화이트햇 해커로서 [안전한 세상을 만드는데 기여](http://patchday.io/white-hat-hackers/)하고 싶으신가요? 소프트웨어, 웹 서비스 등의 보안 취약점을 발견해 금전적인 보상을 받고, 해커로서 명예를 쌓고 싶은 마음이 있으신가요? **버그바운티는 전 세계 보안 전문가가 참여하는 활동 중 하나로, 단순히 해킹 기술을 연마하는 것뿐만 아니라 수익을 올리고 커리어를 쌓을 수 있는 기회입니다.** **버그바운티가 무엇인지, 준비 과정**등을 소개하며 **버그바운티를 시작하기 위해 알아야 하는 정보**들을 살펴보겠습니다. 특히, 패치데이의 보안 전문가가 **국내외 70여 개 버그바운티에 참여하며 느꼈던 실전 Tip**💡까지 공유할 예정이니 꼭 게시글 끝까지 확인해 주세요! ## 버그바운티란? > **버그바운티(Bugbounty)란 윤리적인 화이트햇 해커가 기업이 허용한 자산을 분석해 보안 취약점을 제보하고 보상받는 제도**입니다. 취약점 보상 프로그램(VRP, Vulnerability Reward Program)이라고도 불리며, 취약점을 관리하고 보안 사고를 예방할 수 있는 방법 중 하나입니다. 제한된 인원으로 진행하는 [모의해킹과 다르게](https://patchday.io/board/blog/11) 버그바운티는 크라우드 소싱 기반의 침투 테스트로, 다수의 보안 전문가, 화이트햇 해커가 참여해 다양한 관점에서 기업의 시스템을 분석합니다. 상시 운영으로 진행하기 때문에 지속적으로 시스템을 분석할 수 있는 점이 특징입니다. 📌 버그 헌터: 버그 헌터(Bug Hunter)란 버그바운티에 참여하는 화이트햇 해커를 말합니다. 📌 버그 헌팅: 버그 헌팅(Bug Hunting)이란 버그바운티에 참여해 자산에서 버그를 찾는 것을 의미합니다. ## 화이트햇 해커가 버그바운티를 하는 이유 화이트햇 해커는 버그바운티에 참여하는 이유는 크게 세 가지입니다.(개인차가 있을 수 있습니다.) **버그바운티에 참여해 수입(포상금)을 얻기 위해, 해커로서 기술을 공부하기 위해, 명예와 커리어를 쌓기 위해 참여합니다.** * 버그바운티 프로그램은 취약점을 제보한 해커의 명단을 명예의 전당(Hall of Fame, [패치데이 리더보드](https://patchday.io/leaderboard/total) / [명예의 전당](https://patchday.io/theori/patchday/hof))이라는 이름으로 공개합니다. **프로그램 보안에 기여했다는 자부심과 자신의 실력을 증명할 수 있습니다.** * 공개적으로 알려진 보안 취약점(CVE, Common Vulnerabilities and Exposures)을 발급받을 수 있습니다. **CVE를 발급받은 이력만으로 전문성을 입증할 수 있습니다.** (CVE 발급을 지원하는 프로그램 한정) * 다른 사람이 제보한 취약점 보고서를 보며 **생각지 못한 공격 표면이나 공격 기법을 보고 익힐 수 있습니다.** ## 버그바운티 하는 법 **프로그램을 분석해 취약점과 버그를 찾을 수 있으면 누구나 버그바운티에 참여할 수 있습니다.** 버그바운티에 참여하는 **화이트햇 해커, 버그 헌터의 참여 과정과 주의할 점**을 소개합니다. #### 1️⃣ 버그바운티 공부: 프로그램 분석, 취약점/버그 찾는 방법 습득 **기초 보안 지식을 확실히 이해한 후 버그바운티에 참여하는 것이 좋습니다.** 소스코드를 보고 이해할 수 있거나, SQL 인젝션, XSS, CSRF 등 버그바운티로 자주 제보되는 취약점, 해당 취약점을 확인하는 방법 등을 먼저 익혀야 합니다. 온라인 강의, 커뮤니티에서 기초 지식을 습득할 수 있으며 [국내 최대 규모 보안 교육 플랫폼 드림핵](https://dreamhack.io/)에서 강의뿐 아니라 Wargame, CTF를 통해 실제 보안 문제를 해결하며 경험을 쌓을 수 있습니다. #### 2️⃣ 버그바운티 프로그램 선정 버그바운티 프로그램에 참여하기 위해 자신이 참여하고자 하는 프로그램을 선택하는 것이 중요합니다. **프로그램의 허용 범위가 Web, App, Blockchain 등 자신이 분석할 수 있는 분야인지 확인 후 선택합니다.** 자주 이용하는 사이트, 유명한 사이트가 아니라 **반드시 버그바운티 대상으로 허용한 타겟**을 분석해야 합니다. #### 3️⃣ 버그바운티 프로그램의 규칙 확인 서비스하고 있는 프로그램을 버그 헌팅 하려면 **각 프로그램의 규칙과 허용 범위를 철저히 확인**하는 것이 중요합니다. 기업이 허용한 제품 및 프로그램의 특정 범위 안에서만 취약점을 분석해야 하고, 시스템의 안정성을 훼손하지 않도록 주의해야 합니다. **허용 범위가 아닌 서비스에 버그 헌팅을 위해 공격했다면 형사처벌의 대상이 될 수 있습니다.** #### 4️⃣ 취약점 분석, 버그 헌팅 및 제보 버그바운티 허용 범위에서 취약점, 버그를 발견했다면 해당 프로그램 양식에 맞춰 제보합니다. **취약점 종류, 취약점 위험도 등급, 취약점 개요, 영향, 해결 방안을 상세히 작성하는 것이 중요합니다.** 동일한 취약점이 이미 발견된 적 있거나, 허용 범위의 취약점이 아니라면 유효하지 않은 취약점으로 분류되어 포상금을 받지 못할 수 있습니다. 기업이 유효한 취약점이라고 판단하면 그 영향력에 상응하는 포상금을 받을 수 있습니다. ## 버그바운티 사이트 (버그바운티 플랫폼) 내가 참여할 수 있는 버그바운티 프로그램을 어디서 확인할 수 있을까요? 바로 버그바운티 사이트, 버그바운티 플랫폼을 통해 알 수 있습니다. **버그바운티 사이트(이하 플랫폼)는 버그바운티 프로그램을 운영하는 기업과 화이트햇 해커(버그 헌터)를 연결해 보고서 제보 창구, 해커와 기업 간의 의사소통, 포상금 지급 등을 지원합니다.** 구글, 마이크로소프트 등 자체적으로 버그바운티를 운영하는 기업도 있지만, 대다수의 기업은 수많은 제보를 검토/처리하기 어렵기 때문에 버그바운티 사이트를 이용합니다. 네이버 웨일, LG 전자, 업비트 등 국내 유수 기업의 버그바운티는 [쉽고 편한 버그바운티 플랫폼 패치데이](https://patchday.io/)에서 참여하실 수 있습니다. 해외 버그바운티 플랫폼은 HackerOne, Bugcrowd, HackenProof 등이 있으니 다양한 플랫폼에서 버그바운티 프로그램을 확인해 보세요! ## 패치데이만의 버그 헌터 실전 Tip! 버그바운티 프로그램에 참여할 때 꼭 알아야 할 Tip은 무엇일까요? 버그바운티 플랫폼 패치데이의 보안 전문가이자 **국내외 70여 개 버그바운티 프로그램에 참여한 전문 버그 헌터의 노하우를 공유합니다!** #### 💡 버그바운티 Tip 1 - 프로그램 포상금 범위와 허용 범위을 보면 기업이 중요시하는 취약점을 알 수 있습니다. tip-image-1

모든 버그바운티 프로그램엔 허용 범위와 포상금 범위가 명시되어 있습니다. 패치데이는 취약점 분류별 위험도 범위까지 표현하고 있는데요. XSS, SQL Injection 등 어떤 취약점의 위험도가 더 높은지 확인 후, **높은 위험도의 취약점을 찾기 위해 시도하면 더 높은 포상금을 받을** 확률이 높습니다.
#### 💡 버그바운티 Tip 2 - 공개된 보고서를 참고해 취약점 보고서를 작성하세요. tip-image-2

[https://patchday.io/open-reports/1 ](https://patchday.io/open-reports/1)

제보한 취약점 보고서를 보고 해당 취약점이 유효한지, 어느 정도 위험도를 갖고 있는지 판단하게 됩니다. 그만큼 보고서의 퀄리티가 중요한데요, 개념 증명 코드(PoC), 취약점의 root cause, 필요한 공격 시나리오 등 상세히 작성할수록 포상금을 받을 확률이 높아집니다.
#### 💡 버그바운티 Tip 3 - Web3 버그바운티에 도전해 보세요. Web3 서비스는 소스코드가 공개되어 있을 확률이 큽니다. 코드를 찾기 위한 수고를 덜 수 있으며, 코드를 보지 않고 해킹하는 블랙박스보다 서비스를 빠르게 이해해 공격을 시도할 수 있습니다. 또한, 돈과 직결된 서비스가 많기에 포상금이 큰 경우가 많습니다. Web3 서비스 분석 기법을 익혀 다양한 프로그램에 도전하는 것을 추천합니다. (패치데이에 다양한 Web3 프로그램이 있습니다. - [업비트](https://patchday.io/dunamu/upbit/), [BIFROST](https://patchday.io/bifrost-pilab/bifrost/), [BIFROST Node](https://patchday.io/bifrost-pilab/bifrost-node/), [Klaytn Blockchain](https://patchday.io/klaytn/klaytn-blockchain/))
#### 💡 버그바운티 Tip 4 - Zero Day Initiative가 주관하는 Pwn2Own 대회를 참관해 보세요. Pwn2Own은 자동차, 브라우저 등 실제 대상을 해킹해 취약점을 찾아내는 제로데이(0day, 알려지지 않은 취약점) 대회입니다. **잘 알려진 타겟에 전 세계 해커, 버그 헌터들이 시도한, 생각지도 못한 공격 기법을 확인할 수 있습니다.** 다른 사람의 공격 시도를 보는 것으로도 버그를 찾을 수 있는 다양한 방법을 익히는 데에 도움이 됩니다. ([Pwn2Own 대회가 궁금하다면?](https://blog.theori.io/interview-vulnerability-research-pwn2own2024-nday-exploit-c884970db396))
#### 💡 버그바운티 Tip 5 - 버그바운티 전용 계정을 만들고, VPN을 이용하세요. 로그인이 필요한 서비스에 평소 사용하던 ID로 공격을 시도할 경우 계정이 정지되거나 정상적인 활동을 못할 수도 있습니다. 또한 회사 IP로 공격을 시도하면 해당 서비스에 회사 IP로 접근을 전부 차단될 위험이 있습니다. **서비스되고 있는 프로그램에 버그바운티를 위한 공격을 시도할 때엔 전용 계정을 새로 만들고, VPN을 이용해 해킹을 시도하는 것이 안전합니다.** ## 쉽고 편한 버그바운티 플랫폼, 패치데이 버그바운티 어디서 시작하면 좋을까요? 국내 최대 규모 버그바운티 포상금 프로그램이 있는 **패치데이**를 소개합니다! #### 📌 버그 헌팅에만 집중할 수 있는 플랫폼 최대 한 달 이내 포상금 지급, 취약점 보고 프로세스 간소화 등 **스트레스받지 않고 온전히 버그 헌팅에만 집중할 수 있도록 지원합니다.** #### 📌 제보할수록 커져가는 MVH 보상 취약점을 제보할수록 쌓이는 포인트를 통해 포상금 보너스 5%, 컨퍼런스 초청권 등의 보상을 드립니다! #### 📌 패치데이 버그 헌터 전용 혜택 버그바운티 프로그램 선공개, 비공개 프로그램 참여, 전문 버그 헌터 커뮤니티, 버그 헌터를 위한 패치데이 굿즈 등 패치데이와 함께하는 인증된 버그 헌터에게만 혜택을 드립니다. 화이트햇 해커가 버그 헌팅에만 집중할 수 있도록 모든 운영을 지원하는 버그바운티 플랫폼 패치데이! 2,000명의 버그 헌터가 패치데이와 함께하는 이유가 궁금하다면 지금 바로 시작해 보세요! [▶ 버그바운티 플랫폼 패치데이 버그 헌터 크루 지원하기](https://patchday.io/bughunter-crew/) [▶ 버그바운티 플랫폼 패치데이 화이트햇 해커 혜택 확인하기](https://patchday.io/white-hat-hackers/)

새소식

패치데이에 대한 새로운 소식들과 이벤트를 확인하세요.

버그바운티란? 시작하기 전 꼭 알아야 하는 점 총정리! (공부, 하는 법, 사이트, Tip)

PatchDay · 2024.09.09. 11:06