Знакомо? Ты находишь реальную уязвимость, но кто-то успел за три часа до тебя. Или хуже — репорт закрывают как out-of-scope, потому что ты полез не на тот домен.
Переход с CTF на bug bounty — это не смена уровня сложности. Это смена дисциплины целиком.
В CTF ты ищешь флаг. В bug bounty ты доказываешь бизнес-импакт. И вот где ломается большинство.
🔍 Пять точек слома
• Scope. В CTF атакуй что хочешь. В bug bounty одна ошибка в scope — бан на платформе. Даже если нашёл реальный баг на CDN-провайдере таргета — это не твоё дело юридически.
• Импакт. Stored XSS, который стреляет только в твой аккаунт — это
Self-XSS, severity "None". Тот же Stored XSS, крадущий session cookie администратора — это P2/High с выплатой от $1000. Один класс уязвимости, радикально разная ценность.• Отчёт. В CTF достаточно вставить
flag{...}. В bug bounty — документ на 300–500 слов: summary, steps to reproduce, impact, remediation. Плохой отчёт = закрытый тикет, даже если баг реальный.• Дубликаты. На публичных программах HackerOne можно отправить 10 валидных репортов и не получить ни одной выплаты — просто потому что все эти IDOR и XSS уже нашли до тебя.
💡 Что переносится, а что нет
Хорошая новость: 60–70% CTF-навыков работают в bug bounty напрямую. Веб-эксплуатация, понимание OWASP Top 10, базовая криптография — всё это актуально.
Плохая новость: оставшиеся 30–40% — именно то, что отделяет оплаченный репорт от закрытого тикета.
Три навыка, которых CTF не даёт:
1. Recon. В CTF тебе дали URL. В bug bounty ты сам ищешь поддомены, скрытые API-эндпоинты, забытые staging-серверы. Опытный хантер тратит на разведку 70% времени.
2. Бизнес-логика. Race condition при покупке, IDOR в чужих счетах, privilege escalation через смену роли — это не технические дыры, а логические. И именно они приносят самые высокие выплаты.
3. Коммуникация. Написание отчёта, обоснование severity, общение с триаж-командой — мягкие навыки, которые CTF не тренирует. А они напрямую влияют на выплату.
🛡️ И ещё один момент, который новички часто игнорируют: легальность. Формальное участие в программе на Standoff 365 или BI.ZONE Bug Bounty защищает юридически — но только в рамках scope. Выход за пределы — это уже ст. 272 УК РФ.
В полной статье — конкретный 12-недельный roadmap с разбивкой по неделям: какие платформы выбрать первыми, как строить recon-пайплайн, как писать первый отчёт. Читай, если хочешь конвертировать CTF-скиллы в реальные выплаты.
https://codeby.net/threads/kak-nachat-bug-bounty-posle-ctf-prakticheskii-roadmap-perekhoda-na-real-nyi-pentest.92814/