«В IT голодным не останешься» - поговорка новых реалий, которая давно себя оправдала. И ни для кого не секрет, что даже базовое образование в сфере цифровых технологий позволяет в дальнейшем работать сразу в нескольких направлениях. Поэтому, если вы ищите дополнительный заработок, то вас может заинтересовать такое неординарное явление в цифровом мире, как багхантинг – настоящая охота за «сокровищами».

Суть явления

«Не все преступники — злодеи», и не все хакеры работают в Даркнете. Многие разработчики или же просто люди, которые имеют достаточно знаний о работе серверов, готовы помогать делать интернет безопаснее и нашли свое призвание в поиске ошибок и уязвимостей на известных сайтах и в приложениях. Само явление получило название Bug Bounty («вознаграждение за ошибку»). Программы Bug Bounty реализованы многими известными компаниями, например, «Facebook», «Google», «Яндекс», «Вконтакте» и в принципе любой сервер будет благодарен тем, кто поможет им выявить ошибки в работе их цифровых продуктов.

Самые известные Bug Bounty платформы:

• Hackerone

• Bugcrowd

• Synack

• HackenProof

• Intigriti

• YesWeHack

• Bugbounty Japan

В основном все багхантеры - фрилансеры, а иногда и просто «добровольцы», поэтому они не имеют в своей деятельности каких-либо ограничений, и могут искать любые уязвимости, которые смогут найти. Также они вольны сами выбирать место своего заработка: искать заказы на специальных платформах, либо же проявлять собственную инициативу и тестить любые понравившиеся сайты или приложения. Все что нужно после выявления багов – отправить подробный отчет в техническую поддержку и получить заслуженное вознаграждение.

Подробнее о доходах

Самыми популярными платформами среди багхантеров считаются HackerOne и Bugcrowd, так как на них чаще всего появляются новые заказы. Политика сайтов защищает интересы как заказчиков, так и исполнителей, поэтому первым можно не беспокоиться о сохранности своих данных, а багхантеры могут быть уверены, что точно получат свой ганорар за выполненную работу.

Размер оклада зависит от уровня критичности найденных уязвимостей. На этих сайтах у исполнителей существует рейтинг, который повышается с количеством выполненных заданий. Для багхантеров с высоким рейтингом открывается доступ к приватной программе, где крупные компании размещают уже более серьезные задания, а значит, назначается и более щедрое вознаграждение.

Заработок на этих сайтах начинается от 50$ и может доходить и до 50 000$

Также недавно появились российские аналоги сайтов: BugBounty.ru и The Standoff 365. Заработок на этих платформах может составлять от 0 до 400 000 руб.

Многие сайты, например, такие как «Яндекс», на своих ресурсах имеют специальные программы поощрений для багхантеров. Яндекс за найденные ошибки платит от 5 000 до 170 000 руб.

И, как было написано ранее, можно уйти в абсолютный фриланс и искать ошибки на любых сайтах и приложениях, а дальше самостоятельно связываться с тех поддержкой и договариваться о цене.

Как стать охотником

Какие знания необходимы багхантерам и где всему этому обучаться? Как сама работа, так и обучение в этом направлении предполагают самостоятельный поиск и самообразование. Но начать может каждый, у кого достаточно знаний и навыков – от охотников требуется только грамотный отчет с найденными ошибками, и прикреплять к нему дипломы, сертификаты или справку с последнего места работы не потребуется.

Чтобы уметь находить ошибки, и чем разнообразнее и сложнее они будут, тем лучше, необходимо разбираться в следующих направлениях:

• Все о тестировании: методы, типы и виды, уметь работать с разными шаблонами проектирования;

• Разбираться в архитектуре веб-приложений;

• Понимать, как работают протоколы HTTP, DNS, TCP;

• Знать языки программирования (Python, Java, MySQL, PHP и др. – опять же, количество здесь выступает приемуществом)

• Практиковаться на тренажерах, например, «Hack The Box»;

• Читать дополнительную литературу и изучать открытые отчеты по найденным уязвимостям (они есть также на сайте «HackerOne»);

• Развивать нестандартное мышление – логические тренажеры точно помогут подходить к поиску более внимательно.

Сайт «HackerOne» запустил бесплатный курс «HACKER101», который могут пройти все желающие. На нем обучают:

• Как выявлять, использовать и устранять основные уязвимости веб-безопасности, а также многие другие скрытые ошибки;

• Как правильно обращаться с криптографией;

• Как разрабатывать и анализировать приложения с точки зрения безопасности;

• Как начать работать багхантеру

Мир супергероев: чем отличаются багхантеры от других специалистов

В цифровом сказочном мире тоже существуют белые и черные волшебники. Белые хакеры работают во благо человечества и свои способности для взлома применяют только из добрых побуждений. Носят они белые шляпы, и в их деятельность также входит выявление ошибок и уязвимостей. В отличие от багхантеров, «мирных жителей», белые, этичные хакеры выступают в качестве атакующей стороны, поэтому и специфика проблем, которыми они обычно занимаются, затрагивает только определенные сегменты. К тому же для хакеров взломы стали уже больше соревнованием или отдельным видом киберспорта. И чаще всего соревнуются в своих навыках по взлому на сайте CTFtime.

У тестировщиков, обладателей официальной работы со стабильным окладом, тоже ограничена сфера деятельности. В их работе основная ориентация идет на потребности пользователей, поэтому в первую очередь они следят за исправностью тех программ и функций, которыми чаще всего пользуются посетители сайта. С такой загруженностью невозможно проследить все ошибки, которые возникают, а думать о планах злоумышленников тем более некогда.  

Багхантеры же птицы свободного полета, и в отличие от смежных направлений, они могут сами выбирать ошибки, которыми хотят заниматься, и никаких ограничений в их деятельности нет.

Истории успеха

Стать стабильным ежемесячным доходом багхантинг не сможет. Можно браться только за высокооплачиваемые заказы, но задачи и необходимое для их решения время – всегда будут разными. В процессе выполнения одного задания, вполне возможно, что будут выявлены еще и другие ошибки или уязвимости.

А иногда можно разово выиграть в лотерею или сорвать большой куш на одной ошибке. И примеров таких счастливчиков среди багхантеров не мало.

Беларуский Android-разработчик Дмитрий Лукьяненко (по поводу правильности написания фамилии: на сайте Google и на чеке указано Лукьяненка, во всех российских СМИ о нем пишут как Лукьяненко) в 2018 году  за найденные баги получил гранты от «Google» 12 раз подряд. Один грант составляет 1337$ , эту выплату даже назвали в его честь «1 dmitry». Сейчас Дмитрий входит в топ 20 лучших багхантеров угла (сейчас на 13 месте).

А за один найденный баг на сайте «Facebook» он получил сразу $15 000.

Еще одна успешная история с компанией «Facebook» произошла у российского программиста Андрея Леонова: компания за найденную ошибку отправила Андрею чек на 40 000$. На тот момент, в 2017 году, это были рекордные выплаты за багхантинг от «Facebook».

В России также есть случаи «случайных» вознаграждений: за найденную уязвимость на сайте для своей клиентки компания ПИК продала квартиру по первоначальной цене, и даже сделала дополнительную скидку на 100 тысяч рублей.