バウンティハンターになろう！

Yuji Tounai（@yousukezan）

自己紹介

山本洋介山という名前でライターやってました

主に書いてた媒体は

ハッカージャパン

11月に休刊

生活費どうしよう(；´Д｀)

脆弱性見つけて生活費稼ぐのかっこよくね？

俺googleのWebにXSS見つけて500$もらったし、XSSなら見つけられるかも…

googleの報償金が10倍になるとかスマホの脆弱性探して100万円とか景気のいい話が海外から聞こえて来てるしね

自身の源Googleからの500$

どんな会社が報償金を払ってる？

Google

最高20000ドル XSS1件7500ドル！（http://www.google.com/about/appsec

urity/reward-program/）

facebook

最高33500ドル！（http://www.theregister.co.uk/2014/01/

24/facebook_bug_bounty_payout/）

Paypal

最高1万ドル以上！

日本の会社は？

サイボウズ

脆弱性発見コンテスト

賞金総額300万円

mixi

最高100万円

LINE

malaさんが自腹でお礼してくれます

その他にも世界では

https://bugcrowd.com/list-of-bug-bounty-programs/

夢拡がりまくり

1年に1つでかい脆弱性見つけたら、ゴロゴロしながら過ごせんじゃね？？

現実は厳しい

でも…googleもfacebookもpaypalもサイボウズも見つからないよ…

googleでたまたま報償金もらえたのは運だよな…

やっぱ世界中のプロのバウンティハンターが群がってるからな…

あきらめて新聞でも配るか…

そんなある日

mixiの反射型XSSを見つけたとのツイート

mixiケチっぽいしどうせガチガチに固めてるから全然期待してなかったけど何か見つかるんじゃね？

週末探してみたら偶然XSSが見つかる

説明見てると1つ12万5000円！？

見つけたXSS

パラメータの{'1:a','2:b','3:c','4:d','5e',

'img:http://bogus.jp/'}

のパラメータを減らして{'1:a','2:b','3:c','img:javascript:alert(0)'}

にするとなぜかhttp://がなくてもエラーにならず

ついでにYahoo!のXSSも発見

mixiに掲載されてるYahoo!Japanから配信されてる広告にXSSが（yimg.jp）

もしかしてYahoo!にもXSSあったりする？

Yahoo!JapanにいくつかとYahoo!にXSS

1つだと思ったらかなりの数あって、しかも2014年まだ未修正の箇所多数（なので詳細は書けません）

Yahoo!はこれまで脆弱性を見つけた人はT

シャツとかもらってるので、Tシャツたくさんもらえる？

Yahoo!から連絡

お礼

As you may know we are in the process of updating our vulnerability reporting program（ブログのリンク）

読むと$150 - $15,000のReward

報償金！？

ヒャッハー！！

Yahoo!からの報償金始めるよメール

Yahoo!祭り

11月になって、Yahoo!のバウンティプログラムが開始される

世界中からバウンティハンターが殺到

メールフォームがアレなのでちゃんと送れていない人もいたみたい

俺もいくつか見つけて送る

祭り

見つけたXSS（１）

tw.sports.yahoo.com

メールフォームのリンクにjvascript:alert(0)が入る

見つけたXSS（2）

au.yahoo.comとnz.yahoo.com

"><img src=0 onerror=alert(document.cookie)>

というタイトルのメールを送るとXSS

見つけたXSS（3）

Yahoo!メールとFlickr

本文に"><img src=0 onerror=alert(document.domain)>

と入力するとalert

duplicate

そして謎の2位と5位

突然11月のランキングが発表される

2番目に俺の名前！

なぜか5番目も俺！

報償金の予感！！

Wall of fame

この２つが俺！

mixiから125000円

そして1月

派遣社員に登録しました…

お仕事が決まりそう、そんな日

2000ドルゲットだぜ！

HackerOneという見慣れないところから3通のメール

Yahoo! has awarded you a $506 bounty

Yahoo! has awarded you a $250 bounty

Yahoo! has awarded you a $1276 bounty

合計2032ドル！！

ドルをゲット

終わり

もしかしてこの調子でいけば就職しなくてすんだ？

2月も報償金楽しみに待ってます

仕事もやってます

調子に乗ってバウンティハンターで本当に生きていこうとする前に仕事が決まってて本当に良かったです（妻）

ありがとうございました