- 综合排序
- 最热优先
- 最新优先
- 来自专栏小生观察室
如何在bugcrowd批量捡洞
业务、价值的理解程度不同导致漏洞定级存在争议 赏金分配不合理产生多起范围较广的扯皮事件 各种"内部已知"且无具体反馈 花费时间与回报不成正比 等等 类似如上原因也导致很多安全研究员纷纷转至国外平台 Bugcrowd 简介 目前全球4大漏洞赏金平台分别为Hackerone、Bugcrowd、intigriti、Yeswehack image.png 常见的漏洞奖励和分级，此处为下方漏洞厂商 image.png 其他厂商赏金范围 image.png image.png 本次就简单说明如何在Bugcrowd批量发现的漏洞案例,具体的批量大法文末可见 案例说明 这里以较为冷门且简单的DOM XSS为例 预输入下基于DOM的存储 然后将内容没有经过转义直接输出到页面 所以需要先创建名字带XSS荷载的旅游景点，访问并点击Attractions按钮，即可触发 image.png image.png 实力推荐 此处几个案例也都是Bugcrowd
3.3K20编辑于 2022-04-12 - 来自专栏网络安全技术点滴分享
我是如何操纵Bugcrowd平台排名的 - 漏洞挖掘技术解析
去年我发现了一个可以操纵Bugcrowd平台排名的方法，本文将分享具体实现方式及其潜在影响。作为背景说明，我在测试Bugcrowd平台时发现：通过API导入大量报告并给自己奖励积分，可以操纵平台排名。 以下是漏洞技术细节及运作原理：基本流程需要创建两个Bugcrowd账户：研究员账户和公司账户。 通过跟踪账户创建演示项目并获取API凭证后，按照官方文档构造API请求为研究员账户创建可认领的漏洞提交：import requestsheaders = { 'accept': 'application/vnd.bugcrowd ,"researcher_email":"muhammadkhizerjaved@bugcrowdninja.com"}}'response = requests.post('https://api.bugcrowd.com 该漏洞主要影响Bugcrowd及其合作企业的商业信誉，因为排名是平台用户信任体系的重要组成部分。可能导致声誉损害、客户信任流失和经济损失。我已将此问题报告给Bugcrowd，他们迅速进行了修复。
19300编辑于 2025-08-08 - 来自专栏网络安全技术点滴分享
2026年寻找隐藏的Bugcrowd和HackerOne项目的技术：利用OSINT技巧
仅会员可读的故事2026年寻找隐藏的Bugcrowd和HackerOne项目的技术如何通过OSINT技术发现漏洞赏金项目作者：Abhirup Konwar4分钟阅读·6小时前⚠️本文讨论的所有信息仅用于教育目的和符合道德规范的漏洞研究
9610编辑于 2026-01-09 - 来自专栏FreeBuf
如何成为一名漏洞赏金猎人
推荐了大量工具，大家可以把这些工具尽情的收藏起来 Bugcrowd Researcher Resources - Tools https://forum.bugcrowd.com/t/researcher-resources-tools channels=#bugcrowd 这个irc频道里面有超过100位安全研究员 Follow @Bugcrowd on Twitter https://twitter.com/bugcrowd 关注bugcrowd 可以看到最新的安全信息 Join the Bugcrowd Forum https://forum.bugcrowd.com/ 可以获得更多的资源并且能和更多的安全研究员做交流 六、开始了解更多关于漏洞赏金的事情吧 如何报告一个漏洞 https://researcherdocs.bugcrowd.com/docs/reporting-a-bug 我们建议通过Bugcrowd平台来报告漏洞 漏洞披露政策 https: 虽然那些厂商不会给你金钱奖励，但是在Bugcrowd会给你积分奖励。这是很好的开端并且也可以向Bugcrowd展示你的能力。
2K31发布于 2019-12-26 - 来自专栏FreeBuf
WebCopilot：一款功能强大的子域名枚举和安全漏洞扫描工具
2m0:~ webcopilot -d bugcrowd.com -o bugcrowd 使用-s命令可以仅执行子域名枚举： g! 2m0:~ webcopilot -d bugcrowd.com -o bugcrowd -s 使用-b命令可以扫描XSS盲注，我们可以通过xsshunter或interact获取服务器： g! 2m0:~ webcopilot -d bugcrowd.com -o bugcrowd -t 333 -b testServer.xss 使用-x命令可以排除不需要扫描的域名范围： g! 2m0:~ webcopilot -d bugcrowd.com -o bugcrowd -t 333 -x excludeDomain.txt -b testServer.xss 工具使用样例 g! 2m0:~ webcopilot -d bugcrowd.com - bugcrowd 许可证协议 本项目的开发与发布遵循MIT开源许可证协议。
1K10编辑于 2024-04-01 - 来自专栏网络安全
一文了解全球三大顶级漏洞悬赏平台
Bugcrowd网址：https://www.bugcrowd.com/ Bugcrowd 是另一个顶级漏洞悬赏平台，成立于2011年，专注于为企业和组织提供基于社区的网络安全解决方案。 作为漏洞悬赏领域的重要参与者，Bugcrowd 通过其庞大的全球白帽黑客社区，帮助企业发现和修复潜在的安全漏洞，从而提升系统安全性和用户数据的安全。 广泛的客户群：Bugcrowd 的客户覆盖了包括金融、零售、科技等多个行业的全球公司。高度可定制：企业可以根据自身需求，定制安全测试计划和奖励机制。 Bugcrowd通过这次漏洞悬赏计划帮助Netgear修补了问题，研究人员获得了15,000美元的赏金。 Tesla Bug Bounty 计划 Tesla 长期以来都通过 Bugcrowd 平台运行漏洞悬赏计划，以确保其汽车系统和在线服务的安全。
2.4K11编辑于 2024-09-13 - 来自专栏FreeBuf
使用bbscope进行大规模域名收集扫描
关于bbscope bbscope是一款功能强大的大规模信息收集工具，该工具由sw33tLie开发，可以帮助广大研究人员在HackerOne、Bugcrowd和Intigriti上实现大规模信息收集。 <session-token> <other-flags> 如何获取会话令牌（session token）： HackerOne：登录，然后获取名为“__Host-session”的Cookie值； Bugcrowd 使用样例 下面给出的是该工具的部分命令参数使用样例，所有的选项参数同样适用于Bugcrowd和Intigriti的子命令。
92740发布于 2021-07-27 - 来自专栏程序猿DD
OpenAI宣布漏洞赏金计划，最高奖金2万美元
我们已经与领先的漏洞赏金平台 Bugcrowd 合作，管理提交和奖励过程，其目的是确保所有参与者有一个简化的体验。详细规则如下： 你被授权在遵守本政策的情况下进行测试。 遵循本政策和任何其他相关协议。 使用 OpenAI 的 Bugcrowd 程序进行漏洞相关的交流。 在 OpenAI 的安全团队授权发布之前，对漏洞细节进行保密，我们将在收到报告后 90 天内提供授权。 另外，大多数发现的初始优先等级将使用 Bugcrowd 漏洞评级分类法。然而，漏洞的优先级和奖励可能会根据可能性或影响进行修改，这由 OpenAI 全权决定。 （更多详情见：https://bugcrowd.com/openai） ------ 我们创建了一个高质量的技术交流群，与优秀的人在一起，自己也会优秀起来，赶紧点击加群，享受一起成长的快乐。
55250编辑于 2023-04-17 - 来自专栏量子位
是兄弟就来找ChatGPT漏洞，OpenAI：最高赏金2万刀
具体来说，OpenAI将与漏洞反馈平台Bugcrowd展开合作，收集人们在使用其产品过程中发现的bug。 发现并通过该平台向其报告漏洞，可获得现金奖励： 我们会视漏洞的严重程度和影响范围给予现金奖励。 具体而言，用户反馈的漏洞将按照Bugcrowd评级分类法进行分级。 OpenAI坦言，漏洞的出现无法避免： OpenAI的使命是创造有利于所有人的人工智能系统。 参考链接： [1]https://openai.com/blog/bug-bounty-program [2]https://bugcrowd.com/openai [3]https://www.bloomberg.com
36430编辑于 2023-04-13 - 来自专栏FreeBuf
如何使用ParamSpider在Web文档中搜索敏感参数
for wordpress urls [More GF profiles to be added in future] 工具使用样例 $ python3 paramspider.py --domain bugcrowd.com --exclude woff,css,js,png,svg,php,jpg --output bugcrowd.txt 注意事项：因为该工具将从Web文档数据中爬取参数，因此输出结果存在一定假阳性。
5K40发布于 2020-09-14 - 来自专栏FreeBuf
Netflix公开漏洞奖励项目，Dropbox修改漏洞披露政策
本周三，Netflix 宣布在 Bugcrowd 平台公开其漏洞奖励项目，单个漏洞奖金高达 15000 美元。此外，Dropbox 也修改了其漏洞披露政策，承诺不会起诉漏洞研究员。 其非公开的漏洞奖励项目原本是面向 Bugcrowd 排名前 100 的研究员，而面向公众公开之后，累计有 700 多名白帽子加入了这个阵营。 ?
76440发布于 2018-04-18 - 来自专栏大数据文摘
ChatGPT「赏金猎人」招募！OpenAI悬赏2万美元，给ChatGPT找Bug
该项目与众包网络安全公司BugCrowd合作开展的，OpenAI 表示，该项目是其“致力于开发安全、先进的人工智能”的一部分。 /venturebeat.com/security/openai-announces-bug-bounty-program-to-address-ai-security-risks/ https://bugcrowd.com
32020编辑于 2023-04-21 - 来自专栏FreeBuf
经验分享 | 记一次通过子域模糊测试识别漏洞并获取高额赏金的经历
Abdullah Nawaf是一名专业的全职漏洞奖金猎人，而他也一直活跃在BugCrowd排名前五十的榜单上，其P1级别漏洞排名为11，主要挖掘的是P1和P2级别的漏洞。 当时，Abdullah Nawaf在BugCrowd上报告了一个能够导致SQLI&RCE的身份认证绕过漏洞，当时这个漏洞在上报后的第二天就被修复了。 https://bugcrowd.com/HackerX007 https://github.com/netsecurity-as/subfuz/blob/master/subdomain_megalist.txt
36610编辑于 2024-04-30 - 来自专栏机器之心
为ChatGPT捉Bug，OpenAI最高悬赏2万美金
OpenAI 与众包网络安全平台 Bugcrowd 合作，邀请机器学习领域所有研究人员报告 OpenAI 的模型系统中存在的 bug（漏洞）。 漏洞报告平台：https://bugcrowd.com/openai OpenAI 表示他们的使命是创建造福人类的 AI 系统，也因此大力投资于研究和工程，以确保其提出的人工智能系统安全可靠。
24210编辑于 2023-04-21 - 来自专栏安恒网络空间安全讲武堂
IDOR漏洞
例如， 我们测试的公司“Bugcrowd”，在范围页面上范围仅以“bugcrowd.com”的形式给出。在这种情况下，您可以通过右键单击请求来添加相关范围。 ? IDOR漏洞的影响 IDOR漏洞在Bugcrowd VRT中似乎是“依赖于影响的变种 ”，因为它们的影响完全取决于您提交的错误。 但是我们根据经验创建了以下一份关于IDOR漏洞影响的列表。 原文链接：https://www.bugcrowd.com/how-to-find-idor-insecure-direct-object-reference-vulnerabilities-for-large-bounty-rewards
4.2K30发布于 2019-09-29 - 来自专栏FreeBuf
Karma_v2：功能强大的被动开源情报自动化侦察框架
SHODAN_PREMIUM_API_HERE 工具使用 我们可以使用下列命令来查看工具的帮助信息： $ bash karma_v2 -h 工具运行模式&使用样例 输出结果示例 output/bugcrowd.com-YYYY-MM-DD / . ├── ASNs_Detailed_bugcrowd.com.txt ├── Collect │ ├── host_domain_domain.tld.json.gz │
96730编辑于 2021-12-09 - 来自专栏HACK学习
干货 | Github安全搬运工 2022年第十期
Polaris 渗透测试框架 地址：https://github.com/doimet/Polaris bbscope HackerOne、Bugcrowd、Intigriti 和 Immunefi
75620编辑于 2022-05-23 - 来自专栏Gamma安全实验室
为被动扫描器量身打造一款爬虫 - LSpider
(7) 内置了Hackerone、bugcrowd爬虫，提供账号的情况下可以一键获取某个目标的所有范围。 为什么选择LSpider? 如何配置扫描任务以及其他的配置相关，详情请参考： https://github.com/knownsec/LSpider/blob/master/docs/manage.md 使用内置的hackerone、bugcrowd
1.1K20发布于 2021-02-12 - 来自专栏深度学习与python
用编程赚外快的三个“副业”
sort_type=popular&filter=type%3Aall&page=1&range=forever Bugcrowd https://www.bugcrowd.com/bug-bounty-list
3.3K30发布于 2021-01-07 - 来自专栏网络安全技术点滴分享
渗透测试中的域名收集：方法与自动化工具指南
4.2 bbscope 地址：https://github.com/sw33tLie/bbscope 简介：适用于HackerOne、Bugcrowd、Intigriti、Immunefi和YesWeHack private projects） bbscope HackerOne -t <YOUR_TOKEN> -u <YOUR_H1_USERNAME> -b -p -o t -c all # Collect Bugcrowd assets, same as HackerOne command bbscope Bugcrowd -t <YOUR_TOKEN> -b -o t bbscope Bugcrowd -t <YOUR_TOKEN > -b -o t -c url bbscope Bugcrowd -t <YOUR_TOKEN> -b -o t -c android bbscope Bugcrowd -t <YOUR_TOKEN>
83211编辑于 2025-11-13
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号