مكافآت الثغرات
منصة، نطاق، تقرير، ومكافأة: كيف يتحول الشغف بدخل حقيقي.
برامج المكافآت (bug bounty) تدفع عن كل ثغرة تبلغ عنها في نظام مصرّح. منصات مثل HackerOne و Bugcrowd، وبرامج خاصة لشركات كبيرة.
الحقيقة اللي ما بيقولوها
- الغالبية ما بتربح أول شهر. الصبر هو الفارق، مش الذكاء.
- الكتابة نصف الشغلة: تقرير ضعيف = مكافأة أقل أو مرفوضة.
- النطاق (scope) مقدّس: خارجو = ما بتدفع، وأحيانًا ممنوع.
- التكرار (duplicate) شائع: تلاقيها، بس تلاقيها قبلك.
استراتيجية المبتدئين: اختار نظام واحد، اعرفو أكثر من كل الناس — أحسن من 20 نظام سطحي. العمق بيتكافأ.
قبل ما تكتب
- 1إعادة إنتاج واضحة: خطوة خطوة، أي حد يمشيها.
- 2الأثر: إيش تسرق؟ إيش تغيّر؟ مين يتأثر؟
- 3الإصلاح: اقتراح واقعي.
- 4الأدلة: طلبات، صور، سجلات.
خلّينا نطبّق خطوة بخطوة
سنفهم التقرير والإذن أولاً؛ هذا التمرين لا يقدم مكافأة مالية.
الخطوة 1 من 1
خذ اكتشافاً من متجر التدريب، واكتب ما المشكلة ومن يتأثر بها. ثم اكتب نطاقاً افتراضياً يسمح بمتجر التدريب وحده.
ليش؟ برنامج المكافآت يحدد الأهداف والقواعد؛ العثور على مشكلة لا يضمن مكافأة.
شو لازم تشوف؟ تفرق بين هدف مسموح وغيره، وبين اكتشاف واضح ووعد بدخل. لا تختبر موقعاً خارج النطاق.
اختبار سريع
اقرأ السؤال واضغط الإجابة التي تراها صحيحة. يظهر تحتها سبب الإجابة؛ وإذا أخطأت، اقرأ السبب وغيّر اختيارك. يُسجّل الدرس مكتملًا عندما تصح كل إجاباتك.
أيش أهم مهنة غير التقنية في bug bounty؟
لقيت ثغرة خارج النطاق — أيش تعمل؟