За 4 месяца — 20+ репортов, принято два: IDOR в API финтех-сервиса и reflected XSS в поддомене, который команда безопасности полгода не трогала. Суммарный баунти $200 и ни одного дупликата — если знать, куда смотреть.Автор разбирает полный kill chain багхантера по MITRE ATT&CK: разведка через T1595.002...
Bug Bounty с нуля: от выбора программы до первого принятого репорта
Источник: codeby.net