作者背景#

彼得・亞沃斯基（Peter Yaworski）是加拿大籍的應用程式安全工程師與獨立 Bug Bounty 獵人，曾在 Shopify 等公司任職應用安全相關職務，並透過 HackerOne 平台累積大量公開漏洞回報經驗。他並非傳統學院派資安研究者出身，而是從閱讀 HackerOne 的公開 disclosure 開始自學，後將學習筆記整理成本書，於 2018 年由 No Starch Press 正式出版（早期版本以 Leanpub 自費出版形式問世）。本書 forward 由 HackerOne 共同創辦人 Michiel Prins 與 Jobert Abma 撰寫，使其成為 Bug Bounty 社群的官方推薦教材之一。

完整摘要#

本書要解決的問題是：「初學者讀公開漏洞報告往往看不懂——能看懂單一案例，卻無法歸納出方法論。」作者於是把上百份 HackerOne 公開報告依漏洞類型分類，每類漏洞提供：(1)原理與攻擊面說明、(2)三到五個真實案例剖析（含難度、URL、回報時間、獎金、Takeaway）、(3)章末總結。

第 1 章先補基礎——HTTP、Client/Server 與 Bug Bounty 計畫運作模式。第 2 至第 18 章逐一拆解 17 大類網站漏洞：開放式重新導向（Open Redirect）、HTTP 參數污染（HPP）、跨站請求偽造（CSRF）、HTML 注入與內容偽造、CRLF 注入、跨站腳本（XSS，含 Samy Worm 經典案例）、範本注入（伺服器端與客戶端）、SQL 注入、伺服器端請求偽造（SSRF）、XML 外部實體（XXE）、遠端程式碼執行（RCE）、記憶體漏洞、子網域接管、競態條件、IDOR、OAuth 漏洞、應用程式邏輯與設定錯誤（含 Egor Homakov 用 Rails Mass Assignment 攻陷 GitHub 的經典事件）。

最後三章從技術轉向流程：第 19 章 Finding Your Own Bug Bounties 提供從偵察（Subdomain Enumeration、技術棧指紋）、應用程式對映、到挖掘策略的方法論框架；第 20 章 Vulnerability Reports 教導如何撰寫被計畫方接受的報告，並以作者自己第一份被駁回的 Shopify 報告為反面教材；附錄 A、B 提供工具清單與延伸資源。全書貫穿一個訊息：駭客是充滿挫折的長期練習，公開的成功故事不會告訴你背後的失敗次數。

本書的貢獻與定位#

在資安入門書多半以教科書視角組織（OWASP Top 10、CISSP 章節結構）的市場上，本書選擇了一條獨特的路徑——以「公開揭露的真實案例」為骨架。這填補了 Web Application Hacker’s Handbook（Stuttard & Pinto）這類經典工具書與「HackerOne Hacktivity 動態」之間的鴻溝：前者提供完整理論卻缺乏當代案例，後者提供當代案例卻缺乏歸納。本書的主要受眾是有基礎程式背景、想踏入 Bug Bounty 的工程師與安全從業者；它的價值不在於教你最新的 0day 技巧，而在於建立「看到一個應用程式時知道從哪些角度尋找弱點」的直覺。在 Bug Bounty 從邊緣文化變為主流產業的 2018 年，本書成為許多現役獵人的第一本啟蒙書。