Duplicate, N/A ও informative report: কেন বন্ধ, কীভাবে এড়াবেন
বেশিরভাগ hunter-এর অনেক report বন্ধ হয়। কেন হয় বোঝাই ভালো ফল পাওয়ার দ্রুততম উপায়।
প্রায় প্রতিটি hunter-এর report পুরস্কার ছাড়াই বন্ধ হয়। সাধারণ কারণগুলো জানলে অপচয় এড়ানো ও সাফল্যের হার বাড়ানো যায়।
সাধারণ ফল
Duplicate। কেউ আগেই একই সমস্যা জানিয়েছে। প্রথম বৈধ report সাধারণত পুরস্কার পায়। জনপ্রিয় প্রোগ্রামে duplicate সবচেয়ে ঘন ঘন হতাশা।
Informative। Report সত্য, কিন্তু প্রোগ্রামের মান অনুযায়ী সমস্যাটির নিরাপত্তা-প্রভাব কম বা নেই (যেমন কোনো exploit পথ ছাড়া একটি header না থাকা)। নোট করা হয়, পুরস্কার নয়।
Not applicable (N/A)। Report কোনো নিরাপত্তা সমস্যা বর্ণনা করে না, ভুল বোঝাবুঝি, reproduce করা যায় না, বা আচরণটি ইচ্ছাকৃত।
Out of scope। Asset বা সমস্যার ধরন policy অনুযায়ী বাদ (যেমন তৃতীয় পক্ষের সেবা, social engineering, rate limiting বা self-XSS)।
Resolved / triaged / accepted। সমস্যা বৈধ এবং ঠিক বা পুরস্কৃত হচ্ছে।
Duplicate কেন হয় ও কীভাবে কমাবেন
- অনেক গবেষক একই target-এ একই টুল ও checklist চালায়, তাই অগভীর bug কয়েক ঘণ্টায় ধরা পড়ে।
- নতুন asset সবচেয়ে দ্রুত পরীক্ষিত হয়।
Duplicate কমাতে:
- প্রশস্ত নয়, গভীরে যান। একটি অ্যাপ ভালো করে শিখুন: তার role, workflow ও edge case। Authorization ও business-logic সমস্যায় বোঝা লাগে এবং মিলে যাওয়ার সম্ভাবনা কম।
- নতুন feature ও সাম্প্রতিক বদল পরীক্ষা করুন। Release note, changelog ও নতুন scope যোগ দেখুন।
- স্পষ্ট প্রভাবের জন্য ছোট সমস্যা শিকলে গাঁথুন।
- কোনো অংশ পরীক্ষার আগে প্রোগ্রামের প্রকাশিত report ও জানা সমস্যার তালিকা দেখুন।
- নতুন scope-এ দ্রুত হন, তবু সাবধানে ও সীমার ভেতরে।
- সম্ভব হলে কম ভিড়ের প্রোগ্রাম ও private আমন্ত্রণ বাছুন।
Informative ও N/A এড়ানো
- প্রভাব প্রমাণ করুন। নিজেকে জিজ্ঞেস করুন: আক্রমণকারী সত্যিই কী করতে পারে, কার ওপর? উত্তর না থাকলে জমা দেবেন না।
- Policy-র বাদের তালিকা পড়ুন (প্রায়ই থাকে: best-practice header না থাকা, গুরুত্বহীন পেজে clickjacking, rate limiting, বিস্তারিত error, self-XSS, সফটওয়্যার সংস্করণ প্রকাশ)।
- টুলের findings হাতে যাচাই করুন। Scanner ফল lead, report নয়।
- জমার আগে নতুন session থেকে দুবার reproduce করুন।
- ইচ্ছাকৃত আচরণ বুঝুন। Feature অদ্ভুত লাগলেও ডিজাইনে হতে পারে; ডকুমেন্টেশন পড়ুন।
প্রতিটি বন্ধ হওয়া থেকে শেখা
- Triager-এর ব্যাখ্যা মন দিয়ে পড়ুন।
- প্রতিটি report, তার ফল ও শিক্ষার একটি log রাখুন।
- কী গৃহীত হয়েছে দেখতে একই প্রোগ্রামের প্রকাশিত report পড়ুন।
- কারণ অস্পষ্ট হলে ভদ্রভাবে স্পষ্টীকরণ চান। বারবার তর্ক বা দলের ওপর চাপ দেবেন না।
আপনার সুনাম ভালো রাখুন
অনেক platform signal ট্র্যাক করে: আপনার report-এর কত শতাংশ বৈধ। নিম্নমানের বা duplicate report-এর ধারা এটি কমায় এবং private প্রোগ্রামে প্রবেশ কমাতে পারে। পরিমাণের চেয়ে মান।
মানসিকতা
বন্ধ হওয়া report হলো data। যারা উন্নতি করে তারা ভুলগুলো বিশ্লেষণ করে, দক্ষতা বাড়ায় (যেমন API পরীক্ষা, authentication প্রবাহ, cloud misconfiguration) এবং নিয়মিত সময় রাখে।
মূল কথা: Duplicate, informative ও N/A স্বাভাবিক। একটি target-এ গভীরে গিয়ে, আসল প্রভাব প্রমাণ করে, বাদের তালিকা পড়ে এবং প্রতিটি ফল থেকে শিখে এগুলো কমান।
বাগ বাউন্টি সিরিজ, পর্ব ১ (শুরু করা): 4 নম্বর (মোট 4)। আগের লেখা: দ্রুত triage হওয়া bug bounty report কীভাবে লিখবেন.
