নতুনদের জন্য bug bounty: বাস্তবসম্মত roadmap
Bug bounty একটি দক্ষতা, লটারি নয়। শূন্য থেকে সৎ roadmap: আগে কী শিখবেন এবং কী আশা করবেন।
Bug bounty প্রোগ্রাম স্বাধীন গবেষকদের নিরাপত্তা ত্রুটি খুঁজে দায়িত্বশীলভাবে জানানোর জন্য টাকা দেয়। এটি দক্ষতা গড়ার এবং কখনো আয়ের বাস্তব উপায়, কিন্তু বেশিরভাগ নতুন শুরুতে অল্পই আয় করে, অনেকে প্রথম বৈধ report পেতে সপ্তাহ বা মাস অপেক্ষা করে। দ্রুত টাকার নয়, শেখার পরিকল্পনা করুন।
ধাপ ১: ওয়েব কীভাবে কাজ করে শিখুন (২ থেকে ৪ সপ্তাহ)
- HTTP: request, response, method, status code, header, cookie, session।
- HTML, JavaScript এবং browser কীভাবে চালায়।
- ওয়েব অ্যাপ database-এর সাথে কীভাবে কথা বলে (একটু SQL)।
- Authentication, authorization ও API-র গোড়া (REST, JSON)।
- Browser developer tools স্বাভাবিক না হওয়া পর্যন্ত ব্যবহার করুন।
ধাপ ২: সাধারণ bug-এর শ্রেণি শিখুন
OWASP Top 10 পড়ুন এবং প্রতিটি শ্রেণি বুঝুন, কীভাবে ঘটে ও কীভাবে ঠিক হয়: injection, XSS, CSRF, access control (IDOR), security misconfiguration, SSRF, authentication ত্রুটি। কীভাবে ঠিক হয় তা পড়লে কীভাবে চেনা যায় তা শেখা হয়। আমাদের Web Security সিরিজ অনেকগুলো ঢাকে।
ধাপ ৩: বৈধভাবে lab-এ অনুশীলন
অনুমতি ছাড়া আসল সাইট পরীক্ষা করবেন না। অনুশীলন করুন:
- নিজে চালানো ইচ্ছাকৃত দুর্বল অ্যাপ (OWASP Juice Shop, DVWA, WebGoat)।
- PortSwigger Web Security Academy-র মতো বিনামূল্যের lab।
- Capture the Flag (CTF) ইভেন্ট।
Burp Suite Community-র মতো একটি proxy টুল শিখুন, যা request দেখতে ও বদলাতে দেয়।
ধাপ ৪: প্রোগ্রাম বাছুন ও নিয়ম পড়ুন
শুধু যে target আপনাকে আমন্ত্রণ জানায়, আর শুধু যা scope-এ আছে তা পরীক্ষা করুন। নতুনদের জন্য সহজ প্রোগ্রাম থেকে শুরু করুন: পরিষ্কার scope, সক্রিয় triage ও ন্যায্য নিয়ম। Policy পুরোটা পড়ুন: অনুমোদিত পদ্ধতি, নিষিদ্ধ কাজ (denial of service নয়, অন্য user-এর data ছোঁয়া নয়, social engineering নয়) এবং safe harbor বিবৃতি।
ধাপ ৫: পুনরাবৃত্তিযোগ্য পদ্ধতি বানান
নোট রাখুন। প্রতি target-এ: feature ম্যাপ করুন, input তালিকা করুন, একবারে একটি শ্রেণি পরীক্ষা করুন এবং কী চেষ্টা করেছেন লিখুন। পরিমাণের চেয়ে মান ভালো: একটি ভালো-বোঝা অংশ একশোটি ছুঁয়ে যাওয়ার চেয়ে ভালো।
ধাপ ৬: ভালোভাবে report করুন
Reproduce করার ধাপ, প্রভাব ও সমাধানের পরামর্শসহ পরিষ্কার report দ্রুত গৃহীত হয়। (আমাদের report লেখার গাইড দেখুন।)
যা আশা করবেন
- Duplicate এবং "informative" বা "not applicable" বন্ধ হওয়া স্বাভাবিক। ব্যক্তিগতভাবে নেবেন না।
- জনপ্রিয় প্রোগ্রামে প্রতিযোগিতা বেশি। কম ভিড়ের প্রোগ্রাম এবং শুধু সহজ scanner-ধাঁচের bug-এর বদলে গভীর logic সমস্যা (business logic, authorization) খুঁজুন।
- ধৈর্য: লম্বা, বিরল বসার চেয়ে নিয়মিত সাপ্তাহিক অনুশীলন বেশি গুরুত্বপূর্ণ।
মেনে চলার নিয়ম
- Scope-এর ভেতরে থাকুন। যে data আপনার নয় তা কখনো access, বদল বা মোছা নয়।
- নিজের বানানো test অ্যাকাউন্ট ব্যবহার করুন।
- সমস্যা প্রমাণ করামাত্র থামুন ও জানান। "কতটা খারাপ দেখি" বলে গভীরে যাবেন না।
- প্রোগ্রাম প্রকাশের অনুমতি না দেওয়া পর্যন্ত findings গোপন রাখুন।
মূল কথা: ওয়েব ও সাধারণ bug শ্রেণি শিখুন, lab-এ অনুশীলন করুন, শুধু scope-এর প্রোগ্রাম পরীক্ষা করুন, এবং পরিষ্কার report লিখুন। প্রথম মাসগুলোকে প্রশিক্ষণ ধরুন।
বাগ বাউন্টি সিরিজ, পর্ব ১ (শুরু করা): 1 নম্বর (মোট 4)।
