Dunia bug bounty punya banyak istilah teknis yang wajib kamu pahami. Bookmark halaman ini — kamu pasti akan sering kembali ke sini!
Mekanisme yang mengatur siapa boleh mengakses resource apa. Bug access control memungkinkan user mengakses resource yang bukan haknya.
Antarmuka yang memungkinkan dua sistem berkomunikasi. Banyak bug bounty modern fokus pada kerentanan API karena sering kurang diperhatikan keamanannya.
Semua titik masuk yang bisa dieksploitasi attacker pada sebuah sistem — endpoint, parameter, file upload, header, dll. Semakin luas attack surface, semakin banyak peluang menemukan bug.
Proses verifikasi identitas user (siapa kamu?). Berbeda dengan Authorization (apa yang boleh kamu lakukan?).
Proses menentukan apa yang boleh dilakukan oleh user yang sudah terautentikasi. Bug authorization memungkinkan user melakukan aksi di luar hak aksesnya.
Pengumpulan informasi dengan berinteraksi langsung dengan server target — port scan, directory fuzzing, header probing. Meninggalkan jejak di log server.
Teknik mencoba semua kemungkinan nilai secara otomatis — misalnya mencoba semua kombinasi password atau semua ID dari 1 sampai 10000 untuk menemukan IDOR.
Pengujian tanpa informasi internal apapun tentang target — hanya dari perspektif user biasa, seperti yang dilakukan di bug bounty.
Istilah OWASP API Top 10 untuk IDOR — ketika API tidak memvalidasi apakah user berhak mengakses objek yang diminta.
Program di mana perusahaan membayar researcher untuk menemukan dan melaporkan kerentanan keamanan secara bertanggung jawab.
Tools proxy paling populer untuk bug hunting. Digunakan untuk intercept, memodifikasi, dan menganalisis HTTP traffic.
Layanan Burp Suite Pro yang menyediakan server eksternal untuk mendeteksi interaksi out-of-band. Alternatif gratis: interactsh (interact.sh).
Teknik melewati atau menghindari mekanisme keamanan — WAF bypass, filter bypass, auth bypass. Sering diperlukan untuk membuktikan kerentanan di sistem yang sudah diproteksi.
Format encoding yang mengubah data binary/teks menjadi string ASCII. Banyak digunakan untuk token, cookie, dan data yang dikirim via HTTP.
Dua pendekatan filter: blacklist menolak input yang diketahui berbahaya (mudah di-bypass), whitelist hanya menerima input yang diketahui aman (lebih secure).
Tiga pilar keamanan informasi: Confidentiality (kerahasiaan), Integrity (integritas), Availability (ketersediaan).
Mekanisme browser yang mengizinkan atau menolak request dari domain berbeda. Misconfigurasi CORS bisa memungkinkan website jahat membaca data dari website lain.
Serangan yang memaksa user yang sudah login untuk tanpa sadar mengirim request berbahaya ke website tempat mereka login.
ID unik untuk kerentanan keamanan yang sudah dipublikasikan. Format: CVE-TAHUN-NOMOR. Memiliki CVE atas namamu adalah pencapaian besar.
Sistem penilaian standar untuk mengukur severity kerentanan dari 0.0 (None) hingga 10.0 (Critical).
Token unik yang disisipkan di berbagai tempat untuk mendeteksi akses tidak sah. Ketika diakses, token ini mengirim notifikasi ke attacker/researcher.
Perintah di Burp Suite Proxy untuk membuang request yang sedang diintercept — request tidak akan diteruskan ke server.
DNS record yang masih aktif mengarah ke resource yang sudah dihapus — kondisi yang memungkinkan subdomain takeover.
Serangan yang memanfaatkan karakter ../ untuk mengakses file di luar direktori yang seharusnya bisa diakses.
Proses mengungkapkan kerentanan kepada publik setelah vendor diberi waktu untuk memperbaikinya. Ada Full Disclosure (semua detail) dan Responsible Disclosure (koordinasi dengan vendor).
Sistem yang menerjemahkan nama domain (google.com) ke IP address (142.250.x.x). Penting untuk recon.
Denial of Service / Distributed Denial of Service — serangan yang membanjiri server dengan traffic untuk membuatnya tidak bisa diakses. Hampir semua program bug bounty melarang ini.
Laporan bug yang ditolak karena sudah dilaporkan oleh hunter lain sebelumnya. Salah satu frustasi terbesar bug hunter.
Menggunakan operator pencarian lanjutan di Google (atau Shodan) untuk menemukan informasi sensitif yang terindeks — file config, panel admin, credential, dll.
Teknik menggunakan DNS query untuk membuktikan kerentanan blind — server target melakukan DNS lookup ke domain attacker, mengkonfirmasi eksekusi payload.
URL atau path spesifik di server yang menerima request — misalnya /api/users atau /login.
Kode atau teknik yang memanfaatkan kerentanan untuk menghasilkan dampak tertentu.
Proses mengambil atau mencuri data dari sistem target. Di bug bounty, kamu hanya boleh membuktikan akses bisa terjadi — TIDAK boleh benar-benar mengambil data.
Proses menemukan dan mendaftar semua aset, endpoint, atau informasi dari target secara sistematis. Contoh: subdomain enumeration, user enumeration.
Mengubah format data — URL encoding (%3C = <), Base64, HTML entities. Sering digunakan untuk bypass filter atau menyembunyikan payload.
Perintah di Burp Suite Proxy untuk meneruskan request yang sedang diintercept ke server tujuan setelah (opsional) dimodifikasi.
Temuan yang terlihat seperti bug tapi sebenarnya bukan — behavior yang memang disengaja oleh developer. Sering menyebabkan laporan N/A.
Teknik mengidentifikasi teknologi, versi software, atau konfigurasi yang digunakan target.
Teknik testing dengan mengirimkan input random atau semi-random dalam jumlah besar untuk menemukan bug atau crash yang tidak terduga.
Daftar researcher yang berhasil menemukan bug di program suatu perusahaan. Banyak perusahaan memiliki HoF meski tidak membayar reward uang.
Protokol komunikasi antara browser dan web server. Versi amannya adalah HTTPS (dengan enkripsi TLS).
Log semua request HTTP yang sudah melewati Burp Suite Proxy. Sangat berguna untuk review semua traffic yang terjadi saat browsing normal dan menemukan endpoint yang menarik.
Sebutan untuk security researcher yang berpartisipasi dalam program bug bounty.
Representasi karakter khusus dalam HTML — < untuk <, > untuk >. Encoding yang benar menggunakan HTML entity mencegah XSS.
Teknik menangkap HTTP request/response sebelum sampai ke tujuan menggunakan proxy seperti Burp Suite. Request yang diintercept bisa dimodifikasi sebelum diteruskan ke server.
Fitur di Burp Suite untuk mengirim banyak request secara otomatis dengan payload yang berbeda-beda. Digunakan untuk brute force, fuzzing parameter, dan testing banyak input sekaligus.
Bug access control di mana user bisa mengakses resource milik orang lain hanya dengan mengubah ID atau referensi di request.
Dampak nyata yang bisa ditimbulkan jika bug dieksploitasi. Semakin tinggi impact, semakin tinggi severity dan reward.
Kategori serangan di mana attacker menyisipkan kode berbahaya ke input yang kemudian dieksekusi oleh sistem — SQL Injection, XSS, Command Injection, dll.
Format token yang umum digunakan untuk autentikasi API. Terdiri dari header, payload, dan signature. Implementasi yang buruk rentan terhadap berbagai serangan.
Kerentanan yang memungkinkan attacker membaca file lokal di server target melalui parameter yang tidak divalidasi.
Bug yang mudah ditemukan dan sering diabaikan — misconfiguration, exposed files, default credentials. Tempat terbaik untuk pemula mulai.
Fitur Burp Suite yang secara otomatis mengganti teks tertentu di semua request/response — misalnya mengganti User-Agent atau menghapus header tertentu di setiap request.
Kesalahan konfigurasi sistem yang menciptakan celah keamanan — server yang terlalu permisif, default password, port terbuka yang tidak perlu, dll.
Bug di mana server menerima field sensitif dari request yang seharusnya tidak bisa diubah user, seperti role atau balance.
Byte pertama dari sebuah file yang mengidentifikasi tipe file — JPEG dimulai dengan FF D8 FF, PNG dengan 89 50 4E 47. Digunakan untuk bypass filter tipe file pada upload.
Status laporan yang ditolak karena bukan bug, sudah diketahui, di luar scope, atau tidak memenuhi severity minimum program.
Tools vulnerability scanner berbasis template yang digunakan untuk scan otomatis berbagai kerentanan umum.
Karakter %00 atau \x00 yang di beberapa sistem menandai akhir string. Dulu banyak digunakan untuk bypass filter ekstensi file — shell.php%00.jpg diproses sebagai shell.php.
Organisasi non-profit yang mempublikasikan daftar 10 kerentanan web paling kritis (OWASP Top 10) sebagai referensi standar industri.
Daftar 10 risiko keamanan web paling umum yang diperbarui secara berkala. Wajib diketahui setiap bug hunter.
Teknik exfiltration data atau konfirmasi kerentanan melalui channel eksternal — misalnya DNS lookup atau HTTP request ke server attacker (Burp Collaborator, interactsh). Digunakan untuk blind injection.
Perantara antara browser dan server yang memungkinkan inspeksi dan modifikasi traffic HTTP. Burp Suite dan OWASP ZAP adalah proxy yang paling umum digunakan bug hunter.
Data yang dikirim ke server dalam URL (query string) atau request body. Setiap parameter adalah potensi entry point untuk testing.
Data atau kode yang dikirim attacker untuk mengeksploitasi kerentanan — misalnya <script>alert(1)</script> untuk XSS.
Simulasi serangan terhadap sistem dengan izin resmi untuk menemukan kerentanan. Lebih terstruktur dari bug bounty dengan scope dan timeline yang jelas.
Bukti konkret bahwa sebuah kerentanan bisa dieksploitasi — screenshot, video, kode, atau langkah reproduksi yang bisa diverifikasi.
Program bug bounty yang hanya bisa diikuti oleh hunter yang diundang secara khusus berdasarkan reputasi mereka di platform.
Program bug bounty yang terbuka untuk semua researcher — siapapun bisa mendaftar dan mulai hunting.
Pengumpulan informasi tanpa menyentuh server target secara langsung — menggunakan sumber publik seperti crt.sh, Wayback Machine, Shodan, atau Google.
Fitur di Burp Suite untuk mengirim ulang request HTTP berkali-kali dengan modifikasi berbeda. Digunakan untuk testing manual — mencoba berbagai payload, mengubah parameter, atau menguji IDOR.
Bug yang terjadi ketika dua atau lebih proses berjalan bersamaan dan menghasilkan state yang tidak konsisten karena tidak ada mekanisme locking yang tepat.
Kerentanan paling kritis — memungkinkan attacker mengeksekusi kode sembarang di server target. Hampir selalu dinilai Critical.
Fase pengumpulan informasi tentang target sebelum melakukan pengujian — subdomain, teknologi, endpoint, dll.
Praktik etis melaporkan kerentanan kepada vendor terlebih dahulu sebelum mempublikasikannya, memberi waktu untuk perbaikan.
Aturan yang ditetapkan program bug bounty tentang apa yang boleh dan tidak boleh dilakukan researcher.
Tools yang secara otomatis menjelajahi website dengan mengikuti semua link dan form untuk memetakan semua endpoint yang ada. Contoh tools: Burp Spider, katana.
Peta semua endpoint dan direktori yang ditemukan selama recon atau spidering. Di Burp Suite, sitemap tersimpan di tab Target.
Daftar aset yang boleh (in-scope) dan tidak boleh (out-of-scope) diuji dalam program bug bounty. Wajib dibaca sebelum mulai hunting.
Tingkat keparahan kerentanan: Critical, High, Medium, Low, Informational. Menentukan besarnya reward yang diterima.
Metrik reputasi di HackerOne yang mengukur rasio laporan valid vs tidak valid. Signal tinggi = lebih mudah masuk program private.
Serangan yang menyisipkan kode SQL berbahaya ke dalam query database melalui input yang tidak divalidasi.
Kerentanan yang memungkinkan attacker memaksa server melakukan request ke lokasi yang tidak seharusnya — termasuk layanan internal.
Kerentanan yang terjadi ketika input user dieksekusi oleh template engine di server — bisa berujung RCE.
Kondisi di mana attacker bisa mengklaim subdomain yang DNS-nya masih aktif tapi resource-nya sudah dihapus dari layanan pihak ketiga.
Proses membersihkan input user dengan menghapus atau mengubah karakter berbahaya. Aplikasi yang tidak sanitasi input dengan benar rentan terhadap injection attacks.
Proses dan orang yang memvalidasi laporan bug bounty — memverifikasi apakah bug valid, menentukan severity, dan memproses reward.
Protokol enkripsi yang mengamankan komunikasi HTTPS. Versi lamanya adalah SSL.
Mengubah karakter khusus menjadi format %XX agar aman dikirim dalam URL. Contoh: spasi = %20, < = %3C, > = %3E.
Program disclosure tanpa reward uang — perusahaan hanya memberikan acknowledgment. Bagus untuk latihan dan membangun portofolio.
Kelemahan atau celah dalam sistem yang bisa dieksploitasi untuk mengancam keamanan. Bug yang valid di bug bounty.
Proses memverifikasi bahwa input sesuai dengan format yang diharapkan — panjang, tipe, karakter yang diizinkan. Berbeda dengan sanitization yang membersihkan input.
File teks berisi daftar kata, path, atau payload yang digunakan untuk fuzzing dan brute force. Contoh: daftar nama direktori umum untuk directory discovery.
Sistem keamanan yang memfilter request berbahaya sebelum mencapai aplikasi. Bug hunter sering perlu bypass WAF untuk menguji kerentanan.
Teknik melewati Web Application Firewall menggunakan encoding, obfuscation, atau payload alternatif agar request berbahaya tidak terdeteksi filter.
Scope yang menggunakan tanda bintang seperti *.example.com — berarti semua subdomain dari domain tersebut boleh ditest. Lebih luas = lebih banyak peluang.
Tulisan yang menjelaskan detail teknis bagaimana sebuah bug ditemukan dan dieksploitasi. Membaca writeup hunter lain adalah cara belajar tercepat.
Serangan injeksi yang memungkinkan attacker menyisipkan script berbahaya ke halaman web yang dilihat user lain.
Kerentanan pada parser XML yang memungkinkan attacker menyisipkan referensi ke entitas eksternal — bisa digunakan untuk baca file lokal atau SSRF.