เจาะลึกกลยุทธ์ล่าช่องโหว่ GitHub จากปากนักวิจัย Bug Bounty ระดับ VIP

เพื่อเป็นการเริ่มต้นเดือนแห่งการสร้างความตระหนักรู้ด้านความปลอดภัยไซเบอร์ ทีม GitHub Bug Bounty มีความยินดีที่จะนำเสนอหนึ่งในนักวิจัยด้านความปลอดภัยที่มีผลงานยอดเยี่ยมที่สุดในโครงการ GitHub Security Bug Bounty: @vaib25vicky!

แนวคิดเบื้องหลัง GitHub’s Bug Bounty Program คือการให้ชุมชนนักวิจัยช่วยทำให้ GitHub ปลอดภัยสำหรับทุกคน โดยตลอดกว่าทศวรรษที่ผ่านมา นักวิจัยทั่วโลกได้ช่วยระบุและแก้ไขช่องโหว่ก่อนจะถูกโจมตี ซึ่งช่วยปกป้องโปรเจกต์พัฒนานับล้าน การร่วมมือกับผู้เชี่ยวชาญจึงสำคัญยิ่งกว่าที่เคย โดยเฉพาะเมื่อมีฟีเจอร์ AI อย่าง GitHub Copilot และ Copilot coding agent เข้ามาปรับเปลี่ยนการสร้างซอฟต์แวร์

ปีนี้ถือเป็น บทใหม่สำหรับโครงการของเรา โดยมีการปรับโครงสร้างรางวัลใหม่เพื่อเน้นคุณภาพมากกว่าปริมาณ นอกจากนี้เรายังจัดตั้งโปรแกรม VIP แบบเชิญเท่านั้นสำหรับนักวิจัยที่ส่งรายงานคุณภาพสูงและมีผลกระทบต่อระบบอย่างสม่ำเสมอ

นักวิจัยระดับ VIP จะได้รับสิทธิประโยชน์พิเศษ ดังนี้:

• รางวัลนำจับที่สูงขึ้นอย่างมีนัยสำคัญ สูงสุด 30,000 ดอลลาร์หรือมากกว่าสำหรับการค้นพบระดับวิกฤต (Critical)
• ระยะเวลาการตอบกลับรายงานที่รวดเร็วยิ่งขึ้น
• สิทธิ์เข้าถึงและทดสอบผลิตภัณฑ์หรือฟีเจอร์เวอร์ชันเบต้าก่อนใคร

เกณฑ์การได้รับเชิญเข้าสู่โปรแกรม VIP วัดจากผลงานที่ได้รับการแก้ไขแล้ว เช่น พบช่องโหว่ระดับวิกฤต 1 รายการ, ระดับสูง 2 รายการ, ระดับกลาง 4 รายการ หรือระดับต่ำ 7 รายการ ผู้ที่สนใจสามารถศึกษารายละเอียดได้ที่ ไซต์เงินรางวัลสาธารณะ เพื่อเฉลิมฉลองเดือนแห่งความปลอดภัยไซเบอร์ในเดือนตุลาคมนี้ เราขอนำเสนอ @vaib25vicky หนึ่งในนักวิจัยระดับ VIP ผู้เชี่ยวชาญด้านการอนุญาตสิทธิ์ (Authorization) และการควบคุมการเข้าถึง (Access Control) ซึ่งการค้นพบที่ละเอียดอ่อนของเขาช่วยสะท้อนให้เห็นถึงคุณค่าของงานวิจัยที่รอบคอบซึ่งโครงการใหม่ของเรามุ่งให้รางวัล

---

คุณเริ่มต้นเข้าสู่ด้านความปลอดภัยและ bug bounty ได้อย่างไร และอะไรที่ทำให้คุณยังคงกลับมาที่โปรแกรมของ GitHub?

ผมสนใจคอมพิวเตอร์มาตั้งแต่เด็กและเขียนโค้ดเยอะมากช่วงมหาวิทยาลัย การได้ลองสร้างและทดสอบระบบทำให้ผมเข้าใจการทำงานเชิงลึกจนพบวิธีควบคุมระบบตามที่ต้องการ ซึ่งนั่นคือพื้นฐานการแฮ็กครับ ต่อมาผมพบโครงการ bug bounty โดยบังเอิญและรู้สึกสนุกกับมัน ผมเลือก GitHub เพราะผมใช้งานเป็นประจำอยู่แล้ว ประกอบกับรางวัลที่สูง ความท้าทาย และทีมงานที่ยอดเยี่ยมทำให้ผมเลือกทำที่นี่ต่อเนื่องครับ

ช่องโหว่ประเภทไหนที่คุณชอบวิจัยมากที่สุดและเพราะอะไร?

ผมไม่ได้เจาะจงที่ประเภทของช่องโหว่ครับ แต่จะเลือกจากตัวฟีเจอร์ โดยลองใช้งานและทำความเข้าใจก่อนว่ามันทำงานอย่างไร จากนั้นจึงคิดหาวิธีนำไปใช้ในทางที่ผิดเพื่อหาจุดบกพร่อง ดังนั้นประเภทช่องโหว่จึงเปลี่ยนไปตามฟีเจอร์ที่ทดสอบครับ

คุณรักษาทักษะให้เฉียบคมและติดตามแนวโน้มช่องโหว่ใหม่ๆ ได้อย่างไร?

ผมติดตามทั้งนักวิจัยรายบุคคลและบล็อกของบริษัทครับ ใน X ผมจะตามนักวิจัยที่แชร์ write-up บทวิเคราะห์จริง ส่วนบล็อกผมชอบอ่านของ Google Project Zero, GitHub Security Lab, PortSwigger รวมถึงเช็กข่าวจาก Hacker News และ subreddit ด้านความปลอดภัยด้วยครับ

ช่วยเล่ากระบวนการทำงานทั่วไปของคุณให้เราฟังหน่อย คุณเลือกพื้นที่เป้าหมายอย่างไร และคุณเปลี่ยนจาก "ฟีเจอร์ที่น่าสนใจ" ไปสู่การค้นพบที่ได้รับการยืนยันได้อย่างไร?

ผมมักเลือกฟีเจอร์ที่ดูซับซ้อนและเข้าใจยาก จากประสบการณ์ผมจะพอมองออกว่าจุดไหนคุ้มค่าที่จะสละเวลาให้ ถ้าสำรวจเบื้องต้นแล้วไม่มีอะไรน่าสนใจผมจะเปลี่ยนเป้าหมายทันที แต่ถ้าพบจุดที่น่าสนใจ ผมจะขุดลึกลงไปเรื่อยๆ จนกว่าจะพบความผิดปกติ พร้อมกับทดสอบช่องโหว่หลายประเภทควบคู่กันไปครับ

คุณใช้ AI ในการวิจัยของคุณหรือไม่? มันช่วยได้จริงๆ ตรงไหนและมันมีข้อจำกัดตรงไหน?

ใช้ครับ AI ช่วยเพิ่มผลิตภาพและประหยัดเวลาได้มากเหมือนเป็นผู้ช่วยชั้นดี แต่ข้อจำกัดคือคุณยังต้องเป็นคนควบคุมมัน เปรียบเหมือน AI คือรถที่เร็วมาก แต่ยังต้องการคนขับที่เก่งครับ

คำแนะนำของคุณเกี่ยวกับการใช้ AI อย่างรับผิดชอบใน bug bounty คืออะไร?

สิ่งที่สำคัญที่สุดคือต้องตรวจสอบผลลัพธ์ที่ AI มอบให้เสมอ และห้ามส่งรายงานการค้นพบที่คุณยังไม่ได้ยืนยันด้วยตัวเองเด็ดขาดครับ

ในขณะที่อุตสาหกรรมเปิดตัวฟีเจอร์ที่ขับเคลื่อนด้วย AI มากขึ้น การทดสอบฟีเจอร์เหล่านั้นต้องใช้แนวคิดที่แตกต่างจากช่องโหว่เว็บแบบดั้งเดิมหรือไม่?

อาจต้องปรับวิธีคิดนิดหน่อยครับ แต่ช่องโหว่ส่วนใหญ่ที่มีผลกระทบสูงยังคงวนเวียนอยู่เรื่องการอนุญาตสิทธิ์ (Authorization), แนวกั้น (Guardrails) ที่ไม่แข็งแรง หรือฟังก์ชันที่ถูกมองข้าม ซึ่งใช้แนวคิดแบบเดิมในการค้นหาได้ครับ

อะไรคือสิ่งหนึ่งที่คุณหวังว่าจะรู้ตั้งแต่ตอนที่คุณเพิ่งเริ่ม?

ผมอยากรู้ว่าความสำเร็จต้องใช้เวลาครับ ในช่วงแรกผมควรเข้าใจว่าการใช้เวลานานกับเป้าหมายเดียวโดยยังไม่พบอะไรเป็นเรื่องปกติ ความอดทนคือหัวใจสำคัญของงานนี้ครับ

คุณชอบทำอะไรเมื่อไม่ได้แฮ็ก?

ผมชอบเล่นเกมและท่องเที่ยวครับ การไปทริปดีๆ ช่วยให้ผมผ่อนคลายได้มาก

มีโปรไฟล์โซเชียลเมเดียอะไรที่อยากแบ่งปันกับผู้อ่านของเราไหม?

ติดตามผมได้ที่ X บัญชี @vaib25vicky ครับ

---

ขอบคุณ @vaib25vicky ที่มาร่วมแบ่งปันประสบการณ์ ทุกรายงานในโครงการ bug bounty คือโอกาสสำคัญที่ช่วยให้ GitHub และลูกค้าของเราปลอดภัยยิ่งขึ้น หากคุณได้รับแรงบันดาลใจและต้องการเริ่มล่าช่องโหว่ สามารถส่งรายงานได้ที่ HackerOne