À propos

Je suis @qu35t. Je chasse des bugs sur des programmes de bug bounty, publics comme privés, surtout sur des applications web et les API derrière, et j'écris ici ce que j'y trouve.

Pourquoi ce blog existe

En chassant sur des programmes de bug bounty, on tombe régulièrement sur des choses intéressantes : une technique, un comportement que personne n'attendait, une façon de transformer un petit bug en un bug sérieux. La plupart du temps, ça ne sort jamais du rapport. Les hunters les divulguent rarement, et cette connaissance reste chez celui qui l'a trouvée.

Ce blog existe pour en mettre une partie en lumière. D'abord pour la méthodologie, pour aider à identifier des vulnérabilités, puis pour aller plus loin dans l'impact une fois la faille trouvée.

Comment un article est fabriqué

Chaque trouvaille vient d'un vrai programme, dans le respect de ses règles. Les tests se font soit en black box, sans aucun compte, soit en grey box, avec des comptes que je contrôle : les tests modifient les données de mes propres comptes pour vérifier si l'application est vraiment vulnérable.

Je vais jusqu'à démontrer le meilleur impact possible de la vulnérabilité. Avec une limite ferme : dès qu'il s'agit de données client en production, rien n'est jamais modifié.

Les blocs de code sont réels. Les valeurs sont tronquées ou masquées, jamais inventées.

Caviardage et divulgation

Les noms de société, les vrais domaines et les identifiants sont remplacés par target.tld et par des barres de caviardage.

Rien n'est publié avant que le correctif soit déployé. Les primes sont affichées en tranches.