Yapay zekadan makale özeti
- Kısa
- Ayrıntılı
- Bu video, bir bilgisayar mühendisi tarafından sunulan bug bounty programları ve bilgi toplama teknikleri hakkında bir eğitim serisinin parçasıdır. Sunucu, bir yıl boyunca freelance olarak bug bounty programlarında çalıştığını belirtiyor.
- Video, bug bounty programlarının ne olduğunu açıklayarak başlıyor, çeşitli platformları (Bugcrowd, HackerOne, YesbHack, Integrity) tanıtıyor ve puan sistemi ile açık türleri hakkında bilgi veriyor. Daha sonra recon (bilgi toplama) sürecine geçiliyor ve "amas" gibi araçlar ile Google dorkları gibi teknikler kullanılarak internet üzerindeki açık bilgilerin nasıl toplanacağı gösteriliyor.
- Video, bir serinin parçası olup, gelecek bölümlerde konunun daha detaylı işleneceği belirtiliyor. Ayrıca açık kaynaklı bilgi toplama platformları ve Linux öğrenme kaynakları hakkında da bilgi veriliyor.
- 00:07Bug Bounty Programları Tanıtımı
- Bug bounty programlarına (hata ödülleri) ve Recon hadisesine (bilgi toplama) giriş yapılacak.
- Konuşmacı bir yıl boyunca freelance olarak bug bounty programları üzerinde çalışıyor.
- Bug bounty programları, internet üzerinden firmaların güvenlik açıklarını bildirerek legal ve risk almadan para kazanma imkanı sunuyor.
- 01:13Popüler Bug Bounty Platformları
- Bak.crow.com, HackerOne.com, YesbHack ve Integrity gibi platformlar bug bounty programlarına katılım sağlıyor.
- Bazı platformlar para ödülleri verirken, bazıları tişört, anahtarlık gibi hediyeler sunuyor.
- YesbHack ve Integrity gibi platformlarda Avrupa tabanlı programlar bulunuyor ve bazıları için pasaport kaydı gerekiyor.
- 02:36Bug Bounty Sistemi ve Puanlama
- Sistem sıfır puanla başlıyor ve puan topladıkça özel programlara erişim sağlıyor.
- P1, P2, P3 gibi açık seviyeleri bulunuyor; örneğin cross scripting P3, sub domain takeover P2, SQL injection P1 seviyesine giriyor.
- Bak.crow.com en yüksek meblağ ödemesi yapıyor; P3 level açık için 500 dolar, P2 level açık için 900-1500 dolar ödemeler sunuyor.
- 05:53Recon ve Bilgi Toplama
- Recon, bir bug bounty programını seçtikten sonra firmaların sınırlarına göre envanterin detay ve kapsamını belirlemek için yapılan aktif ve pasif bilgi toplama işlemidir.
- Recon işlemi, firmanın domainleri, uygulamaları, sınırları ve kullanılan teknolojileri belirlemek için kullanılıyor.
- Recon kapsamında ip alanlarının keşfi, yeni hedeflerin belirlenmesi ve sub domainlerin animasyonları gibi konular işleniyor.
- 06:52Bilgi Toplama Araçları
- Fair.com domain kayıtlarını alarak hangi domainlerin nerede tutulduğunu ve kim tarafından kaydedildiğini öğrenmek mümkündür.
- Amas tarafından geliştirilmiş bir araç kullanılarak bilgi toplama işlemleri yapılabilir.
- Tesla.com gibi bazı şirketler, belirli bir kapsam içerisinde test edilmesine izin veren "ödül avcılığı" programları sunmaktadır.
- 08:10Sub Domain ve Bilgi Toplama
- Sub domain, bir domain altında kendine ait bir adresi olan alt bir kümeyi ifade eder.
- Araçlar favicon, robot.txt gibi bilgileri de toplayabilir.
- Bilgi toplama araçları, domainler arasındaki ilişkileri ve kimin elinde kimin cebinde olduğunu gösterir.
- 10:48Google Dorks ve Bilgi Toplama
- Google dorks, özel arama sorguları oluşturarak internet üzerinde açık unutulan bilgileri toplamak için kullanılır.
- Google dorks ile "masq root password" kelimesi geçen ve ".git" uzantısına sahip dosyalar aranabilir.
- Bu bilgiler, veritabanı bilgilerini alıp saldırı yapmak için kullanılabilir.