ተጋላጭነቶች እና ሽልማቶች

ለተገኙ ተጋላጭነቶች ወይም ከጥበቃ ጋር ለተያያዙ ችግሮች ሽልማት እንከፍላለን። ክፍያ ለማግኘት የሚከተሉት ሁኔታዎች መሟላት አለባቸው።

#1 ተጋላጭነቱ ልዩ መሆን አለበት 
ብዙ ሪፖርቶች ከደረሱን፣ መጀመሪያ ሪፖርት ያደረገው ሽልማቱን ያገኛል። ለወደፊት ግኝቶችን ለማበረታታት፣ በእኛ ውሳኔ፣ ለሁለተኛ ማሳወቂያ ትንሽ ክፍያ ልንከፍል እንችላለን።

#2 ተጋላጭነቱ ሊደገም የሚችል መሆን አለበት
ሊደገም ለማይችል ማንኛውም ተጋላጭነት አንከፍልም። ሊደገም የማይችል ተጋላጭነትን በሚያሳዩ የYouTube ቪዲዮዎች ላይ ሽልማት አንከፍልም።

#3 የጥቃት ሁኔታ መኖር አለበት
ጥቃቱ በእኛ ሥርዓቶች በኩል የማሰራጨት አቅም ሊኖረው ይገባል። እባክዎ የማሰራጨት አቅሙን ያብራሩ። ለምሳሌ፣ የእኛን API መጠቀም እና ከዚያም ተንኮል አዘል ስክሪፕቶችን መጻፍ ተንኮል አዘል ስክሪፕቶች ያሉት ገጽ ከመጻፍ ጋር ተመሳሳይ ስለሚሆን አይቆጠርም።
 

የሽልማት መጠኖች እንዴት እንደሚወሰኑ

ከላይ ያሉት እያንዳንዱ ምድብ የክፍያ ክልል አለው። ትክክለኛ ሪፖርት በክልሉ ውስጥ የት እንደሚያርፍ በሦስት ምክንያቶች ላይ የተመሠረተ ነው፦

ለመጠቀም የሚያስፈልግ ፈቃድ። ማረጋገጫ የማይጠይቁ ስህተቶች በክልሉ ከፍተኛ ክፍል ላይ ያርፋሉ። ያረጋገጠ ተጠቃሚ የሚጠይቁ ስህተቶች በመካከል ያርፋሉ። ልዩ ፈቃድ ያለው ሁኔታ (የቡድን አስተዳዳሪ፣ የቡድን ባለቤት፣ የሚከፈልበት ዕቅድ፣ የውስጥ ሠራተኞች) የሚጠይቁ ስህተቶች በታችኛው ክፍል ላይ ያርፋሉ።

የተፅዕኖ ስፋት። እያንዳንዱን ተጠቃሚ ወይም እያንዳንዱን ካርታ የሚነኩ ተጋላጭነቶች አንድን መለያ ወይም አጥቂው ቀድሞውኑ አባል የሆነበትን አንድ ቡድን ከሚነኩ ተጋላጭነቶች የበለጠ ይከፈላቸዋል።

መመለስ የሚቻልበት ሁኔታ። የተጎዳው ተጠቃሚ በተለመዱ የአሠራር ሂደቶች (ለምሳሌ የይለፍ ቃል ዳግም ማስጀመር) ሊያስተካክለው የሚችለው ጉዳት ከሚቀጥለው ወይም ለማስተካከል የእኛን ጣልቃ ገብነት ከሚጠይቀው ጉዳት ያነሰ ይከፈለዋል።

የሪፖርቱ ጥራትም ግምት ውስጥ ይገባል። ግልጽ የሆነ ጽሑፍ ከሚሰራ proof of concept፣ ከዋና መንስኤ ትንተና እና ከመፍትሔ ጥቆማ ጋር ቴክኒካዊ ተፅዕኖው ብቻውን መካከለኛ ክልል ላይ የሚያርፍ ቢሆንም እንኳ የክልሉን ከፍተኛ ክፍል ሊያስገኝ ይችላል። ግድየለሽ ወይም ግምታዊ ሪፖርቶች የታችኛውን ክፍል ሊያገኙ ይችላሉ።

ከወሰን ውጭ የሆኑ

የሚከተሉት ለሽልማት ብቁ አይደሉም፦

ስም-አልባ የማህበረሰብ ካርታዎች። ባለቤት የሌላቸው እና በማንኛውም ሰው ሊስተካከሉ የሚችሉ ካርታዎች ለረጅም ጊዜ የቆየ የማህበረሰብ ባህሪ ናቸው። ስም-አልባ ካርታ ላይ ማስቀመጥ ተጋላጭነት አይደለም።

ያልተዘረዘረ (Unlisted) (URL-እንደ-ማረጋገጫ) ካርታዎች። LockView የሌላቸው ካርታዎች ልክ እንደ ያልተዘረዘረ የYouTube ቪዲዮ URLውን ለሚያውቅ ማንኛውም ሰው ሆን ተብሎ ተደራሽ ናቸው። የካርታውን ኮድ በማወቅ እንዲህ ያለውን ካርታ መድረስ ወይም ማስቀመጥ በንድፍ የተፈቀደ ነው።

የምናስተናግዳቸው ግን የማንጠብቃቸው የሶስተኛ ወገን ሶፍትዌሮች። ከአገልግሎቶቻችን ጋር አብረው በተሰማሩ GeoServer፣ Tomcat ወይም ሌሎች የሶስተኛ ወገን ስብስቦች ውስጥ ያሉ ችግሮች። እባክዎ እነዚህን ለየራሳቸው upstream ጠባቂዎች ሪፖርት ያድርጉ።

ተጨባጭ የጥቃት ሁኔታ የሌላቸው የጠፉ የጥበቃ headers። ስለ CSP፣ X-Frame-Options፣ HSTS ወዘተ የሚሰራ exploit የሌላቸው ሪፖርቶች ብቁ አይደሉም።

ብቻውን የሚታይ rate limiting። rate limiting ለጥበቃ ወሳኝ ባልሆነባቸው endpoints ላይ የተረጋገጠ የአላግባብ አጠቃቀም ሁኔታ ሳይኖር የ rate limiting አለመኖር።

የ AI አጠቃቀም

ለመጀመሪያ ደረጃ ማረጋገጫ እና ምደባ AI እንጠቀማለን። አንዳንድ ጊዜ ስህተት ይሰራል፤ እያንዳንዱን በሰው እንገመግማለን፤ ሆኖም AI መጀመሪያ ላይ ትልቅ ስህተት ሰርቷል ብለው ካሰቡ፣ ለማስገባትዎ ተጨማሪ አውድ ወዘተ ያለው ማስታወሻ ይጨምሩ።

Burp አጠቃቀም / Endpoints

ለፈጣን ቅኝት እንደ burp ያሉ መሳሪያዎችን እንጠቀማለን። በሺዎች የሚቆጠሩ ጥያቄዎችን መላክ በአገልጋዮቻችን ላይ አላስፈላጊ ጫና ስለሚፈጥር እነዚህን ቅኝቶች በእኛ ላይ ባያደርጉ እንመርጣለን። 

ጊዜዎን ለመቆጠብ አንዳንድ endpoints እነሆ፦ 

https://www.scribblemaps.com/ 
(ቅኝት ካደረጉ ስካነሮችን ወደ ማያልቅ ጉድጓድ ስለሚልክ የ /maps/ መንገድን ያግዱ) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

ክፍያዎች

የክፍያ የጊዜ ሰሌዳዎች ዋስትና የላቸውም። ወርሃዊ በጀት እንመድባለን፤ ከባድ ችግሮች ሁልጊዜ መጀመሪያ ይከፈላሉ። ክፍያዎችን የምናደርገው በwise ወይም በpaypal ብቻ ነው።
 

የሽልማት መጥፋት

ሪፖርትን ማረጋገጥ ወይም መቀበል የሽልማት ብቁነትን ያረጋግጣል እንጂ ያለ ቅድመ ሁኔታ የሽልማት መብት አይሰጥም። የተመራማሪው ድርጊት እነዚህን ውሎች ወይም የቅን ልቦና የተቀናጀ ይፋ አደራረግ መርሆዎችን ሲጥስ ScribbleMaps ሽልማትን ሙሉ በሙሉ ወይም በከፊል ሊቀንስ ወይም ሊከለክል ይችላል። መጥፋቱ በScribbleMaps ውሳኔ ነው፤ ምክንያቱ በሪፖርቱ ላይ ተመዝግቦ ለተመራማሪው ይነገራል።

በሌላ ሁኔታ ሊከፈል የሚችል ሽልማት በማንኛቸውም የሚከተሉት ምክንያቶች ሊጠፋ ይችላል፦

1. ያለጊዜው ወይም በማስፈራራት ይፋ ማድረግ። ScribbleMaps ችግሩን ከማስተካከሉ እና ይፋ ማድረግን ከማጽደቁ በፊት ተጋላጭነቱን ለሕዝብ፣ ለሶስተኛ ወገኖች ወይም በሚዲያ/ማህበራዊ ቻናሎች ይፋ ማድረግ — ወይም ይፋ እናደርጋለን ብሎ ማስፈራራት። የተቀናጀ ይፋ አደራረግ የፕሮግራሙ ቅድመ ሁኔታ ነው።
2. ማስገደድ፣ ዛቻ ወይም ትንኮሳ። ሳይገለጽ መቆየትን በክፍያ ላይ ማስቀመጥ፤ ሠራተኞችን ማስፈራራት ወይም ጫና ማድረግ፤ ወይም ክፍያ ለመጠየቅ በተደጋጋሚ ወይም በስድብ መልኩ የድጋፍ፣ የክፍያ ወይም የሪፖርተር ቻናሎችን መጠቀም። የሽልማት ሁኔታ ጥያቄዎች ScribbleMaps ምላሽ በሚሰጥበት በሽልማት ፖርታል በኩል መቅረብ አለባቸው።
3. ብዙ ወይም የተባዙ ማንነቶች። የማስገባት ብዛትን ወይም ሽልማቶችን ለመጨመር ከአንድ በላይ የተመራማሪ መለያ ማስኬድ፣ ወይም የተለያዩ መለያዎችን ሽልማቶች ወደ የጋራ የክፍያ አድራሻ ማስተላለፍ።
4. ሴራ ወይም የተፈበረኩ ግኝቶች። በመለያዎች መካከል ማስገባቶችን ማስተባበር፣ የሌላ ተሳታፊን መለያ ወይም ካርታዎች በproof of concept ውስጥ እንደ “ተጎጂ” መጠቀም፣ ወይም ምርቱ ሊያመርተው የማይችል የመረጃ ሁኔታ ፈጥሮ የተገኘውን መረጃ እንደ መውጣት መጥቀስ።
5. አነስተኛ ጥረት ወይም አውቶማቲክ አይፈለጌ መልዕክት። የScribbleMaps-ተኮር የተረጋገጠ exploit ሳይኖር የአውቶማቲክ ስካነር ውጤቶችን፣ ጊዜ ያለፈባቸው ቤተ-መጻሕፍት/CVE ዝርዝሮችን ወይም የታወቁ ከወሰን ውጭ የሆኑ ነገሮችን (ከወሰን ውጭ የሆኑን ይመልከቱ) በጅምላ ማስገባት።
6. ጎጂ ወይም ሕገ-ወጥ ሙከራ። ጉዳዩን ለማሳየት ከሚያስፈልገው ዝቅተኛ መጠን በላይ የሌሎች ተጠቃሚዎችን መረጃ መድረስ፣ መቀየር ወይም ማውጣት፤ አገልግሎትን ማሳነስ ወይም መከልከል፤ ሠራተኞችን ወይም ተጠቃሚዎችን በማህበራዊ ምህንድስና ማታለል፤ ወይም በፕሮግራሙ ወሰን ወይም በሚመለከተው ሕግ የተከለከለ ማንኛውም ተግባር።
7. ሐሰተኛ መረጃ ወይም ማጭበርበር። የማባዛት ደረጃዎችን፣ ማስረጃዎችን፣ የግኝት ቀኖችን ወይም ማንነትን ማጭበርበር።

ማስታወሻዎች።

• መጥፋቱ ከፊል (የተቀነሰ ሽልማት) ወይም ሙሉ ($0) ሊሆን ይችላል።
• በጥፋት ምክንያት የጠፋ የተረጋገጠ ሪፖርት ለተመሳሳይ ግኝት እንደገና ብቁ አይሆንም።
• እነዚህ ውሎች ከማስገባት ቅጽበት ጀምሮ ተፈጻሚ ይሆናሉ እና ሪፖርት ሲቀበል በሚላከው የመቀበያ ማሳወቂያ ላይ እንደገና ይገለጻሉ።

ሪፖርት ለማስገባት

እባክዎ ይጎብኙ፦ https://api.scribblemaps.com/vulnerabilities

ጣቢያው ሪፖርቶችን በAI እንዴት ማስገባት እንደሚቻል መመሪያዎችንም ያካትታል። ሪፖርት ለማስገባት መግባት አለብዎት።

ሕጋዊ ነጥቦች

በማዕቀብ ዝርዝሮች ላይ ላሉ ግለሰቦች፣ ወይም በማዕቀብ ዝርዝሮች ላይ ባሉ አገሮች (ለምሳሌ ኩባ፣ ኢራን፣ ሰሜን ኮሪያ፣ ሱዳን እና ሶሪያ) ለሚገኙ ሽልማት መስጠት አንችልም። እንደ መኖሪያ አገርዎ እና ዜግነትዎ ለሚኖሩ የግብር ጉዳዮች ኃላፊነቱ የእርስዎ ነው። እንደ አካባቢዎ ሕግ ለመሳተፍ ባለዎት ችሎታ ላይ ተጨማሪ ገደቦች ሊኖሩ ይችላሉ።

ይህ ውድድር ሳይሆን የሙከራ እና በውሳኔ ላይ የተመሠረተ የሽልማት ፕሮግራም ነው። ፕሮግራሙን በማንኛውም ጊዜ ልንሰርዘው እንደምንችል፣ እና ሽልማት መክፈል ወይም አለመክፈል ውሳኔው ሙሉ በሙሉ በእኛ ውሳኔ እንደሆነ መረዳት አለብዎት።

በእርግጥ ሙከራዎ ማንኛውንም ሕግ መጣስ ወይም የእርስዎ ያልሆነን ማንኛውንም መረጃ ማደናቀፍ ወይም ለአደጋ ማጋለጥ የለበትም።