Bagaimana Cara Menjadi Bug Hunter?

Pertama-tama, jika ingin bisa mengetahui suatu kelemahan sistem, tentu yang paling baik adalah jika kita memahami tentang seluk beluk sistem tersebut. Apalagi jika kita paham bagaimana membuat sistem seperti itu, maka akan lebih baik.

Maka, jika ingin mencari bug disuatu aplikasi web akan lebih baik jika kita memahami dan mengerti bagaimana cara membuat aplikasi web. Keahlian dalam coding aplikasi juga akan sangat berguna jika kita mencari bug secara whitebox atau melihat source code aplikasi secara langsung. Kebayang kan jika orang yang tidak mengerti programming disuruh membaca code dan mencari kelemahannya, wkwk.

Kemudian, untuk mendapatkan bug ada baiknya kita mempelajari sistemnya. Langkah ini bisa jadi sangat lama, bisa berberapa jam atau berhari-hari. Semakin kita memahami sistemnya, semakin besar kemungkinan kita mendapatkan bug.

- Cara kedua

mencari bug tujuannya ape? Apa ingin mencari duit? ingin belajar? atau mungkin mo jadi "pahlawan"?

Kalo pengen belajar, bisa saja download aplikasi opensource yg kurang terkenal, biasanya gampang nemuin bugnya. Kalau udh dapat, kirim dah ke exploit-db.

Lu Pengen jadi pahlawan? Bisa gunain google untuk mencari-cari target, misalkan target milik pemerintah. Kalau dah dapet, report ke pengelolanya atau ke BSSN.

Ato pengen cari duit? Bisa ngikut gabung ke bug bounty platform semacam hackerone atau bugcrowd. Disana banyak situs atau aplikasi yang memang pengen ditest keamanannya. Hanya saja, saingannya pasti banyak. Dan harus banyak sabar wkwk.

Kenapa harus banyak sabar (1)? Karena bisa saja kita sudah menghabiskan banyak waktu tetapi tidak menemukan bug sama sekali. Hehe, tergantung skill dan nasib.

Kenapa harus banyak sabar (2)? Karena bisa saja kita dah kerja lama dan bisa menemukan bug, trus ngirim report, ternyata report kita di kasih status "DUPLICATED" alias ada orang lain yang sudah menemukan terlebih dahulu. Nyesek kan, apalagi jika bug tersebut nilainya gede. Bisa-bisa patah arang patah semangat ga mau lagi cari bug.

Kenapa harus banyak sabar (3)? Karena kita sudah menemukan bug, kita report dan diterima (tidak duplicate), ternyata sama si usernya dikatakan bahwa bug yang kita temukan tingkatnya low (padahal menurut kita medium atau high), atau malah cuman dikasih status informative atau malah N/A (padahal menurut kita minimal low).

Dan, siap-siap untuk "adu argumen" dengan si user, agar bug yang kita temukan dinilai sesuai dengan yang kita harapkan (low/medium/high/critical) .

- Cara Ketiga 

Bagaimana caranya menjadi "Bug Hunter"?

Bug hunter yang seperti ini ya? Mungkin bisa ditanyakan kepada makhluk yg berbulu hehhehe. Maaf bercanda

Gambar dicomot dari google.

Jika yang dimaksud bug hunter adalah orang yang kerjaannya mencari bug di sistem komputer atau aplikasi. Maka…

Disclaimer : 

1. saya tidak pernah mengenyam pendidikan khusus di bidang keamanan komputer dsb, mungkin pernah mengikuti beberapa kali mata kuliah terkait keamanan komputer tetapi itupun sangat minim.

2. saya hanya melakukan bug hunting dikala senggang dan lagi mood

Jadinya, jawaban saya ini akan sangat subjektif dan hanya sesuai kapabilitas saya.

Bagaimana caranya menjadi bug hunter?

Pertama-tama, jika ingin bisa mengetahui suatu kelemahan sistem, tentu yang paling baik adalah jika kita memahami tentang seluk beluk sistem tersebut. Apalagi jika kita paham bagaimana membuat sistem seperti itu, maka akan lebih baik.

Maka, jika ingin mencari bug disuatu aplikasi web akan lebih baik jika kita memahami dan mengerti bagaimana cara membuat aplikasi web. Keahlian dalam coding aplikasi juga akan sangat berguna jika kita mencari bug secara whitebox atau melihat source code aplikasi secara langsung. Kebayang kan jika orang yang tidak mengerti programming disuruh membaca code dan mencari kelemahannya, hehe.

Kemudian, untuk mendapatkan bug ada baiknya kita mempelajari sistemnya. Langkah ini bisa jadi sangat lama, bisa berberapa jam atau berhari-hari. Semakin kita memahami sistemnya, semakin besar kemungkinan kita mendapatkan bug.

Kedua, mencari bug tujuannya apa? Apakah ingin mencari duit, ingin belajar, atau mungkin ingin jadi "pahlawan"?

Kalau pengen belajar, bisa saja download aplikasi opensource yang kurang terkenal, biasanya gampang menemukan bugnya. Kalau sudah dapat, kirim deh ke exploit-db.

Pengen jadi pahlawan? Bisa gunakan google untuk mencari-cari target, misalkan target milik pemerintah. Kalau dah dapet, report ke pengelolanya atau ke BSSN.

Atau pengen cari duit? Bisa ikutan gabung ke bug bounty platform semacam hackerone atau bugcrowd. Disana banyak situs atau aplikasi yang memang pengen ditest keamanannya. Hanya saja, saingannya pasti banyak. Dan harus banyak sabar hehe.

Kenapa harus banyak sabar (1)? Karena bisa saja kita sudah menghabiskan banyak waktu tetapi tidak menemukan bug sama sekali. Hehe, tergantung skill dan nasib.

Kenapa harus banyak sabar (2)? Karena bisa saja kita dah kerja lama dan bisa menemukan bug, trus ngirim report, ternyata report kita di kasih status "DUPLICATED" alias ada orang lain yang sudah menemukan terlebih dahulu. Nyesek kan, apalagi jika bug tersebut nilainya gede. Bisa-bisa patah arang patah semangat ga mau lagi cari bug.

Kenapa harus banyak sabar (3)? Karena kita sudah menemukan bug, kita report dan diterima (tidak duplicate), ternyata sama si usernya dikatakan bahwa bug yang kita temukan tingkatnya low (padahal menurut kita medium atau high), atau malah cuman dikasih status informative atau malah N/A (padahal menurut kita minimal low).

Dan, siap-siap untuk "adu argumen" dengan si user, agar bug yang kita temukan dinilai sesuai dengan yang kita harapkan (low/medium/high/critical) .

-Cara Ketiga

seringkali bug yang kita dapatkan hanya akan dinilai dari sejauh mana kita bisa mendemonstrasikan bagaimana kita melakukan exploitasi terhadap bug tersebut. Sebagai contoh, saya pernah menemukan bug HTML injection yang sangat simple pada fitur log aplikasi, hanya bisa menyisipkan 8 karakter yang unfiltered. Pada awalnya, saya hanya mendemokan dengan memasukkan tag komentar HTML <!- - sehingga akan membuat tampilan page terpotong. Saya pikir bug ini hanya akan dapat level low atau malah informative. 

Setelah saya oprek2 lagi, ternyata saya bisa mendemokan XSS, sehingga akhirnya bug tersebut mendapatkan level medium.

Mengapa hanya dinilai dari sejauh mana kita bisa mendemonstrasikan cara mengexploitasi bug tersebut? Karena mungkin saja si user juga tidak paham bagaimana meng-escalate sebuah bug. Jadinya terima bersih dari sang bug hunter, hehehe. Atau mungkin mereka paham, tapi tidak pengen memberitahu sang bug hunter (ga penting juga, ngapain harus repot-report).

Tapi, saya pernah membaca sebuah hacking report (entah facebook atau google), dimana si user malah memberitahukan ke bug hunter bahwa bug yang dia temukan bisa di-escalate lebih lanjut. Dan memberikan reward yang besarnya lebih besar dari nilai bug yang tanpa escalation.

-Cara ke Empat!?

harus banyak belajar, jangan pernah berpuas diri dengan skill yang dipunya. Sering-sering baca teknik hacking orang lain, misalkan baca-baca disini https://hackerone.com/hacktivity . Atau baca di sini https://www.exploit-db.com/ kemudian pelajari bagaimana orang lain menemukan bug, kemudian dipraktekkan.

Sekian cara nya dari kami ClownSecTeam Kami Akhiri Assalamualaikum wr.wb

Semangat terus pantang menyerah sebelum lu ngecapai in nya!