Bug Bounty - Access control Vulnerability And Privilege Escalation (Tokopedia Platform)

[@paulodybala9215]

sering-sering bikin konten kek gini bang. jarang soalnya di Indo yg ngebahas bug bounty 😂

[@crudpro]

Siap,, dukung terus channel ini, semoga bermanfaat buat semuanya ☺

[@rtdev8512]

salah satu cara untuk memastikan validasi akses adalah dengan pengaturan middleware, soalnya developer sering kecolongan disini, cuma nambahin validasi akses di frontend doang padahal kalo si peretas buka link secara langsung (misal, dengan menuliskan admin/blabla atau seller/blabla ) tetap bisa terbuka, klo saya pribadi biasanya menambahkan fake 404 untuk user yang mengakses halaman yang harusnya gak bisa diakses

[@crudpro]

Ya bener bang, middleware salah satu best practice untuk digunakan memvalidasi role & permission di backend ✅

[@thefiredguy]

Mantap euy mang

[@Roblox-Mod-Menu]

Istirahat bang

[@crudpro]

😁

[@permanar_]

keren banget om!! with all due respect, itu keliatan sepele banget, tapi kenapa bisa bablas yak pdhl untuk Tab informasi yang lain udah ketutup rapet tuh? 🤔 itu baru "yang keliatan" lewat UI kan, kalau bisa nemu endpoint2 lainnya, jangan-jangan masih banyak yang gaada security check-nya nih😅

[@crudpro]

Tergantung om, programmer magang atau programmer senior yang kerjain nya,,, 😂 tapi harusnya sekelas tokped gak hire programmer magang buat pegang coding di web utamanya, kita positif thinking aja mungkin dikejar deadline 😁

[@Mofris]

Kelassss bangkuh

[@dimasap6339]

Berarti kalau kita hanya click dari yang admin biasa tidak akan bisa diakses karena hanya melalui front end ? Tetapi jika langsung via link yang terkait yang tidak terikat di front end malah masih bisa diakses

[@crudpro]

Yap bener, berarti itu validasi role & permission nya hanya di sisi frontend nya saja.

[@duxeditz1039]

Bang bukannya web bounty Tokopedia lagi tutup ya? Terus gimana klo nemu bug? Apakah ngelapor melalui email?

[@crudpro]

Sbnernya bug Ini di report setahun yang lalu, soalnya kalau langsung upload takut kena peringatan lagi, harus nunggu 3 bulan atau berapa bulan dulu gitu sampe bug nya fixed, eh malah lupa buat upload dah haha Iya semenjak merge sama bytedance closed, mungkin sementara kayaknya tar juga open lagi bg

[@raflirashadifa9611]

wkwkwk matamu membuktikan bang

[@crudpro]

🤔

[@rdkaaji2681]

Mata panda bang ​@@crudpro

[@ardee182]

jangan lupa ngopi kakak...

[@crudpro]

Ahahah siap pak dosen ku 🫡

[@haizk]

ini bukannya karena programmer lupa tambahin cek akses di fitur itu ya? bukan privilege escalation? nice content btw bang! subbed

[@crudpro]

Ya bisa jadi lupa kita positif thinking aja bang mungkin dikejar deadline 😁

[@privacyhelp]

Apakah klo reward seperti ini duitnya didapat dengan cara memotong gaji karyawan/programmer tokped?

[@faathirazukhruf8060]

tidak bg setau saya kalo perusahaan gede itu udah ada itungannya sendiri buat biaya cybersecurity nya termasuk buat bug bounty hunter

[@privacyhelp]

@faathirazukhruf8060 berarti internal bisa buat bug palsu, terus kasih tau eksternal ada bug, terus dapatin reward dong

[@faathirazukhruf8060]

@@privacyhelp biasanya di perusahaan gede itu ada yang namanya QA bang nah tugas QA itu memeriksa bug nya dulu jadi orang internal kalo ada bug pasti diperiksa dulu sama QA nah kalo semisal udah lewat diuji sama QA baru dirilis nah bug bounty itu nyari tau bug nya pas udah rilis jadi kemungkinan hal seperti internal ngasih tau ke eksternal gitu gak akan terjadi, kalo sampe kejadian berarti si QA nya yang perlu direvisi bang btw QA itu semacam kayak tester nya gitu bang

[@faathirazukhruf8060]

@@privacyhelp jadi sebelum si developer nya ngerilisin projekan bakal di tes dulu sama si QA kalo dah lolos baru bisa rilis kalo misal masih ada bug atau buat bug palsu pasti bakal disuruh revisian dulu sama si QA nya bang

[@privacyhelp]

@@faathirazukhruf8060 Ya bagi hasil sama QA dong

[@Lionel_R21]

maaf bang bukan bermaksud merendahkan 🙏, kalau ini kan dev awam asal ngerti routing juga sebenernya kalau ada niat bisa aja menemukan bug ini, apakah bug se "simple" (simple nya bukan mudah ya, tpi ini pure kadang dev lupa nambahin permission atau kadang kelewat testing) ini bisa termasuk bug fatal ya bang sehingga bisa dilaporkan dan mendapatkan reward ? kalau iya, berarti hacking itu ga perlu harus menguasai tools ya bang, asal ada niat nyari pasti bisa aja dapat saya sebagai developer FE jg kadang bug seperti ini lolos QA, nnti bgitu lagi cek cek lagi baru nemu lupa pasang hak access

[@mrrobot4048]

bug hunting tidak perlu tools bg tools itu cuma pembantu paling yang memang wajib itu burp suite aja si menurut ku karna dengan 1 tools ini banyak kerentanan yang bisa di hasilkan biasanya tools kaya katana,sqlmap itu ngebantu doang selebihnya bagusan manual aja keliatannya simple tapi namanya domain ga cuma 1 bro 1 domain punya banyak subdomain dan kerentanannya kan kita gatau dimana nyarinya itu yang capek biasanya juga beda2 kerentanan idor itu kan beda2 ada yang dia pake user id acak gitu

[@iva_ind]

izin menjawab ya. Kalau di tim ku bagian CS dan QA itu digabung sehingga banyak permasalahan sepele namun fatal seperti ini dapat dicegah. Kalau di tim ku CS dan QA itu biasanya mentest menggunakan tools simple yg biasanya di pakai oleh dev juga seperti postman atau burpsuite

[@Lionel_R21]

@@mrrobot4048 nice info bang, sbg dev juga harus minimal sedikit penguasaan tools hacking sih supaya minim bug yg fatal

[@Lionel_R21]

@iva_ind wah klo CS dan QA disatukan mantap itu bang double check, yg pasti CS nya juga harus paham program bang, keren sih ini perusahaan nnya hehe

[@crudpro]

Bener tools itu hanya sekedar alat bantu, nah itu dia yang harus kita pertanyakan kenapa bisa lolos sama QA? Kadang QA juga gak terlalu paham dengan security sederhana semacam ini,, QA biasanya test berdasarkan skenario user awam biasanya ya, ya kecuali kalau QA yang faham security mungkin bisa tau hal sederhana seperti ini 😁

[@abdulazizahwan]

Klass bang 🔥

[@Febtics]

mas aku kemarin nemuin bug di subdo kemdikbud, itu bisa berdampak atau bisa membaca file etc .... , apakah itu termasuk fatal?

[@AzkaTiko]

gak fatal, percuma kayaknya laporan .wkwk

[@Febtics]

@@AzkaTiko iye si bang kwkwkwkw, sering lapor dlu, keseringan feedback nya cuma trimakasih 🤣🤣🤣

[@crudpro]

Ahaha,,, kalau menurut kita sebagai researcher ya itu file sensitif, cuma gak tau nih ya kan kalau bagi merekanya gimana,,, 😂

[@Febtics]

@@crudpro bener mas kwkwkwkw, mngkin kalau lapor juga ga bakal di balas mas, trus tiba2 di fix, dlu lapor kena RCE di gov indo aja ga dibales, tiba2 bug nya di tutup hahaha

[@crudpro]

@@Febtics 2M bang 🤭

[@jossesuryapinem42]

Tutor nasa bug bounty bg hehhe

[@crudpro]

waduh, bisa aja sih tapi perlu riset dulu bang,, 😅

[@locklockx]

gg

BAC ni susah' gampang menurutku, perlu sabar extra buat check satu persatu fitur

[@kheyralsutan3899]

Ada POC nya gak bang?

[@vallerioalvaren]

itu kan udh dikasih poc + dijelasin sama abangnya cmiww

[@kheyralsutan3899]

@@vallerioalvaren maksud gw write up nya bang

[@budiman-kr5ug]

Bug bounty = QA tester pihak ketiga?

[@crudpro]

Tapi bug kan? bahaya gak kira kira kalau aplikasi seperti itu?

[@budiman-kr5ug]

@crudpro bahaya bang, si tokped bisa kena kerugian citra & materi ataupun sanksi. Semoga si tokped bisa menghargai effort bug bounty

[@fatkharrofiqi]

ngelaporin bug ini dapat reward berapa bang kisaran?

[@crudpro]

Lumayan bang buat beli beras 😅

[@ukilukman3496]

Jar spill mic dan cara settingna

[@crudpro]

Pake ampli + mixing & mastering audio na, mic murah ge mantep jadina ki,

[@playmorefunny2340]

GG BANG

[@calonmayat468]

BANG BEKAWAN KITA YA, BIAR NULAR ILMUNYA 😂

[@evanabygail]

mata panda bang

[@arief_]

dapet 2M bang ?

[@crudpro]

Ada bounty nya bang valid,

[@yogapratama90s]

Kalo pembelian menurut saya ngga bisa di “akalin” soalnya pake 3rd-party & webhook juga. Jadi jangan harap bisa beli barang tanpa bayar. Kecuali kita bisa ubah harga barang jadi Rp1 mungkin bisa 🤔

[@crudpro]

sepertinya kalau payment gateway gak bisa Rp1 bang, biasanya minimal 10.000, btw ini kita bahas apa ya? 😁

[@aymcorporation3456]

Ya betul di tokped minimal 1 rupiah

[@Rhidayah]

Gue sih bisa berharap mengalahkan sistem flashsale aowkwowk. Flash sale ny kyk diseting buat gabisa d dapetin dah 😂 masa stock msih ada tp gbisa d beli

[@aymcorporation3456]

@@Rhidayah Pelajari dulu requestnya, kalau misalkan bisa di otomasi requestnya, coba dibuat kodingannya

[@crudpro]

@@Rhidayah bener bg pasti ada settinganya, mangkanya ada orang yang bikin bot nya buat dapetin tuh flash sale itupun harus pake proxy, proxynya mungkin tiap 1x request setelahnya harus ganti lagi ip nya.

[@vallerioalvaren]

simple ya ga perlu utak atik di burpsuite, emang kesalahan dari si webnya🤣

[@crudpro]

Iya bener, mungkin QA nya belum ngopi bang jadi bug nya lolos ke production ahaha

[@vallerioalvaren]

@crudpro hahahah btw mereka open program di bbp platform atau self hosting bang?

[@crudpro]

@@vallerioalvaren program bug bounty toped self hosting bang,

[@fany6051]

Bounty brp bang?

[@crudpro]

Lumayan bang buat beli beras 😅

[@fany6051]

@crudpro wkwk mangat2 bang, klo gw sih niat in belajar klo web indo

[@crudpro]

@ web local memang lebih mudah & saingan sedikit cuman bounty nya kadang bikin nangis bang,, kadang 2M (Makasih Mas) Kalau mau main di platform luar banyak saingan udah nemu bug eh ternyata duplikat wkkw Semangat bang,, 👏🏻

[@fany6051]

@@crudpro klo gw di web indo belajar sql injection sih bang alias gk ngarep bounty pokok trik sqli nya gw mantep in di web indo

[@prastonofficial8131]

emg dibayar sama tokped? 😂

[@aman21-fc5sg]

di bayar bang coba buka bug bounty tokopedia dan yeswehack hehehe

[@crudpro]

Sekarang lagi ditutup web bounty nya kayaknya, ada bg reward nya