แชร์แนวทางการหา CVE ตัวแรกในปี 2026

สวัสดีครับบทุกคนน วันนี้ผมจะมาแชร์แนวทาง / ปัญหาที่เจอในการหา CVE ตั้งแต่ต้น จนจบเลย ตั้งแต่ศูนย์ set lab สำหรับเทส ไปจน Public disclosure เลยย c:

โดยใน Blog นี้ผมจะเลือกเป็น WordPress plugin เพราะ Setup ง่ายและมีให้เลือกช็อปได้หลากหลาย

เกริ่นก่อนเริ่มเลย หลายๆคนน่าจะคุ้นเคยกับคำว่า CVE กันอยู่แล้ว ว่าเกิดจากการที่ Software หรือ Framework version นั้นๆมีช่องโหว่ที่โดนค้นพบโดยใครก็ได้แล้วถูกรายงาน จะมีองค์กรที่คอยรับเรื่องแล้วออกหมายเลข CVE ให้หลัง patch เพื่อเป็นการเตือนให้ผู้ใช้งานทั่วโลกให้รีบ Update Patch องค์กรนั้นถูกเรียกว่า CNA (CVE Numbering Authority) ซึ่ง CNA มีอยู่เยอะและแบ่งจำเพาะสายไปอีกเยอะให้เราเลือกรายงาน เช่น Wordfence & Patchstack & WPSCAN สำหรับ Wordpress

ว่าแต่.. ถ้าเป้าหมายเราคืออยากหา CVE สักตัวจะเริ่มต้นยังไงดีหละ จะต้องไปลงทะเบียนโปรแกรม Bug bounty หรือ ไปแฮ็กเว็บสาธารณะอะไรให้ปวดหัวไหม ?

คำตอบคือ.. ไม่ครับ โดยเราจะทำการ Setup lab และรัน test เป็น local ทั้งหมด

Lab setup ผมเลือกเป็น docker เพราะมันสะดวก สามารถเลือกเขียน dockerfile เพื่อโหลด wp-cli หรือพวก plugin switch user หรือตัวช่วยอื่นๆเพิ่มเติมเพื่อให้ง่ายต่อการ test แล้ว compose ได้เลยเหมือนดีดนิ้ว โดยตัวอย่างผมขอลงเป็น WP core และ db เพียวๆ

สรา้ง folder สำหรับ target-plugin และไฟล์ docker-compose.yml

#docker-compose.yml
services:
  wordpress:
    image: wordpress:latest
    ports:
      - "8081:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: password
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - ./target-plugins:/var/www/html/wp-content/plugins
      - html_data:/var/www/html
    depends_on:
      - db

  db:
    image: mariadb:10.11
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: password
      MARIADB_ROOT_PASSWORD: root
    volumes:
      - db_data:/var/lib/mysql

volumes:
  db_data:
  html_data:
docker compose up -d --build

#docker-compose.yml
services:
  wordpress:
    image: wordpress:latest
    ports:
      - "8081:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: password
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - ./target-plugins:/var/www/html/wp-content/plugins
      - html_data:/var/www/html
    depends_on:
      - db

  db:
    image: mariadb:10.11
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: password
      MARIADB_ROOT_PASSWORD: root
    volumes:
      - db_data:/var/lib/mysql

volumes:
  db_data:
  html_data:
docker compose up -d --build

เมื่อ Build เสร็จเว็บจะรันที่ http://localhost:8081 มันจะพาโหลดและตั้งค่าชื่อเว็บอะไรเล็กน้อย ไม่จำเป็นต้องกรอกข้อมูลจริง

โดยเราจะได้เว็บและเข้ามาพร้อม Role Administrator สิ่งที่ควรรู้คร่าวๆ สำหรับ test plugin ก็จะมี Plugins สำหรับโหลด Plugin ต่างๆ และ users สำหรับ ตั้งค่า/จัดการ user account

ผมขออธิบาย Role Wordpress สักนิดด

เข้าสู่ phase หลักละะ จริงๆมันไม่มีอะไรมากมาย เราสามารถเลือกช็อปปลั๊กอินได้ตามใจชอบได้เลย

จุดนี้ก็สามารถเลือก TEST ได้เต็มที่ ตามท่าที่เราเรียนและเจอมาตาม CTF ต่างๆ

XSS , SQLI , IDOR, RCE, Arbitrary file upload, LFI,Arbitrary option update, Privilege Escalation อันนี้ยังเป็นหลักๆที่ in scope อยู่

ส่วนทริคการ Scope plugin คร่าวๆของผมก็ลองหาเล่นกับพวก Form, Contact to admin,Help desk หรืออะไรทำนองที่ติดต่อจากสิทต่ำไปสูง เพื่อไป xss ใส่ admin หรือหาแนวที่มี input field เยอะๆ เพื่อหา xss อันนี้แล้วแต่เราเลย Ai ช่วย scope ได้เยอะ

ต่อมาผมจะพูดถึง Scope ของแต่ละค่าย

Wordfence : มี Bounty ให้คนที่รายงาน แต่ในยุค Ai slop ผมบอกเลยว่า scope ของ Wordfence หินมาก เพราะแคบและต้อง impact ชัด รับแค่ Unauthen หรือ Subsciber เท่านั้น มากกว่าปัดตก และเขารับแค่ In scope เท่านั้นตอนนี้ (เมื่อก่อนยังพอสามารถยืน oos เพื่อขอ CVE ได้) จากที่ผมถามรุ่นพี่มา แต่ระยะเวลาการตรวจเร็วพอสมควร [ถ้า approve แล้ว ขึ้นอยู่กับ vendor plugin ว่า patch เร็วแค่ไหน] มีลูกเล่นเควสประจำเดือนให้ทำ และได้เงินหากทำสำเร็จ

Patchstack : มี Bounty เหมือนกัน และ Scope กว้างกว่า มี Mdvp plugin ที่เข้าร่วมสามารถยื่นช่องโหว่ที่เกิดจาก Contributor ได้ แต่เขาจะคำนวนเงินที่ได้เป็นรายเดือน ตามจำนวน AXP ที่เราได้ ซึ่งคำนวนจากพวก CVSS score และ จำนวน Active installer แต่ละเดือนจะมี Pool กลางประจำเดือน 10000 ดอล และคำนวนว่า AXP ของเราเป็นกี่ % ของทั้งหมดและเราจะได้ยอดตามนั้นเช่น AXP จากทั้งหมดเราได้ 1% ก็ได้ 100 ดอล ส่วน Approve เร็วมาก และ patch เสร็จประมาณ 1–3 วัน Public CVE เลย

WPscan: Scope กว้างที่สุดละจากที่ดูมา แต่ไม่มีเงินรางวัล รับเรื่องเร็วแต่ถ้า Vendor ไม่ patch เขาจะไม่ออก CVE ให้ ต่างกับ Patchstack ออกให้แต่ขึ้น Unpatch ถ้ายื่นเอา CVE อย่างเดียวน่าจะดีกว่า และเหมือนจะตี CVSS สูงกว่าทุกๆค่าย ไม่แน่ใจเพราะอะไร แต่คิดว่าเพราะ มอง Result สุดท้ายว่า Impact มากแค่ไหน เช่น Patchstack มอง xss ว่าเป็นแค่ Generic xss แต่ Wpscan มองว่า มากสุดสามารถยกระดับสิทธิ์ เป็น Admin ได้ {ความคิดผมนะ555} เพราะไปลองตามอ่านใน Discord มาคร่าวๆ

สามารถไปอ่าน Scope เต็มๆได้ Patchstack : https://patchstack.com/articles/bug-bounty-guidelines-rules/ Wordfence : https://www.wordfence.com/threat-intel/bug-bounty-program/#scope WPscan : https://wpscan.com/submission-terms/

ต่อมาเป็นช่องทางการ Report

Wordfence : https://www.wordfence.com/threat-intel/researcher-register สมัคร Account รอประมาณ 3 วันต้องข้อมูลทางการและถูกต้องนะ

Patchstack : https://patchstack.com/database/report สามารถ Report ได้เลย ต้อง report ให้ถูกถึงจะได้ Account

WPscan : https://wpscan.com/submit/ Report ได้เลย

ปัญหาที่ผมเจอ TT

สิ่งที่ผมเจอหลักๆเลย คือ Scope แคบลงมากจากเมื่อก่อนทำให้ Report โดน Reject ได้ง่ายขึ้น AI Slop เข้ามาทำให้มี Report ที่ OOS จำนวนมากจนทาง CNA ต้องคอยปรับเกณ์อยู่ตลอดและอีกอัน

อยากบอกทุกคนเลยว่า เราไม่ได้ผิดเลย ช่องโหว่หาถูกต้อง และเป็นช่องโหว่และ มี impact กับ Version ล่าสุดจริงๆ เพียงแต่มันซ้ำ หรือมีคน Report ไปก่อนหน้า ทำได้แค่ต้องสู้ต่อไปครับสมาชิก✌️

สุดท้ายนี้ก็ขอให้ทุกคนที่กำลังล่า CVE ตัวแรกเจอไวๆครับ🔥 หากมีผิดพลาดประการใด สามารถติชมได้เต็มที่เลยครับบ🙇🏻

ทั้งหมดนี้เป็นประสบการณ์เล็กๆน้อยๆ ที่ผมได้เจอระหว่างหา CVE ตัวแรกของผม ที่ผมคิดว่า ถ้าตอนเริ่มมีคนบอกผมเรื่องพวกนี้มันจะดีมากๆเลย555+

ใครติดปัญหาสามารถ Dm สอบถามหลังไมค์ผมได้เลยนะ IG : prakrit_prad ฝาก LinkedIn ด้วยครับบบ : https://www.linkedin.com/in/prakrit-k-aa7480393