Bug Bounty Tecrübelerim – Son 3 Ay

Merhaba dostlarım,

Bu yazımda sizlere son 3 ayımdaki bug bounty tecrübelerimden bahsedeceğim.

Öncelikle bug bounty, teknolojik sistemlerde bulunan güvenlik zafiyetlerinin uygulama yayıncılarına raporlanarak karşılığında ödül talep edilmesi programıdır.Yurtdışında çok önemli bir pozisyonda olan bug bounty yani hata avcılığı programı tahmin ettiğiniz üzere Türkiye’de ilgi görmemekte. 🙂

HackerOne’a kayıt olarak hata avcılığını ön planda tutan yayıncılarla kolay yoldan muhattap olabilir veya direk yayıncının internet sitesinden ya da e-mail gibi başka yollarla bulduğunuz güvenlik zafiyetlerini raporlayabilirsiniz.

Şimdi size en önemli gördüğümden en az önemli gördüğüm son raporlarımı ve tecrübelerimi sıralayacağım.

1)- ekonomi.gov.tr (TC Ekonomi Bakanlığı)

Bir SQL injection güvenlik zafiyeti bulmuştum ve e-mail yoluyla zafiyeti raporladım, güvenlik zafiyeti kapatıldı fakat e-mail veya başka bir yolla geri dönüş yapılmadı.Alışkın olduğum bi durum hehe. 🙂

2)- Türkiye’nin En Büyük Bankalarından Birisi

İlgili bankada bulmuş olduğum zafiyetle de sitedeki yetkili personellerin hesaplarına izinsiz giriş yapılabiliyor veya onları yanıltıcı sayfalara yönlendirebiliyorduk. Yasal nedenlerden dolayı bankanın adını veremeyeceğim.

Raporlamam sonucu güvenlik zafiyeti kapatıldı ve karşılığında teşekkür e-mail’i aldım.Hiç yoktan iyiydi.

3)- facebook.com (Facebook)

Facebook’a da bir güvenlik zafiyeti bildirdim fakat fazla önemsenmedi.Yetersiz İngilizce bilgim,güvenlik operatörü muhattabım veya anlatış şeklimden birisi yanlış olsa gerek ki raporlamış olduğum hata bug bounty kapsamına alınmadı.Halbuki gerçek ve ciddi bir güvenlik zafiyetiydi,hedef hesap kapatılabiliyor ve hedef hesap adına birtakım işlemleri uzaktan halledebiliyorduk.Yorumlarda ilgi gösterirseniz Facebook’a yolladığım PoC videosunu sizinle paylaşabilirim. 🙂

Maalesef bug bounty kapsamında değerlendirilmedi.

4)- turk.net (TurkNet)

Türkiye’nin önde gelen internet servis sağlayıcılarından birisi olan TurkNet’e de bildirimde bulundum,İşBank’a benzer bir durum söz konusuydu yetkililerin hesaplarına erişim sağlanıp kötü amaçlı sayfalara yönlendirme yapılabiliyordu, firmaya ilettim fakat konunun üstüne düşmedikleri için ne zafiyeti kapattılar ne de geri dönüş yaptılar. 😀

5)- yoncu.com (Yöncü Bilişim)

Yöncü Bilişim’e de sunucu güvenliği konusunda yardım etmiştim ve aylık değeri 250 TL olan sunucularından 1 yıllık hediye etmişlerdi.

6)- wmaraci.com (WMAracı)

Kendilerine 6 ay önce medium seviyede bir güvenlik zafiyeti bildirdim, zafiyet kapatıldı ve 1 aylık platin üyelik hediye edildi,aynı zamanda 22.10.2017 tarihinde bir tane daha raporladım ve 1 yıllık bronz üyelik hediye edildi.

7)- r10.net (R10)

Kendilerine medium seviyede bir güvenlik zafiyeti bildirdim ve 6 aylık silver üyelik hediye edildi.

8)- yaani.com.tr (Yaani)

Turkcell’in yeni arama motoru girişimi Yaani’ye de medium seviyede bir güvenlik zafiyeti bildirdim,henüz geri dönüş yapılmadı ama hala beklemedeyim.

 

Son 1-2 aydır vaktimin olmaması sebebiyle hata avcılığına da ara verdim,geri dönmeyi de düşünmüyorum.Bu 3 aylık dönem için aklıma gelen siteler yukarıdakiler.Özellikle İşBank, yoncu, wmaraci ve r10’a teşekkür ediyorum. 🙂

Bulduğunuz güvenlik zafiyetlerini bildirerek ödül kazanabilirsiniz.Yeni bulduğum güvenlik zafiyetlerini blog’umda paylaşacağım.

Hepinize güvenli günler kardeşlerim.

Yazıya gelen yorumlar:

Yorum yok.

Bir cevap yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Yazı URL