在幕后有许多人从事网络安全工作，使互联网成为一个更安全的地方。Youssef Sammouda就是其中之一。他已经向Facebook提交了至少100份报告，这些报告已经得到解决，使Facebook成为一个更安全的平台。一般来说，人们可能会把这项工作称为虫子赏金猎人，但它的意义远不止于此。

问:说说你的背景吧

答：我21岁。我在突尼斯长大了。我总是喜欢从早年的计算机上的一切。当我12岁的时候，我开始编程，我的好奇心最终让我感到喧嚣。首先，我了解了“黑客”，获取系统的技术，如何升级权限，以及如何实现持久性。比黑客更好的名字是渗透测试。之后，我专注于Web应用程序安全性，并从论坛和IRC聊天室学到了很多东西。后来，我听说Bug Bounty奔跑，并开始这样做。

自从我因为从事web应用程序开发和安全评估而从大学辍学以来，我不能过多地谈论我的教育背景。我想说，到今天为止，我所学的一切都是来自网络内容或书籍，而不是教育机构。

问：你是如何对Bug Bounties感兴趣的？

A: Before bug bounties, it was difficult to test what you learned or sharpen your skills without being worried about getting noticed or caught when targeting websites or servers, since after all you’re doing something without the owner’s permission even if your intention is not to cause damage. So, the first benefit of bug bounty programs was the ability to responsibly apply or test what you’d learned about security, without worrying about legal actions by the website owners. Then of course, some of the programs introduced financial rewards which made it even better. You could start earning money at the same time as learning and doing what you love.

我对Facebook Bug Bounty计划感兴趣，因为它是初级友好的。范围很大，它具有最大的奖励。我在Facebook中的第一个错误是一个关键的错误，我发现它在不到一个小时内发现它鼓励我更多地挖掘并了解他们的基础设施。经过一段时间，我发现自己知道最能枚举他们的网站的所有技术。

问：是否有其他安全领域您感兴趣？

答：我一直被浏览器安全和操作系统（OS）安全迷住。阅读概念验证的浏览器或应用程序中发现的漏洞一直是有趣的，也是一个令人愉快的事情，我希望有一天能够实现这些领域的研究人员的水平。

问:你能告诉我们你是如何发现新漏洞的吗?你为什么关注Facebook?

答:我相信Facebook运行的漏洞悬赏程序是最好的。当然，它有一些问题，有时你会被安全团队误解，但如果你把它与其他漏洞赏金程序相比，你会发现Facebook要好得多。此外，Facebook对其安全问题非常重视。随着时间的推移，你会发现越来越难找到漏洞，这让我更有动力，因为我知道其他人可能会退出，留给我一个大线索去挖掘。

由于大量的研究人员/猎人现在，以及我们之间的持续竞争，我总是试图遵循自己的方法 - 与其他人不同 - 避免重复的报告，也可以找到其他人错过的特殊错误。当然，随着时间的推移，我必须改变我的方法来留在游戏中：其他研究人员发现类似的方法，安全团队适应并使枚举更加努力，等等。

问：您是否获得了批令人们的Facebook账户？

答:事实上，我不记得我收到过黑客入侵某人Facebook账户的请求，但我收到过验证个人资料或页面的请求。我总是试着温和地解释，我不为Facebook工作。我将他们导向正确的Facebook支持或联系页面，以满足他们的需求。

问：你制作的最危险的发现是什么？

答：我相信我发现的最危险的发现是一个Facebook错误，允许我返回任何对象的数据片段。此数据提取错误类似于查找SQL注入错误，这很难在现代应用中找到。这可能允许恶意演员收集有关Facebook基础架构，用户和更多的大量数据。

问:你对那些想要成为bug赏金猎人的人有什么建议?

答:我一直相信世上没有所谓的“虫子赏金猎人”。有安全专家或研究人员。《Bug赏金猎人》告诉新手或该领域的其他专家，对我们来说，一切都是关于赏金的:如何获得赏金，以及最快的方法是什么。这显然是错误的，因为我们必须首先了解网络安全是什么，以及我们试图解决和解决的问题是什么。

对于想要开始的人最好的建议是先掌握一门编程语言。然后在你喜欢的领域学习安全知识(网络，操作系统，移动…)以及如何编写安全代码。在学习安全性时，尝试编写可以利用的易受攻击的应用程序，这样您就可以针对这些应用程序测试您学到的内容。如果您能够理解应用程序中的漏洞是如何发生的，那么您可能会尝试将您所学到的应用程序应用到实际的应用程序中，比如那些由带有漏洞奖励程序的网站运行的应用程序。

一开始就不关心赏金，只关心找到漏洞。你甚至可以不等待安全小组的回复就报告他们。在某一时刻，你会达到一个特定的水平，随着多年来获得的技能和经验，这将使你能够开始从中赚钱，或开始一份职业生涯。

我们要感谢您的合作。你可以遵循Twitter上的Youssef Sammouda．