Ana sayfa Yazılar Sızma testi ile bug bounty aynı iş midir
Sızma testi ile bug bounty aynı iş midir
Aynı iş değildir. Sızma testi, belirli adreslerde, belirli sürede, imzalı formla yapılır ve yönetici özeti ile teknik raporla biter. Bug bounty, programa katılan kişilerin kuraldaki açığı bildirmesidir. Ödül, programın kendi metnindedir. Penetrasyon testi de süre ve kapsamla kapanan bir iştir. Ödül tahtasının adı değildir.
Kısa sonuç
- Sızma testinde kim bakacak, formda bellidir. Bounty’de bakan kişi önceden tek tek seçilmez.
- Bounty’de bildirilmeyen alan, bakılmamış sayılır. Sızma testinde bakılamayan satır açık kalan diye yazılır.
- Ödül, bulgunun öneminin yerine geçmez.
- İkisi aynı anda yürürse kurallar çakışmasın diye ayrıca yazılır.
Sızma testi kapsamı kapatır
Formdaki her satırın sonucu vardır. Bulgulu, elendi, temiz, uygulanamaz veya açık kalan. Kanıtı bitmeyen satır temiz yazılmaz. Süre bitince o tur kapanır. Yeni keşif, biten turun içine gizlenmez.
Teslim iki parçadır. Yönetici özeti karar vericiler içindir. Teknik rapor, düzeltmeyi yapacak ekip içindir. Ayrıntı raporda ne yazar yazısındadır.
Bug bounty başka bir kapıdır
Program, hangi adresin ödül kapsamında olduğunu kendi sayfasında yazar. Sayfada olmayan adrese giden kişi, sizin formunuzun iznini taşımıyor olabilir. Ödül tutarı, CVSS veya CWE yerine geçmez. Bildirilmeyen kontrol, elendi demek değildir. Kimse bakmamıştır.
OWASP WSTG, testi tekrarlanabilir ve kayıtlı tutmayı hedefler. Açık uçlu bir çağrı, o kaydın yerine geçmez. Kayıt istiyorsanız işi formla kapatırsınız.
Birlikte kullanılacaksa
Bounty, formdaki turun yerine yazılmaz. Tur bitmiş, düzeltme bitmiş, sonra programa açılan bir yüzey ayrıca konuşulur. Aynı gün hem ödül avcısı hem imzalı test aynı adresteyse, hız sınırı ve durdurma kuralı ikisine de yetmeyebilir. Bunu baştan ayırın.
İmzalı tur için kapsam formu ve iletişim durur. Tarama çıktısının neden rapor olmadığı ayrı yazıdadır.