Total Bounty $3,000: Bagaimana Celah Logika Sederhana yang Terlewatkan Menjadi Tambang Emas di Bug…

Total Bounty $3,000: Bagaimana Celah Logika Sederhana yang Terlewatkan Menjadi Tambang Emas di Bug… | by Ahmad Tazkiarni Ramadhan - Freedium Milestone: 20GB Reached We’ve reached 20GB of stored data — thank you for helping us grow! Patreon Ko-fi Liberapay Close < Go to the original Total Bounty $3,000: Bagaimana Celah Logika Sederhana yang Terlewatkan Menjadi Tambang Emas di Bug… Banyak yang tidak menyadari tentang kerentanan logika sederhana Ahmad Tazkiarni Ramadhan Follow ~3 min read · April 3, 2026 (Updated: April 3, 2026) · Free: Yes Pendahuluan Perkenalkan Saya Ahmad Tazkiarni Ramadhan atau username Hackerone saya adalah mrplufy . Ini adalah tulisan ketiga saya mengenai perburuan bug dan pada tulisan ini saya akan membagikan hal menarik bagaimana perusahaan membayar dengan total sebesar $3000 hanya untuk beberapa kerentanan kesalahan logika sederhana yang banyak terlewat oleh bug hunter lainnya. Reconnaissance Pada tahap awal pengintaian awal saya langsung melakukan pengecekan pada fitur awal seperti login/signup hingga fitur yang berada didalam akun tersebut. Karena target saya kali ini tidak menyertakan subdomain atau wildcard itu sebabnya saya tidak menggunakan automation tools pada tahap pengintaian ini dan langsung melakukan pengecekan pada fitur tersebut. Catat & Pelajari Alur Logika Dari Target Aplikasi Setelah melakukan pengintaian awal dengan memeriksa setiap alur dari fitur tersebut. Saya mencoba kerentanan Broken Access Control (BAC) pada setiap fitur, Sekalian saya juga mulai mencatatnya dan mempelajari alur dari fitur tersebut. Untuk apa fitur itu digunakan dan bagaimana hasil dari fitur tersebut. Berfikir Diluar Kotak Pada tahap ini, saya mulai memikirkan bagaimana aplikasi semestinya bekerja dan mulai mematahkan alur dari yang semestinya aplikasi itu lakukan. Dengan catatan yang tadi dibuat, itu membuat saya lebih mudah menentukan bagaimana alur aplikasi bekerja dan apa yang harus saya lakukan agar aplikasi menerima kesalahan yang dibuat. Waktunya Patahkan Logika Tersebut !!! Ditahap ini, Saya mulai mematahkan logika dari alur aplikasi yang sudah dipelajari. Dengan contoh bahwa aplikasi tersebut ternyata memiliki fitur dimana user dapat membuat sebuah file yang akan diverifikasi oleh team internal aplikasi tersebut. Ternyata fitur itu memiliki parameter request "status":"PENDING" Yang menandakan bahwa setiap file yang dibuat oleh user miliki status : pending dengan alur bahwa file tersebut harus diverifikasi oleh team internal. Lalu, Muncul pertanyataan dikepala "Bagaimana jika status:pending saya udah menjadi accepted atau active ?". Dan saya merubah nilai parameter tersebut "status":"ACTIVE" Dan file yang saya buat bisa langsung diterima dan aktif tanpa harus melewati pengecekan internal. Dan dari kerentanan diatas, membuka fitur dan celah baru lagi. pada fitur lain, saya hanya diizinkan untuk mengupload file yang memiliki status active. Dan lagi, muncul pertanyaan dikepala "Bagaimana jika saya memasukan file yang belum berstatus active ?". Karena aplikasi memiliki batasan bahwa hanya file dengan status active yang hanya diperbolehkan untuk diupload, lalu saya mulai menangkap request dari parameter tersebut "FileName":"Berkas Attacker", "FileID":"UUID file yang active" Terlihat bahwa request mencantumkan parameter uuid dari file active. Lalu pertanyaan tadi saya jawab dengan mencatumkan uuid dari file yang belum active dan berasil. Aplikasi menerima file dengan status pending tersebut. Yang seharusnya fitur upload ini hanya diperbolehkan untuk file yang memiliki status active. Hasil Dari Segalanya Dari perjalanan diatas, Alhamdulillah saya mendapatkan total 10 Bug dengan 1 Bug BAC dan 9 Bug Business Logic Error dengan berbagai macam severity. Dan Alhamdulillahnya lagi semua tidak ada yang diberikan status Duplicate karena belum ada bug hunter yang menemukannya. Dari Tahap dimana saya tidak menemukan apapun sampai tahap saya frustasi dan ingin mencari target lain karena tidak menemukan kerentanan BAC 😁hingga pada akhirnya pencarian mendalam pada 1 target membuat saya menemukan bug business logic error sebanyak itu. Penutup Pencarian kerentanan pada aplikasi tidak mesti tentang bagaimana kita melakukan scanning, bagaimana kita melakukan pengecekan pada bug teknis seperti Broken Access Control dan yang lain. Tapi tahap awal pencarian kerentanan juga harus memiliki pengetahuan dari aplikasi target, miliki segudang pertanyaan mengenai logika dari aplikasi dan memiliki insting berburu yang hebat. Untuk mendapatkan insting tersebut juga harus banyak memiliki trial & error. Semakin banyak trial & error maka semakian tajam pula insting berburu. #bug-bounty #cybersecurity #web-security #ethical-hacking #bug-hunter Reporting a Problem Sometimes we have problems displaying some Medium posts. If you have a problem that some images aren't loading - try using VPN. Probably you have problem with access to Medium CDN (or fucking Cloudflare's bot detection algorithms are blocking you).