كيف تكتب Writeup Bug Bounty يجذب القراء ويعزز سمعتك

Writeup هو مقال يشرح ثغرة أمنية اكتشفتها: كيف وجدتها، كيف استغللتها، وما تعلّمته. إنه أقوى أداة لبناء سمعتك في مجتمع الأمن السيبراني.

أفضل الباحثين الأمنيين لا يكتفون بإيجاد الثغرات — بل يشاركون المعرفة. هذا يبني اسمهم، يجذب فرص عمل، ويساعد الآخرين على التعلم.

---

لماذا Writeups ضرورية لمسيرتك

1. تبني Portfolio قوي شركات الأمن تبحث عن Writeups عند التوظيف أكثر من شهادات. تقرير تقني جيد يثبت قدرتك العملية.

2. تُدخلك في المجتمع Writeup ناجح على Twitter يمكن أن يصل لآلاف الباحثين ويضعك على خارطة المجتمع الأمني.

3. تُحسّن مهاراتك الشرح يعمّق الفهم. عندما تكتب، تكتشف فجوات في معرفتك وتملؤها.

4. مصدر دخل إضافي بعض المنصات (مثل Medium Partner Program) تدفع على المقالات التقنية التي تحظى بقراءة عالية.

---

البنية المثالية لـ Writeup

1. العنوان الجذاب

الفرق بين writeup يُقرأ وآخر يُتجاهَل:

✅ جذاب: "كيف سرقت حسابات 10,000 مستخدم بتغيير رقم واحد في الـ URL"
✅ جذاب: "ثغرة XSS في صفحة الدفع — من متغيّر URL إلى اختطاف الجلسة"
❌ ممل: "وجدت ثغرة IDOR في موقع ما"
❌ ممل: "Bug Report: XSS"

2. المقدمة — اخطف الانتباه

ابدأ بالجملة الأكثر تشويقًا في القصة:

أثناء فحص عشوائي لإعدادات الملف الشخصي، لاحظت أن رقمًا بسيطًا في الـ URL 
يتحكم في من يرى ماذا. قررت تغييره. ما وجدته غيّر نظرتي لكيف تُبنى التطبيقات.

3. السياق والخلفية

• اشرح التطبيق وما يفعله (جملتان)
• لماذا اخترته للاختبار؟
• ما الـ Scope؟

4. عملية الاكتشاف

هذا أهم جزء — اسرد القصة بتسلسل منطقي:

كنت أفحص صفحة الطلبات عندما لاحظت هذا الـ URL:
https://shop.example.com/orders/view?order_id=1234

لاحظت أن الرقم تسلسلي. جرّبت 1233... ثم 1235...
الاستجابة كانت صادمة.

5. تفاصيل الثغرة التقنية

• الـ Request والـ Response بالكامل
• Burp screenshots
• كود PoC إذا وُجد

Request:
GET /orders/view?order_id=1233 HTTP/1.1
Host: shop.example.com
Cookie: session=MY_SESSION_TOKEN

Response (200 OK):
{
  "order_id": 1233,
  "customer": "victim@email.com",
  "address": "123 Main St, Cairo",
  "items": [...],
  "card_last4": "4242"
}

6. الأثر والتأثير

اشرح بوضوح: ماذا يمكن للمهاجم أن يفعل؟

7. كيف أُصلحت

إذا شاركت الشركة المعلومات، اذكرها.

8. الدروس المستفادة

ما الذي تعلّمته؟ ما الذي ستبحث عنه في المرة القادمة؟

---

نصائح لكتابة writeup رائع

اصنع قصة، ليس تقريرًا القصة تُقرأ، التقرير يُحفظ في الدرج. اجعل القارئ يشعر أنه معك خطوة بخطوة.

استخدم الصور بكثرة

• Screenshot لكل خطوة مهمة
• Burp Suite request/response
• مقارنة "قبل وبعد" الاستغلال

اشرح لماذا، لا فقط ماذا

❌ "غيّرت user_id من 100 إلى 200 وحصلت على بيانات مستخدم آخر"
✅ "غيّرت user_id من 100 إلى 200. التطبيق جلب بيانات المستخدم 200 دون 
    التحقق من أن المستخدم الحالي (أنا، 100) مصرّح له برؤية هذه البيانات. 
    هذا يكشف غياب authorization check على مستوى الخادم."

لا تخفِ أخطاءك الـ writeups الأكثر قراءة هي التي تُظهر الطريق بكل منعطفاته، بما فيها الطرق الخاطئة:

"جربت XSS أولًا — فشلت. جربت SQLi — فشلت. ثم لاحظت الـ UUID في الـ response..."

---

أدوات لتحسين الـ Writeup

للـ Screenshots:

• Flameshot (Linux) — مميز بأسهم ومربعات
• Greenshot (Windows)

للـ Code Blocks:

• Carbon.now.sh — لإنشاء screenshots جميلة من الكود

للـ HTTP Requests:

• احفظ من Burp Suite → Copy as curl
• استخدم syntax highlighting في المدوّنة

---

منصات النشر

المنصة	المميزات
Medium	جمهور واسع، سهل الكتابة
Dev.to	مجتمع تقني نشط
HackerOne Hacktivity	يصل لمجتمع Bug Bounty مباشرة
GitHub Pages	تحكم كامل، احترافي
مدوّنة شخصية	أفضل لـ SEO وبناء brand شخصي

---

الخلاصة

Writeup جيد = استثمار في مسيرتك المهنية. ابدأ بثغرة واحدة حتى لو بسيطة، اكتب قصتها بأسلوب شيّق، وانشرها. كل writeup تكتبه يفتح لك بابًا: فرصة عمل، متابع جديد، أو باحث تتعلم منه.