Zəifliklər və mükafatlar

Aşkar edilmiş zəifliklərə və ya təhlükəsizliklə bağlı problemlərə görə mükafat ödəyirik. Ödəniş almaq üçün aşağıdakılar doğru olmalıdır.

#1 Zəiflik unikal olmalıdır 
Bir neçə hesabat alsaq, ilk bildirən mükafatı alacaq. Gələcək kəşfləri həvəsləndirmək üçün öz mülahizəmizə əsasən simvolik ikinci bildiriş haqları ödəyə bilərik.

#2 Zəiflik təkrar istehsal oluna bilən olmalıdır
Təkrar istehsal oluna bilməyən heç bir zəifliyə görə ödəniş etməyəcəyik. Təkrar istehsal oluna bilməyən zəifliyi nümayiş etdirən YouTube videolarına görə mükafat ödəməyəcəyik.

#3 Hücum ssenarisi olmalıdır
Hücumun bizim sistemlərimiz vasitəsilə yayılma imkanı olmalıdır. Zəhmət olmasa yayılma imkanını izah edin. Məsələn, API-mizdən istifadə edib zərərli skriptlər yazmaq sayılmayacaq, çünki bu, sadəcə zərərli skriptləri olan səhifə yazmaqdan fərqlənmir.
 

Mükafat məbləğləri necə müəyyən edilir

Yuxarıdakı hər kateqoriyanın ödəniş diapazonu var. Etibarlı hesabatın bu diapazonun harasına düşməsi üç amildən asılıdır:

İstismar üçün tələb olunan imtiyaz. Autentifikasiya tələb etməyən xətalar diapazonun yuxarı hissəsinə düşür. Autentifikasiya olunmuş istifadəçi tələb edən xətalar ortaya düşür. İmtiyazlı kontekst tələb edən xətalar (komanda admini, komanda sahibi, ödənişli plan, daxili işçi heyəti) aşağı hissəyə düşür.

Təsir dairəsi. Hər istifadəçiyə və ya hər xəritəyə təsir edən zəifliklər, tək bir hesaba və ya hücum edənin artıq üzv olduğu tək bir komandaya təsir edən zəifliklərdən daha çox ödənilir.

Geri qaytarıla bilmə. Təsirə məruz qalan istifadəçinin adi iş axınları ilə (məsələn, parolun sıfırlanması) geri qaytara biləcəyi ziyan, davam edən və ya geri qaytarılması üçün bizim müdaxiləmizi tələb edən ziyandan az ödənilir.

Hesabatın keyfiyyəti də nəzərə alınır. İşlək proof of concept, əsas səbəb təhlili və aradan qaldırma təklifi olan aydın yazı, texniki təsir təkbaşına ortaya düşsə belə, diapazonun yuxarı hissəsini qazana bilər. Səliqəsiz və ya fərziyyəyə əsaslanan hesabatlar aşağı hissəni qazana bilər.

Əhatə dairəsindən kənar

Aşağıdakılar mükafat üçün uyğun deyil:

Anonim icma xəritələri. Sahibi olmayan və hər kəs tərəfindən redaktə oluna bilən xəritələr uzun müddətdir mövcud olan icma xüsusiyyətidir. Anonim xəritənin üzərinə yazmaq zəiflik deyil.

Siyahıdankənar (URL-in etimadnamə kimi istifadəsi) xəritələr. LockView olmayan xəritələr, siyahıdankənar YouTube videosuna bənzər şəkildə, URL-i bilən hər kəs üçün qəsdən əlçatandır. Belə xəritəyə xəritə kodunu bilməklə daxil olmaq və ya onu yadda saxlamaq nəzərdə tutulmuş davranışdır.

Bizim yerləşdirdiyimiz, lakin saxlamadığımız üçüncü tərəf proqram təminatı. GeoServer, Tomcat və ya xidmətlərimizlə yanaşı yerləşdirilmiş digər üçüncü tərəf yığınlarındakı problemlər. Zəhmət olmasa, bunları müvafiq upstream saxlayıcılarına bildirin.

Konkret hücum ssenarisi olmayan çatışmayan təhlükəsizlik başlıqları. İşlək exploit olmadan CSP, X-Frame-Options, HSTS və s. haqqında hesabatlar uyğun deyil.

Təkbaşına sürət məhdudiyyəti. Sürət məhdudiyyətinin təhlükəsizlik baxımından kritik olmadığı endpoint-lərdə, nümayiş etdirilmiş sui-istifadə ssenarisi olmadan sürət məhdudiyyətinin olmaması.

Süni intellektdən istifadə

Triaj üçün ilkin yoxlamanı aparmaq məqsədilə süni intellektdən istifadə edirik. O, bəzən səhvlər edir, hər birini insan tərəfindən yoxlayırıq, lakin süni intellektin ilkin mərhələdə böyük səhv etdiyini düşünürsünüzsə, təqdimata əlavə kontekst və s. ilə qeyd əlavə edin..compromise any

Burp-dan istifadə / Endpoint-lər

Sürətli skanlar üçün burp kimi alətlərdən istifadə edirik. Bu skanları bizim üzərimizdə aparmamağınızı üstün tuturuq, çünki minlərlə sorğu ilə vurmaq serverlərimizə lazımsız yük salır. 

Vaxtınıza qənaət etmək üçün bəzi endpoint-lər: 

https://www.scribblemaps.com/ 
(Skan aparsanız, /maps/ yolunu bloklayın, çünki bu, skanerləri sonsuz dövrəyə salacaq) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Ödənişlər

Ödəniş müddətlərinə dair heç bir zəmanət yoxdur. Aylıq büdcə ayırırıq, ciddi problemlər həmişə birinci ödənilir. Ödənişləri yalnız wise və ya paypal vasitəsilə edirik.
 

Mükafatdan məhrum olma

Hesabatın təsdiqlənməsi və ya qəbul edilməsi mükafat üçün uyğunluğu müəyyən edir, onu əldə etmək üçün qeyd-şərtsiz hüquq yaratmır. Tədqiqatçının davranışı bu şərtləri və ya vicdanlı koordinasiyalı açıqlama prinsiplərini pozduqda, ScribbleMaps mükafatı tam və ya qismən azalda və ya saxlaya bilər. Mükafatdan məhrum etmə ScribbleMaps-in mülahizəsinə əsasən həyata keçirilir; səbəb hesabatda qeyd olunur və tədqiqatçıya bildirilir.

Əks halda ödənilməli olan mükafatdan aşağıdakılardan hər hansı biri səbəbindən məhrum edilə bilər:

1. Vaxtından əvvəl və ya hədə ilə ictimai açıqlama. ScribbleMaps problemi aradan qaldırmadan və açıqlamaya icazə vermədən əvvəl zəifliyi ictimaiyyətə, üçüncü tərəflərə və ya media/sosial kanallar vasitəsilə açıqlamaq — yaxud açıqlamaqla hədələmək. Koordinasiyalı açıqlama proqramın şərtidir.
2. Məcburetmə, hədə-qorxu ilə pul tələb etmə və ya təqib. Açıqlanmamağı ödənişdən asılı etmək; işçi heyətinə hədə gəlmək və ya təzyiq göstərmək; yaxud dəstək, ödəniş və ya hesabat verən kanallarından təkrar və ya təhqiramiz şəkildə ödəniş tələb etmək üçün istifadə etmək. Mükafat statusu ilə bağlı suallar ScribbleMaps-in cavablandıracağı mükafat portalı vasitəsilə verilməlidir.
3. Çoxsaylı və ya təkrarlanan şəxsiyyətlər. Birdən çox tədqiqatçı hesabı idarə etmək və ya təqdimatların həcmini və ya mükafatları süni şəkildə artırmaq üçün ayrı hesabların mükafatlarını ortaq ödəniş ünvanına yönləndirmək.
4. Əlbirlik və ya uydurma tapıntılar. Hesablar arasında təqdimatları əlaqələndirmək, proof of concept-də başqa iştirakçının hesabından və ya xəritələrindən “qurban” kimi istifadə etmək, yaxud məhsulun yarada bilməyəcəyi məlumat vəziyyətini uydurub, yaranan məlumatı sızma kimi göstərmək.
5. Aşağı səylə hazırlanmış və ya avtomatlaşdırılmış spam. Avtomatlaşdırılmış skaner çıxışlarının, köhnəlmiş kitabxana/CVE siyahılarının və ya məlum əhatə dairəsindən kənar elementlərin (bax: Əhatə dairəsindən kənar) ScribbleMaps-ə xas, nümayiş etdirilmiş exploit olmadan kütləvi təqdim edilməsi.
6. Zərərli və ya qanunsuz test. Zəifliyi nümayiş etdirmək üçün lazım olan minimumdan artıq başqa istifadəçilərin məlumatlarına daxil olmaq, onları dəyişdirmək və ya kənara çıxarmaq; xidməti pisləşdirmək və ya əlçatmaz etmək; işçi heyətinə və ya istifadəçilərə qarşı sosial mühəndislik tətbiq etmək; yaxud proqramın əhatə dairəsi və ya tətbiq olunan qanunla qadağan edilmiş hər hansı fəaliyyət.
7. Yalan məlumat vermə və ya fırıldaqçılıq. Təkrar istehsal addımlarını, sübutları, kəşf tarixlərini və ya şəxsiyyəti saxtalaşdırmaq.

Qeydlər.

• Mükafatdan məhrum etmə qismən (azaldılmış mükafat) və ya tam ($0) ola bilər.
• Qanun pozuntusuna görə mükafatdan məhrum edilmiş təsdiqlənmiş hesabat eyni tapıntı üçün yenidən uyğun sayılmır.
• Bu şərtlər təqdim anından tətbiq olunur və hesabat qəbul edildikdə göndərilən qəbul bildirişində təkrarlanır.

Hesabat təqdim etmək üçün

Zəhmət olmasa, bu ünvana daxil olun: https://api.scribblemaps.com/vulnerabilities

Saytda həmçinin hesabatların süni intellekt vasitəsilə necə təqdim ediləcəyinə dair təlimatlar da var. Hesabat təqdim etmək üçün daxil olmalısınız.

Hüquqi məqamlar

Sanksiya siyahılarında olan şəxslərə və ya sanksiya siyahılarında olan ölkələrdə (məsələn, Kuba, İran, Şimali Koreya, Sudan və Suriya) olan şəxslərə mükafat verə bilmirik. Yaşadığınız ölkədən və vətəndaşlığınızdan asılı olaraq hər hansı vergi nəticələrinə görə siz məsuliyyət daşıyırsınız. Yerli qanunlarınızdan asılı olaraq iştirak etmək imkanınıza əlavə məhdudiyyətlər ola bilər.

Bu, müsabiqə deyil, təcrübi və mülahizəyə əsaslanan mükafat proqramıdır. Nəzərə almalısınız ki, proqramı istənilən vaxt ləğv edə bilərik və mükafat ödəmək barədə qərar tamamilə bizim mülahizəmizə əsaslanır.

Əlbəttə, testiniz heç bir qanunu pozmamalı, sizə məxsus olmayan heç bir məlumatı pozmamalı və ya təhlükəyə atmamalıdır.