作者：Shubham Shah，澳大利亞安全研究人員，專注于程序開發(fā)、滲透測試和黑客技術(shù)。2016年初被安全媒體評為10大著名“漏洞賞金獵人”之一。本文原名《高效漏洞挖掘：120天120個漏洞》
2016年初，我就給自己設(shè)定了一個目標(biāo)：在這一年中，平均每天挖掘出一個漏洞。這個決定完全是一種自我挑戰(zhàn)。我想回到過去 在 Atlassian 公司時候的 狀態(tài)，當(dāng)時，我曾經(jīng)在一個月內(nèi)每天都發(fā)現(xiàn)了一個漏洞，這些漏洞涉及Atlassian公司所有外部程序。
1 挖洞計劃介紹&動機
1月初，我就積極準(zhǔn)備進行我的高效漏洞挖掘計劃，剛開始，我曾在一天之內(nèi)發(fā)現(xiàn)了多個漏洞，然而，隨著時間的推進，我覺得在一天之內(nèi)找到多個漏洞是件非常耗費腦細(xì)胞的事，而且在挖洞過程中，我經(jīng)常感到身心疲憊。
最終，經(jīng)過120天之后，我結(jié)束了這種“日均一洞”的計劃。但是，我對自己在漏洞挖掘方面多少有了些體會：
(1)尋找一些新的意想不到的技術(shù)方式去拿下目標(biāo)
(2)把關(guān)注重點放在那些自己感興趣的漏洞上面
(3)通過漏洞獎勵平臺結(jié)交從事安全研究的朋友或同齡群體
2 我發(fā)現(xiàn)的漏洞
以下就是我在120天之內(nèi)挖掘的121個漏洞列表一覽：(全部漏洞請參看博客 Table1 )
3 分析
以下統(tǒng)計表是對我發(fā)現(xiàn)的121個漏洞的大致分類，另外，還有一些雜項漏洞沒有包含在內(nèi)
出于漏洞獎勵平臺的工作機制，很多提交漏洞可能還處于緩解開發(fā)或保密階段。待所有漏洞被修復(fù)公開之后，我會繼續(xù)更新這些信息。
4 方法論
圍繞信息系統(tǒng)實體進行漏洞挖掘
“資產(chǎn)”實體可以定義為信息系統(tǒng)的所有組成項，包括：應(yīng)用程序、目錄、文件、文件夾、可執(zhí)行程序或服務(wù)器。當(dāng)然，也包含大多數(shù)云平臺服務(wù)，如VoIP、文件共享、網(wǎng)絡(luò)會議等。
對“資產(chǎn)”實體的信息收集，是一個非常有趣的過程。例如，當(dāng)我正對一家公司使用的軟件開發(fā)組件進行信息收集時，碰巧，該公司的某位開發(fā)人員在1 小時之前就不小心把這些組件都上傳到網(wǎng)上了，哎呀，對我來說，這是多么美妙的事情啊!
編寫自己的漏洞挖掘工具
為了保持每天挖掘一個漏洞的節(jié)奏，我需要更好的信息系統(tǒng)識別工具，畢竟，想要在一些漏洞獎勵項目中發(fā)現(xiàn)漏洞已經(jīng)變得越來越難了，想要獲得高額獎勵更是難上加難。
為此，我和朋友 Nathan Wakelam 就信息系統(tǒng)的識別方法進行了一些討論。最終，我們一起編寫了三個相關(guān)工具：
Altdns : 通過域名前綴序列變化和排列發(fā)現(xiàn)子域名的工具
Assetnote : 通過監(jiān)視跟蹤被動API數(shù)據(jù)發(fā)現(xiàn)子域名
Bugbounty Dash : 顯示漏洞獎勵項目當(dāng)前的狀態(tài)信息
目前，Altdns已經(jīng)獲得了同行的一些認(rèn)可。
與 值得信任的安全研究人員一起工作
我覺得有效的漏洞挖掘還需要一些外部氛圍，如果條件允許，可以與那些 值得信任的安全研究人員或漏洞挖掘者一起工作。 畢竟，擁有一個同路的伙伴會讓你覺得有動力。我非常有幸加入了一群出色的漏洞挖掘者當(dāng)中，他們有我的同事和好朋友。當(dāng)我處于挖洞瓶頸期的時候，我身邊參與漏洞項目的朋友會和我分享他們的新方法和新思路，這能讓我繼續(xù)充滿信心。當(dāng)其它人發(fā)現(xiàn)了一些我所不能發(fā)現(xiàn)的漏洞，我都把這當(dāng)成是一種激發(fā)自己學(xué)習(xí)的動力。還有就是，不要把共同參與漏洞獎勵項目的同事和朋友當(dāng)做競爭對手，否則，你永遠(yuǎn)都得不到進步。
提高漏洞發(fā)現(xiàn)視角
有時候，應(yīng)該學(xué)著把漏洞發(fā)現(xiàn)視角提高到更高、更廣的水平。我知道有一些研究人員就是這樣做的，如 @phwd ，他甚至通過參加FACEBOOK的產(chǎn)品發(fā)布會，[email protected]洞獎勵項目中的成功，是我所不能及的，這也決非偶然。
找到在漏洞挖掘之外可以釋放壓力的方法或愛好