Post on 03-Jul-2015
description
バウンティハンターになろう!
Yuji Tounai(@yousukezan)
自己紹介
山本洋介山という名前でライターやってました
主に書いてた媒体は
ハッカージャパン
11月に休刊
生活費どうしよう(;´Д`)
脆弱性見つけて生活費稼ぐのかっこよくね?
俺googleのWebにXSS見つけて500$もらったし、XSSなら見つけられるかも…
googleの報償金が10倍になるとかスマホの脆弱性探して100万円とか景気のいい話が海外から聞こえて来てるしね
自身の源Googleからの500$
どんな会社が報償金を払ってる?
最高20000ドル XSS1件7500ドル!(http://www.google.com/about/appsec
urity/reward-program/)
最高33500ドル!(http://www.theregister.co.uk/2014/01/
24/facebook_bug_bounty_payout/)
Paypal
最高1万ドル以上!
日本の会社は?
サイボウズ
脆弱性発見コンテスト
賞金総額300万円
mixi
最高100万円
LINE
malaさんが自腹でお礼してくれます
その他にも世界では
https://bugcrowd.com/list-of-bug-bounty-programs/
夢拡がりまくり
1年に1つでかい脆弱性見つけたら、ゴロゴロしながら過ごせんじゃね??
現実は厳しい
でも…googleもfacebookもpaypalもサイボウズも見つからないよ…
googleでたまたま報償金もらえたのは運だよな…
やっぱ世界中のプロのバウンティハンターが群がってるからな…
あきらめて新聞でも配るか…
そんなある日
mixiの反射型XSSを見つけたとのツイート
mixiケチっぽいしどうせガチガチに固めてるから全然期待してなかったけど何か見つかるんじゃね?
週末探してみたら偶然XSSが見つかる
説明見てると1つ12万5000円!?
見つけたXSS
パラメータの{'1:a','2:b','3:c','4:d','5e',
'img:http://bogus.jp/'}
のパラメータを減らして{'1:a','2:b','3:c','img:javascript:alert(0)'}
にするとなぜかhttp://がなくてもエラーにならず
ついでにYahoo!のXSSも発見
mixiに掲載されてるYahoo!Japanから配信されてる広告にXSSが(yimg.jp)
もしかしてYahoo!にもXSSあったりする?
Yahoo!JapanにいくつかとYahoo!にXSS
1つだと思ったらかなりの数あって、しかも2014年まだ未修正の箇所多数(なので詳細は書けません)
Yahoo!はこれまで脆弱性を見つけた人はT
シャツとかもらってるので、Tシャツたくさんもらえる?
Yahoo!から連絡
お礼
As you may know we are in the process of updating our vulnerability reporting program(ブログのリンク)
読むと$150 - $15,000のReward
報償金!?
ヒャッハー!!
Yahoo!からの報償金始めるよメール
Yahoo!祭り
11月になって、Yahoo!のバウンティプログラムが開始される
世界中からバウンティハンターが殺到
メールフォームがアレなのでちゃんと送れていない人もいたみたい
俺もいくつか見つけて送る
祭り
見つけたXSS(1)
tw.sports.yahoo.com
メールフォームのリンクにjvascript:alert(0)が入る
見つけたXSS(2)
au.yahoo.comとnz.yahoo.com
"><img src=0 onerror=alert(document.cookie)>
というタイトルのメールを送るとXSS
見つけたXSS(3)
Yahoo!メールとFlickr
本文に"><img src=0 onerror=alert(document.domain)>
と入力するとalert
duplicate
そして謎の2位と5位
突然11月のランキングが発表される
2番目に俺の名前!
なぜか5番目も俺!
報償金の予感!!
Wall of fame
この2つが俺!
mixiから125000円
そして1月
派遣社員に登録しました…
お仕事が決まりそう、そんな日
2000ドルゲットだぜ!
HackerOneという見慣れないところから3通のメール
Yahoo! has awarded you a $506 bounty
Yahoo! has awarded you a $250 bounty
Yahoo! has awarded you a $1276 bounty
合計2032ドル!!
ドルをゲット
終わり
もしかしてこの調子でいけば就職しなくてすんだ?
2月も報償金楽しみに待ってます
仕事もやってます
調子に乗ってバウンティハンターで本当に生きていこうとする前に仕事が決まってて本当に良かったです(妻)
ありがとうございました