Bug Bounty Free Resources
1.0.0
介绍
什么是错误？
安全错误或漏洞是“在软件和硬件组件中发现的计算逻辑（例如代码）中的弱点，这些弱点在被利用后会对机密性，完整性或可用性产生负面影响。什么是Bug Bounty？
错误的赏金或错误赏金程序是为在特定软件产品中查找和报告错误提供的奖励或赏金程序的行话。许多IT公司提供了漏洞赏金来推动产品改进并从最终用户或客户那里获得更多互动。操作错误赏金计划的公司可能会收到数百个错误报告，包括安全错误和安全漏洞，许多报告这些错误将获得奖励。
什么是奖励？
根据问题的严重性和解决成本，都有所有类型的奖励。它们的范围可能从真实货币（最普遍）到高级订阅（Prime/Netflix），折扣优惠券（用于购物网站的贸易），礼品券，赃物（服装，徽章，定制文具等）。资金可能从50美元到50,000美元，甚至更多。要学什么？
技术的
计算机基础
https://www.comptia.org/training/by-certification/a
https://www.tutorialspoint.com/computer_fundamentals/index.htm
https://onlinecourses.swayam2.ac.in/cec19_cs06/preview
https://www.udemy.com/course/complete-computer-basics-course/
https://www.coursera.org/courses?query=computer%20fundamentals
计算机网络
https://www.udacity.com/course/computer-networking-ud436
https://www.coursera.org/professional-certificates/google-it-support
https://www.udemy.com/course/introduction-to-computer-networks/
操作系统
https://www.coursera.org/learn/os-power-user
https://www.udacity.com/course/introduction-to-ererating-systems-ud923
https://www.udemy.com/course/linux-command-line-volume1/
编程c
https://www.programiz.com/c-programming
在哪里学习？
博客和文章
黑客文章：https：//www.hackingarcecticles.in/
Vickie Li博客：https：//vickieli.dev/
Bugcrowd博客：https：//www.bugcrowd.com/blog/
Intigriti博客：https：//blog.intigriti.com/
PortSwigger博客：https：//portswigger.net/blog
论坛
reddit：https：//www.reddit.com/r/websecurity/
reddit：https：//www.reddit.com/r/netsec/
官方网站
Owasp：https：//owasp.org/
PortSwigger：https：//portswigger.net/
Cloudflare：https：//www.cloudflare.com/
YouTube频道https://www.youtube.com/@penetestersquad
实践！实践！和练习！ CTF
黑客101：https：//www.hackerone.com/hackers/hacker101
picoctf：https：//picoctf.org/
tryhackme：https：//tryhackme.com/（premium/free）
hackthebox：https：//www.hackthebox.com/（premium）
vulnhub：https：//www.vulnhub.com/
hackthistite：https：//hackthissite.org/
ctfchallenge：https：//ctfchallenge.co.uk/
pentesterlab：https：//pentesterlab.com/（premium）
在线实验室
PortSwigger网络安全学院：https：//portswigger.net/web-security
OWASP果汁商店：https：//owasp.org/www-project-juice-shop/
xssgame：https：//xss-game.appspot.com/
bugbountyhunter：https：//www.bugbountyhunter.com/（premium）
W3Challs：https：//w3challs.com/
离线实验室
DVWA：https：//dvwa.co.uk/
BWAPP：http：//www.itsecgames.com/
metasplooite2：https：//sourceforge.net/projects/metasploitaite/files/metasplooite2/
bugbountyhunter：https：//www.bugbountyhunter.com/（premium）
W3Challs：https：//w3challs.com/
更多使用服务器的工具和服务
Shodan-搜索所有内容的搜索引擎
Censys搜索 - 搜索Internet上的每个服务器以减少曝光并提高安全性
Onyphe.io-开源和网络威胁情报数据的网络防御搜索引擎
Zoomeye-全球网络空间映射
Greynoise-了解Internet噪音的来源
Natlas-缩放网络扫描
netlas.io-发现，研究和监视在线可用的所有资产
FOFA-网络空间映射
地震 - 网络空间测量和映射系统
猎人 - 安全研究人员的互联网搜索引擎
漏洞
NIST NVD-美国国家漏洞数据库
MITER CVE-识别，定义和目录公开披露网络安全漏洞
GitHub咨询数据库 - 安全漏洞数据库，包括CVE和GITHUB发起的安全咨询
CloudVulndb.org-开放的云漏洞与安全问题数据库
OSV.DEV-开源漏洞
vulners.com-您的搜索引擎安全智能引擎
OPENCVE.IO-最简单的跟踪CVE更新的方法并被提醒新漏洞
Security.snyk.io-开源漏洞数据库
修补漏洞数据库 - 最大的开源漏洞数据库DB
Rapid7 -DB-漏洞和漏洞数据库
Cvedetails-最终的安全漏洞数据源
vulniq-脆弱性智能和管理解决方案
突触 - 统一的OSINT研究工具
Aqua漏洞数据库 - 开源应用程序和云本机基础架构中的漏洞和弱点
vulmon-漏洞和利用搜索引擎
VULDB-第一漏洞数据库
ScanFactory-实时安全监视
趋势微型零日计划 - 零日计划研究人员发现的公开披露的漏洞
Google项目零 - 包括零天在内的漏洞
Trickest CVE存储库 - 收集并更新所有可用的CVE和最新的CVE
cnvd.org.cn-中国国家脆弱性数据库
inthewild.io-在我们的免费开放源代码供稿中检查CVE的漏洞
脆弱性实验室 - 脆弱性研究，漏洞赏金和脆弱性评估
红帽安全咨询 - 有关安全咨询形式影响红帽产品和服务的安全缺陷的信息
思科安全咨询 - Cisco产品的安全咨询和漏洞信息，包括网络设备和软件
Microsoft安全响应中心 - 影响Microsoft产品和服务的安全漏洞的报告
Variot- Variot IoT漏洞数据库
利用
exploit -db-利用数据库
Sploitus-便利的中心位置，用于识别最新的漏洞
Rapid7 -DB-漏洞和漏洞数据库
vulmon-漏洞和利用搜索引擎
PacketStormSecurity.com-信息安全服务，新闻，文件，工具，exploits，Advision和WhitePapers
0day.today-利用和漏洞的终极数据库
LOLBAS-生活在土地二进制文件，剧本和图书馆之外
GTFOBINS-可用于绕过错误配置系统中本地安全限制的UNIX二进制文件列表
有效载荷所有内容 - 有用的有效载荷列表和Web应用程序安全性旁路
XSS有效载荷 - JavaScript意外用法的仙境，更多
exploitalert.com-利用数据库
反向外壳发电机 - 在线反向外壳发电机，具有本地存储功能，URI和BASE64编码，MSFVenom Generator和RAW模式
hackerone hacktivity-请参阅Hackerone上的最新黑客活动
Bugcrowd CrowdStream-展示被接受和披露的Bugcrowd程序的提交
GTFOARGS-可以操纵参数注入的Unix二进制文件的策划清单
shell -storm.org/shellcode-研究案例的壳牌数据库
攻击云 - 攻击/战术/技术的百科全书，进攻安全专业人员可以在下一个云剥削冒险中使用这些云
Loldrivers-开源项目将脆弱，恶意和已知的恶意窗户驱动程序汇集在一起
Pwnwiki-收集了TTP（工具，战术和程序），以获得访问后的工作
CVEXPLOITS搜索 - 您从Internet上的CVE利用数据库的全面数据库
Variot- Variot IoT利用数据库
Loobins-有关各种内置Macos二进制文件的详细信息以及威胁参与者如何将它们用于恶意目的
联盟利用评分系统 - 动态评分新脆弱性以反映其利用可能性的模型
WADCOMS-交互式备忘单包含策划的进攻安全工具的列表及其针对Windows/AD环境的各自命令
LOLAPPS-可用于进行日常剥削的应用程序
靠硬件 - 资源收集，提供有关识别和利用恶意硬件和恶意设备的指导
在管道上生活 - 如何使用CI/CD管道中常用的开发工具来实现任意代码执行
漏洞赏金平台众包
Bugcrowd：https：//www.bugcrowd.com/
hackerone：https：//www.hackerone.com/
intigriti：https：//www.intigriti.com/
是的：https：//www.yeswehack.com/
OpenBugbounty：https：//www.openbugbounty.org/
个别程序
元：https：//www.facebook.com/whitehat
Google：https：//about.google/appsecurity/
漏洞赏金报告格式标题
第一印象是最后的印象，安全工程师首先要研究标题，他应该能够确定问题。写下您可以滥用哪种功能或可以绕过哪种保护。只用一行写。如果可能的话，将问题的影响包括在标题中。描述
该组件提供了漏洞的详细信息，您可以在此处解释漏洞，写有关路径，端点，测试时收到的错误消息。您还可以附加HTTP请求，脆弱的源代码。繁殖的步骤
编写逐步过程以重新创建错误。对于应用程序所有者而言，重要的是能够验证您发现的内容并了解情况。您必须清楚地编写每个步骤以说明问题。这有助于安全工程师快速分类。概念证明
该组件是整个工作的视觉效果。您可以录制演示视频或附加屏幕截图。影响
写下现实生活中的影响，如果攻击者成功利用脆弱性，他将如何利用他。可以做什么类型的损害？ （避免写理论影响）应与组织的业务目标保持一致
媒介：https：//medium.com/analytics-vidhya/a-beginners-guide-to-cyber-security-3d0f7891c93a
Infosec写入：https：//infosecwriteups.com/?gi=3149891cc73d
hackerone hacktivity：https：//hackerone.com/hacktivity
Google VRP写入：https：//github.com/xdavidhu/awesome-google-vrp-writeups
您可以探索这些资源，以学习和实践网络安全的各个方面，包括脆弱性评估，搜寻和渗透测试。
