Bug Bounty untuk Pemula — Tips Memulai Perjalanan Menemukan Celah dengan Etika

Bug bounty adalah program yang dijalankan perusahaan atau platform seperti HackerOne, Bugcrowd, dan Intigriti, di mana mereka memberi izin eksplisit kepada security researcher untuk menguji sistem mereka. Jika kita menemukan kerentanan yang valid, kita akan mendapat reward. Bentuknya bisa uang tunai, swag, atau bahkan Hall of Fame. Tapi yang lebih berharga menurutku adalah pengalaman: kita belajar membaca aplikasi nyata, memahami logika bisnis, dan menulis laporan yang bisa dipahami engineer.

Apa Itu Bug Bounty, Sebenarnya?

Bayangkan kamu memarkir mobil di area publik. Ada papan peringatan yang bilang, "Silakan periksa keamanan pintu dan jendela. Jika menemukan cara masuk, laporkan ke kami dan dapatkan hadiah." Itulah inti bug bounty. Perusahaan mengatakan, "Sistem kami boleh kamu uji, tapi hanya di area yang kami tentukan, dan jangan menyimpan data sensitif yang kamu temukan."

Program ini berbeda dengan penetration testing klasik yang biasanya dilakukan kontrak berbayar. Di bug bounty, siapa saja bisa ikut — dari pemula yang baru mengenal OWASP Top 10, sampai researcher senior yang fokus pada SSRF atau deserialization chain. Reward juga bervariasi: ada yang $50 untuk bug low severity, sampai puluhan ribu dolar untuk remote code execution.

Mengapa Bug Bounty Cocok untuk Pemula?

Belajar cyber security tanpa target nyata terasa seperti belajar berenang di kolam yang tidak berair. Teori tentang XSS, SQL injection, atau IDOR memang penting, tapi saat kita baru pertama kali melihat form login di aplikasi nyata, otak kita seringkali blank. Bug bounty memberikan target legal, real-world, dan beragam.

Tools Dasar yang Perlu Dikuasai

Kamu tidak perlu membeli tool mahal untuk memulai. Sebagian besar hal yang kita butuhkan sudah gratis dan open-source. Berikut adalah "tas kecil" yang sering kugunakan saat ingin mengikuti program baru.

• Browser + Burp Suite Community: untuk intercept request, modifikasi parameter, dan menguji input validation.
• FFUF atau Gobuster: directory fuzzing untuk menemukan endpoint tersembunyi.
• Nmap: port scanning pada target yang memperbolehkan pengujian infrastruktur.
• Subfinder atau Amass: recon subdomain agar kita tidak hanya menguji domain utama.
• Wayback Machine atau gau: mencari URL lama yang mungkin masih hidup dan rentan.
• Terminal dan shell scripting: untuk otomatisasi pipa data hasil recon.

Contoh sederhana pipeline recon untuk mengumpulkan subdomain dan URL historis:

# Kumpulkan subdomain aktif
subfinder -d target.com -o subs.txt

# Cek yang benar-benar hidup
httpx -l subs.txt -o live-subs.txt

# Ambil URL historis dari Wayback
gau -subs live-subs.txt > urls.txt

# Filter parameter yang menarik
cat urls.txt | grep -E '\?|=' | sort -u > params.txt

Skrip di atas bukan jaminan menemukan bug, tapi setidaknya memberi kita peta yang lebih jelas. Seperti detektif yang menyusun dinding penuh foto dan benang merah, recon membantu kita melihat pola.

Workflow Sederhana dari Recon Sampai Report

Mulailah dengan membaca scope dan policy program. Jangan pernah menguji domain atau fitur di luar daftar yang diizinkan. Seperti tamu di rumah orang, kita hanya boleh masuk ke ruangan yang pintunya terbuka untuk kita.

1. Reconnaissance: kenali domain, subdomain, teknologi, dan endpoint. Gunakan tools dengan bijak.
2. Mapping: buat daftar fitur aplikasi: login, register, upload, reset password, dashboard, API, dll.
3. Testing: uji input point satu per satu. Mulai dari low-hanging fruit seperti XSS, IDOR, dan open redirect.
4. Chain: kadang satu bug kecil tidak berbahaya, tapi jika digabung dengan bug lain bisa jadi critical.
5. Report: tulis langkah reproduksi, dampak, dan mitigasi dengan bahasa yang sopan dan jelas.

Template laporan sederhana yang biasa kupakai:

Title: Reflected XSS di Endpoint /search?q=
Severity: Medium
URL: https://target.com/search?q=<payload>
Steps to Reproduce:
1. Buka https://target.com/search?q=<img src=x onerror=alert(1)>
2. Perhatikan alert(1) muncul.

Impact:
Penyerang bisa mengeksekusi JavaScript di browser korban yang sedang login.

Mitigation:
Escape output dan implement Content Security Policy (CSP) yang ketat.

Etika dan Batasan yang Tidak Boleh Dilanggar

Bug bounty bukan lisensi untuk melakukan apa saja. Ada aturan tak tertulis yang lebih penting dari bounty itu sendiri: jangan merusak, jangan akses data orang lain, dan jangan eksploitasi setelah laporan dikirim kecuali diminta.

Aku pernah mendengar cerita researcher pemula yang terburu-buru mengirim payload berbahaya ke production, lalu membuat database target penuh sampah data. Itu bukan bug bounty; itu vandalisme. Jika kamu menemukan celah yang berpotensi merusak data, hentikan pengujian, dokumentasikan dengan bukti minimal, dan laporkan.

Beberapa program juga melarang penggunaan automated exploitation tanpa izin, terutama untuk brute-force, denial of service, atau social engineering. Selalu baca policy hingga selesai. Bukan karena kita ingin pintar, tapi karena kita ingin diundang lagi ke pesta tersebut.

Kesimpulan

Bug bounty adalah jembatan yang bagus untuk berpindah dari "belajar teori" ke "berlatih di lapangan". Kamu tidak perlu jadi master untuk mulai. Mulailah dari program yang ramah pemula, pilih target dengan scope luas, dan fokus pada bug klasik seperti XSS, IDOR, atau information disclosure. Setiap laporan yang kamu tulis — meski ditolak — akan mengajarkanmu sesuatu.

Bagi yang seperti aku, yang dulu hanya membaca CVE dan bertanya-tanya bagaimana rasanya menemukan kerentanan, bug bounty adalah undangan untuk duduk di meja yang sama dengan engineer dari perusahaan besar. Asalkan kita tetap beretika, setiap celah yang kita temukan bukan cuma angka di rekening, tapi juga bukti bahwa kita sudah mulai paham bahasa sistem.

Jika kamu sudah pernah mencoba bug bounty, bagikan pengalaman pertama di kolom komentar. Kita bisa belajar bersama — termasuk dari laporan yang berujung duplicate.