишины, когда результатов нет. Раньше сильным мотиватором также был азарт: хотелось получить такие крупные вознаграждения, как у топовых исследователей. С такой мотивацией я изучал буквально все, что хоть как-то связано с баг-баунти. В целом мой подход остается довольно неструктурированным. Простые находки я не игнорирую, хотя скорость их поиска не самая высокая. С глубоким анализом обычно я иду туда, где удается обнаружить достаточное количество пазлов, чтобы предположить реальный вектор.

– Какая выплата запомнилась больше всего по истории, которая за ней стоит?

brain: К каждому багу я отношусь как к некоторому достижению. Из последних могу назвать критически опасную уязвимость, которую я нашел в крупной программе. Она принесла мне больше 4 млн руб. Пускай баг эксплуатировался несложно, но я потратил полгода на то, чтобы дойти до его простейшего использования. Поэтому самое главное – искать.

kedr: Я обнаружил одну из самых опасных уязвимостей – удаленное выполнение кода (RCE) и получил за нее вознаграждение. Сумма была вполне хорошей, но она мне показалась заниженной, учитывая последствия возможной эксплуатации. Я решил написать через площадку вопрос вендору – не могла ли произойти ошибка? В итоге клиент ответил очень быстро: извинился, признал, что действительно вышла накладка, и удвоил выплату.

– Как программа баг-баунти изменила вашу жизнь?

brain: Участие в баг-баунти позволило мне не только купить квартиру и начать путешествовать, но и, что самое ценное, ощутить, что я действительно реализую свой потенциал. Я нашел дело, связанное с моими интересами, от которого я получаю удовольствие, – и при этом оно приносит ощутимый доход. Если бы я однажды не решился попробовать себя в баг-баунти, то, скорее всего, у меня не было бы четкой цели и понимания, к чему стремиться.

kedr: С одной стороны, это принесло мне свободу, и это очень нравится. С другой, когда ты полностью живешь на баг-баунти, приходится самостоятельно организовывать свое время и планировать режим хантинга. Слишком много свободного времени – не всегда так хорошо, как может показаться на первый взгляд. Еще один важный момент – осознание значимости того, чем занимаешься. В моем портфолио есть уязвимости, которые были критическими и могли бы негативно повлиять на реальные процессы в компаниях. То, что удалось найти такие уязвимости, приносит ощущение значимости – понимаешь, что сделал что-то по-настоящему важное.

– Какие цели ставите перед собой в будущем?

brain: Хочу сосредоточиться на повышении качества своих отчетов и сделать процесс поиска ошибок еще более увлекательным.

kedr: Для меня важно оставаться исследователем, который стабильно находит серьезные уязвимости и получает за это хорошие выплаты. Какое-то время я уже был на позиции топ-1, получил немного узнаваемости, и этого мне более чем достаточно.

– Если бы вы вернулись в прошлое, какой совет дали бы себе как начинающему исследователю?

brain: Я бы посмотрел на ситуацию так: "А ведь этот парень и не подозревает, что через год у него все получится". За этот год я вложил огромное количество сил, чтобы оказаться там, где нахожусь сейчас. Думаю, все ошибки были не зря. Если бы я больше отдыхал тогда, писал бы я сейчас этот текст? Был бы в топе? Знали бы меня в комьюнити? Наверное, я бы ничего не сказал, но про себя подумал: "Дорогу осилит идущий".

kedr: Сказал бы одну-единственную вещь, которой я пренебрегал и потому, думаю, многое упускал: "Не стесняйся взаимодействовать с комьюнити".

– Что самое ценное в комьюнити баг-хантеров?

brain: Люди! Это крутые специалисты, готовые объединяться во имя добра и даже в условиях конкуренции помогать друг другу.

kedr: Возможность общаться на своем языке и обмен опытом.

– В чем сила баг-баунти?

brain: В знании. Оно рождает самый ценный опыт, а опыт без знания теряет смысл.

kedr: В возможности кардинально изменить жизнь.

Материал подготовлен при содействии Positive Technologies и команды платформы Standoff 365