Bug Bounty Free Resources
1.0.0
介紹
什麼是錯誤？
安全錯誤或漏洞是“在軟件和硬件組件中發現的計算邏輯（例如代碼）中的弱點，這些弱點在被利用後會對機密性，完整性或可用性產生負面影響。什麼是Bug Bounty？
錯誤的賞金或錯誤賞金程序是為在特定軟件產品中查找和報告錯誤提供的獎勵或賞金程序的行話。許多IT公司提供了漏洞賞金來推動產品改進並從最終用戶或客戶那裡獲得更多互動。操作錯誤賞金計劃的公司可能會收到數百個錯誤報告，包括安全錯誤和安全漏洞，許多報告這些錯誤將獲得獎勵。
什麼是獎勵？
根據問題的嚴重性和解決成本，都有所有類型的獎勵。它們的範圍可能從真實貨幣（最普遍）到高級訂閱（Prime/Netflix），折扣優惠券（用於購物網站的貿易），禮品券，贓物（服裝，徽章，定製文具等）。資金可能從50美元到50,000美元，甚至更多。要學什麼？
技術的
計算機基礎
https://www.comptia.org/training/by-certification/a
https://www.tutorialspoint.com/computer_fundamentals/index.htm
https://onlinecourses.swayam2.ac.in/cec19_cs06/preview
https://www.udemy.com/course/complete-computer-basics-course/
https://www.coursera.org/courses?query=computer%20fundamentals
計算機網絡
https://www.udacity.com/course/computer-networking-ud436
https://www.coursera.org/professional-certificates/google-it-support
https://www.udemy.com/course/introduction-to-computer-networks/
作業系統
https://www.coursera.org/learn/os-power-user
https://www.udacity.com/course/introduction-to-ererating-systems-ud923
https://www.udemy.com/course/linux-command-line-volume1/
編程c
https://www.programiz.com/c-programming
在哪裡學習？
博客和文章
黑客文章：https：//www.hackingarcecticles.in/
Vickie Li博客：https：//vickieli.dev/
Bugcrowd博客：https：//www.bugcrowd.com/blog/
Intigriti博客：https：//blog.intigriti.com/
PortSwigger博客：https：//portswigger.net/blog
論壇
reddit：https：//www.reddit.com/r/websecurity/
reddit：https：//www.reddit.com/r/netsec/
官方網站
Owasp：https：//owasp.org/
PortSwigger：https：//portswigger.net/
Cloudflare：https：//www.cloudflare.com/
YouTube頻道https://www.youtube.com/@penetestersquad
實踐！實踐！和練習！ CTF
黑客101：https：//www.hackerone.com/hackers/hacker101
picoctf：https：//picoctf.org/
tryhackme：https：//tryhackme.com/（premium/free）
hackthebox：https：//www.hackthebox.com/（premium）
vulnhub：https：//www.vulnhub.com/
hackthistite：https：//hackthissite.org/
ctfchallenge：https：//ctfchallenge.co.uk/
pentesterlab：https：//pentesterlab.com/（premium）
在線實驗室
PortSwigger網絡安全學院：https：//portswigger.net/web-security
OWASP果汁商店：https：//owasp.org/www-project-juice-shop/
xssgame：https：//xss-game.appspot.com/
bugbountyhunter：https：//www.bugbountyhunter.com/（premium）
W3Challs：https：//w3challs.com/
離線實驗室
DVWA：https：//dvwa.co.uk/
BWAPP：http：//www.itsecgames.com/
metasplooite2：https：//sourceforge.net/projects/metasploitaite/files/metasplooite2/
bugbountyhunter：https：//www.bugbountyhunter.com/（premium）
W3Challs：https：//w3challs.com/
更多使用服務器的工具和服務
Shodan-搜索所有內容的搜索引擎
Censys搜索 - 搜索Internet上的每個服務器以減少曝光並提高安全性
Onyphe.io-開源和網絡威脅情報數據的網絡防禦搜索引擎
Zoomeye-全球網絡空間映射
Greynoise-了解Internet噪音的來源
Natlas-縮放網絡掃描
netlas.io-發現，研究和監視在線可用的所有資產
FOFA-網絡空間映射
地震 - 網絡空間測量和映射系統
獵人 - 安全研究人員的互聯網搜索引擎
漏洞
NIST NVD-美國國家漏洞數據庫
MITER CVE-識別，定義和目錄公開披露網絡安全漏洞
GitHub諮詢數據庫 - 安全漏洞數據庫，包括CVE和GITHUB發起的安全諮詢
CloudVulndb.org-開放的雲漏洞與安全問題數據庫
OSV.DEV-開源漏洞
vulners.com-您的搜索引擎安全智能引擎
OPENCVE.IO-最簡單的跟踪CVE更新的方法並被提醒新漏洞
Security.snyk.io-開源漏洞數據庫
修補漏洞數據庫 - 最大的開源漏洞數據庫DB
Rapid7 -DB-漏洞和漏洞數據庫
Cvedetails-最終的安全漏洞數據源
vulniq-脆弱性智能和管理解決方案
突觸 - 統一的OSINT研究工具
Aqua漏洞數據庫 - 開源應用程序和雲本機基礎架構中的漏洞和弱點
vulmon-漏洞和利用搜索引擎
VULDB-第一漏洞數據庫
ScanFactory-實時安全監視
趨勢微型零日計劃 - 零日計劃研究人員發現的公開披露的漏洞
Google項目零 - 包括零天在內的漏洞
Trickest CVE存儲庫 - 收集並更新所有可用的CVE和最新的CVE
cnvd.org.cn-中國國家脆弱性數據庫
inthewild.io-在我們的免費開放源代碼供稿中檢查CVE的漏洞
脆弱性實驗室 - 脆弱性研究，漏洞賞金和脆弱性評估
紅帽安全諮詢 - 有關安全諮詢形式影響紅帽產品和服務的安全缺陷的信息
思科安全諮詢 - Cisco產品的安全諮詢和漏洞信息，包括網絡設備和軟件
Microsoft安全響應中心 - 影響Microsoft產品和服務的安全漏洞的報告
Variot- Variot IoT漏洞數據庫
利用
exploit -db-利用數據庫
Sploitus-便利的中心位置，用於識別最新的漏洞
Rapid7 -DB-漏洞和漏洞數據庫
vulmon-漏洞和利用搜索引擎
PacketStormSecurity.com-信息安全服務，新聞，文件，工具，exploits，Advision和WhitePapers
0day.today-利用和漏洞的終極數據庫
LOLBAS-生活在土地二進製文件，劇本和圖書館之外
GTFOBINS-可用於繞過錯誤配置系統中本地安全限制的UNIX二進製文件列表
有效載荷所有內容 - 有用的有效載荷列表和Web應用程序安全性旁路
XSS有效載荷 - JavaScript意外用法的仙境，更多
exploitalert.com-利用數據庫
反向外殼發電機 - 在線反向外殼發電機，具有本地存儲功能，URI和BASE64編碼，MSFVenom Generator和RAW模式
hackerone hacktivity-請參閱Hackerone上的最新黑客活動
Bugcrowd CrowdStream-展示被接受和披露的Bugcrowd程序的提交
GTFOARGS-可以操縱參數注入的Unix二進製文件的策劃清單
shell -storm.org/shellcode-研究案例的殼牌數據庫
攻擊雲 - 攻擊/戰術/技術的百科全書，進攻安全專業人員可以在下一個雲剝削冒險中使用這些雲
Loldrivers-開源項目將脆弱，惡意和已知的惡意窗戶驅動程序匯集在一起
Pwnwiki-收集了TTP（工具，戰術和程序），以獲得訪問後的工作
CVEXPLOITS搜索 - 您從Internet上的CVE利用數據庫的全面數據庫
Variot- Variot IoT利用數據庫
Loobins-有關各種內置Macos二進製文件的詳細信息以及威脅參與者如何將它們用於惡意目的
聯盟利用評分系統 - 動態評分新脆弱性以反映其利用可能性的模型
WADCOMS-交互式備忘單包含策劃的進攻安全工具的列表及其針對Windows/AD環境的各自命令
LOLAPPS-可用於進行日常剝削的應用程序
靠硬件 - 資源收集，提供有關識別和利用惡意硬件和惡意設備的指導
在管道上生活 - 如何使用CI/CD管道中常用的開發工具來實現任意代碼執行
漏洞賞金平台眾包
Bugcrowd：https：//www.bugcrowd.com/
hackerone：https：//www.hackerone.com/
intigriti：https：//www.intigriti.com/
是的：https：//www.yeswehack.com/
OpenBugbounty：https：//www.openbugbounty.org/
個別程序
元：https：//www.facebook.com/whitehat
Google：https：//about.google/appsecurity/
漏洞賞金報告格式標題
第一印像是最後的印象，安全工程師首先要研究標題，他應該能夠確定問題。寫下您可以濫用哪種功能或可以繞過哪種保護。只用一行寫。如果可能的話，將問題的影響包括在標題中。描述
該組件提供了漏洞的詳細信息，您可以在此處解釋漏洞，寫有關路徑，端點，測試時收到的錯誤消息。您還可以附加HTTP請求，脆弱的源代碼。繁殖的步驟
編寫逐步過程以重新創建錯誤。對於應用程序所有者而言，重要的是能夠驗證您發現的內容並了解情況。您必須清楚地編寫每個步驟以說明問題。這有助於安全工程師快速分類。概念證明
該組件是整個工作的視覺效果。您可以錄製演示視頻或附加屏幕截圖。影響
寫下現實生活中的影響，如果攻擊者成功利用脆弱性，他將如何利用他。可以做什麼類型的損害？ （避免寫理論影響）應與組織的業務目標保持一致
媒介：https：//medium.com/analytics-vidhya/a-beginners-guide-to-cyber-security-3d0f7891c93a
Infosec寫入：https：//infosecwriteups.com/?gi=3149891cc73d
hackerone hacktivity：https：//hackerone.com/hacktivity
Google VRP寫入：https：//github.com/xdavidhu/awesome-google-vrp-writeups
您可以探索這些資源，以學習和實踐網絡安全的各個方面，包括脆弱性評估，搜尋和滲透測試。
