ADMIN.AZ / BLOQ

Keyfiyyətli zəiflik hesabatı necə yazılır?

Təkrar edilə bilən addımlar, ölçülü təsir izahı və məxfi məlumatları qoruyan sübutlarla triajı asanlaşdırın.

Bir tapıntı, aydın bir hekayə

Təsəvvür edin ki, özünüzə aid iki sınaq hesabı arasında icazə problemi görmüsünüz. Hesabatın başlığında konkret davranışı yazın: “A hesabı B hesabının sınaq sənədini oxuya bilir”. “Kritik boşluq tapdım” başlığı texniki komandanın işini asanlaşdırmır. Bu nümunə tədris üçündür; canlı sistemdə yoxlama üçün əvvəl proqramın icazəsini və əhatəsini oxuyun.

Sübutu təkrar edilən addımlara çevirin

Hansı hədəfdə, hansı hesab rolu ilə başladığınızı göstərin. Sorğunu, dəyişdirilən parametri, gözlənilən və faktiki cavabı ayırın. Nümunə sorğudan tokenləri, cookie-ləri və şəxsi məlumatları silin. Qısa addımlar mühəndisin problemi öz sınaq hesabında təkrarlamasına kömək edir. Ekran görüntüsü faydalıdır, lakin sorğu və cavabın izahını əvəz etmir.

OWASP WSTG hesabatda təsiri, təkrarlama məlumatlarını və düzəliş tövsiyələrini anlaşılan şəkildə təqdim etməyi vurğulayır. Bu yanaşmanı kiçik bug bounty hesabatına uyğunlaşdırın; uzun məsləhətçi hesabatı yazmaq məcburi deyil.

Təsiri sübutla məhdudlaşdırın

Öz sınaq məlumatınız üzərində göstərdiyiniz nəticə ilə ehtimal etdiyiniz daha geniş riski ayrı yazın. Bir sənədin icazəsiz görünməsi bütün bazanın əldə edildiyini sübut etmir. Ciddilik təklifinizi izah edin və qeyri-müəyyən məqamları açıq saxlayın.

Göndərməzdən əvvəl

Hədəf proqramın scope-unu, hesabatın məxfiliyini və qoşmaların məzmununu yenidən yoxlayın. Başqa istifadəçilərin məlumatını toplamayın. Texniki komanda əlavə məlumat istədikdə sınağı genişləndirmək əvəzinə əvvəl nə tələb olunduğunu dəqiqləşdirin. Yaxşı hesabatın məqsədi təhlükəsiz düzəlişi mümkün etməkdir.

Mənbə: OWASP WSTG — Reporting