آسیب‌پذیری‌ها و جوایز
ما برای آسیب‌پذیری‌ها یا مسائل مرتبط با امنیت که کشف می‌شوند، جایزه پرداخت می‌کنیم. برای دریافت جایزه، شرایط زیر باید برقرار باشد.
#1 آسیب‌پذیری باید منحصربه‌فرد باشد
اگر چند گزارش دریافت کنیم، جایزه به اولین گزارش‌دهنده تعلق می‌گیرد. ممکن است به صلاحدید خود، برای تشویق به کشف‌های آینده، مبالغ ناچیزی به‌عنوان هزینه اعلان ثانویه پرداخت کنیم.
#2 آسیب‌پذیری باید قابل بازتولید باشد
ما برای هیچ آسیب‌پذیری‌ای که قابل بازتولید نباشد پرداخت نمی‌کنیم. برای ویدیوهای یوتیوبی که آسیب‌پذیری غیرقابل بازتولید را نشان می‌دهند نیز جایزه‌ای پرداخت نخواهیم کرد.
#3 باید سناریوی حمله وجود داشته باشد
حمله باید قابلیت توزیع از طریق سامانه‌های ما را داشته باشد. لطفاً قابلیت توزیع را توضیح دهید. برای مثال، استفاده از API ما و سپس نوشتن اسکریپت‌های مخرب مشمول این مورد نمی‌شود، زیرا با نوشتن یک صفحه حاوی اسکریپت‌های مخرب تفاوتی ندارد.
| دسته‌بندی | مثال‌ها | جایزه |
| اجرای کد از راه دور | تزریق دستور، باگ‌های دی‌سریال‌سازی، خروج از سندباکس | $200 – $800 |
| دسترسی نامحدود به سیستم فایل یا پایگاه داده | تزریق SQL، خواندن/نوشتن دلخواه فایل | $500 – $2,000 |
| باگ‌های نقص منطقی که کنترل‌های امنیتی مهم را افشا یا دور می‌زنند | ارجاع مستقیم به شیء، ارتقای سطح دسترسی، جعل هویت کاربر از راه دور، تصاحب حساب | $200 – $1,000 |
| آسیب‌پذیری‌های امنیت نقشه | نمایش نادرست نقشه، نشت داده‌های نقشه امن | $100 – $500 |
| اجرای کد در سمت کلاینت | XSS ذخیره‌شده، XSS بازتابی | $100 – $500 |
| سایر آسیب‌پذیری‌های امنیتی معتبر | CSRF، کلیک‌ربایی، افشای اطلاعات، تغییر مسیر باز | $25 – $200 |
نحوه تعیین مبلغ جایزه
هر دسته‌بندی بالا یک بازه پرداخت دارد. اینکه یک گزارش معتبر در کجای این بازه قرار می‌گیرد به سه عامل بستگی دارد:
سطح دسترسی لازم برای سوءاستفاده. باگ‌هایی که بدون احراز هویت قابل بهره‌برداری‌اند در بالای بازه قرار می‌گیرند. باگ‌هایی که به کاربر احراز هویت‌شده نیاز دارند در میانه قرار می‌گیرند. باگ‌هایی که به یک بستر دارای دسترسی ویژه (مدیر تیم، مالک تیم، طرح پولی، کارکنان داخلی) نیاز دارند در پایین بازه قرار می‌گیرند.
گستره تأثیر. آسیب‌پذیری‌هایی که همه کاربران یا همه نقشه‌ها را تحت تأثیر قرار می‌دهند، بیشتر از آسیب‌پذیری‌هایی که فقط یک حساب یا یک تیم را که مهاجم از قبل عضو آن است متأثر می‌کنند، جایزه دارند.
برگشت‌پذیری. خسارتی که کاربر آسیب‌دیده بتواند با روندهای عادی آن را برگرداند (مثلاً بازنشانی گذرواژه) جایزه کمتری دارد نسبت به خسارتی که ماندگار است یا برای رفع آن به دخالت ما نیاز است.
کیفیت گزارش نیز مؤثر است. گزارشی روشن با اثبات مفهوم (proof of concept) کارآمد، تحلیل علت ریشه‌ای و پیشنهاد برای رفع مشکل می‌تواند حتی زمانی که تأثیر فنی به‌تنهایی در میانه بازه قرار می‌گیرد، به بالای بازه برسد. گزارش‌های سرسری یا حدسی ممکن است پایین‌ترین مبلغ را دریافت کنند.
خارج از محدوده
موارد زیر واجد شرایط دریافت جایزه نیستند:
نقشه‌های اجتماعی ناشناس. نقشه‌های بدون مالک که هر کسی می‌تواند آن‌ها را ویرایش کند، یک ویژگی قدیمی جامعه کاربری هستند. ذخیره روی یک نقشه ناشناس آسیب‌پذیری محسوب نمی‌شود.
نقشه‌های فهرست‌نشده (URL به‌عنوان مدرک دسترسی). نقشه‌های بدون LockView عمداً برای هر کسی که نشانی آن‌ها را بداند قابل دسترسی‌اند، مشابه ویدیوی فهرست‌نشده یوتیوب. دسترسی به چنین نقشه‌ای یا ذخیره روی آن با دانستن کد نقشه، طبق طراحی است.
نرم‌افزارهای شخص ثالث که میزبانی می‌کنیم اما نگهداری نمی‌کنیم. مسائل مربوط به GeoServer، Tomcat یا سایر پشته‌های شخص ثالثی که در کنار سرویس‌های ما مستقر شده‌اند. لطفاً این موارد را به نگهدارندگان اصلی آن‌ها گزارش دهید.
نبود هدرهای امنیتی بدون سناریوی حمله مشخص. گزارش‌هایی درباره CSP، X-Frame-Options، HSTS و غیره بدون یک اکسپلویت کارآمد واجد شرایط نیستند.
محدودسازی نرخ به‌تنهایی. نبود محدودسازی نرخ در نقاط پایانی‌ای که محدودسازی نرخ برای امنیت حیاتی نیست، بدون سناریوی سوءاستفاده اثبات‌شده.
استفاده از هوش مصنوعی
ما از هوش مصنوعی برای اعتبارسنجی اولیه و اولویت‌بندی استفاده می‌کنیم. گاهی اشتباه می‌کند؛ ما هر مورد را به‌صورت انسانی نیز بررسی می‌کنیم، با این حال اگر فکر می‌کنید هوش مصنوعی در ابتدا اشتباه بزرگی کرده است، یک یادداشت همراه با توضیحات بیشتر و غیره به ارسال خود اضافه کنید..compromise any
استفاده از Burp / نقاط پایانی
ما از ابزارهایی مانند Burp برای اسکن‌های سریع استفاده می‌کنیم. معمولاً ترجیح می‌دهیم این اسکن‌ها را روی سامانه ما انجام ندهید، زیرا ارسال هزاران درخواست فقط بار غیرضروری روی سرورهای ما ایجاد می‌کند.
برای صرفه‌جویی در وقت شما، نقاط پایانی به این شرح است:
https://www.scribblemaps.com/
(اگر اسکن می‌کنید مسیر /maps/ را مسدود کنید، زیرا اسکنرها را به مسیری بی‌انتها می‌کشاند)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
پرداخت‌ها
هیچ تضمینی برای زمان‌بندی پرداخت وجود ندارد. ما بودجه‌ای ماهانه اختصاص می‌دهیم و مسائل شدید همیشه اول پرداخت می‌شوند. پرداخت‌ها را فقط از طریق Wise یا PayPal انجام می‌دهیم.
سلب جایزه
اعتبارسنجی یا پذیرش یک گزارش، واجد شرایط بودن برای دریافت جایزه را ایجاد می‌کند، نه استحقاق بی‌قید و شرط آن را. ScribbleMaps می‌تواند هرگاه رفتار پژوهشگر شرایط حاضر یا اصول افشای هماهنگ با حسن نیت را نقض کند، جایزه را کاهش دهد یا به‌طور کامل یا جزئی نپردازد. سلب جایزه به صلاحدید ScribbleMaps است؛ دلیل آن روی گزارش ثبت و به پژوهشگر اطلاع داده می‌شود.
جایزه‌ای که در غیر این صورت قابل پرداخت بود، ممکن است به هر یک از دلایل زیر سلب شود:
- افشای عمومی زودهنگام یا تهدید به آن. افشای آسیب‌پذیری — یا تهدید به افشای آن — به‌صورت عمومی، به اشخاص ثالث، یا از طریق کانال‌های رسانه‌ای/اجتماعی پیش از آنکه ScribbleMaps مشکل را برطرف کرده و افشا را مجاز کرده باشد. افشای هماهنگ شرط این برنامه است.
- اجبار، اخاذی یا آزار. مشروط کردن عدم افشا به پرداخت؛ تهدید یا تحت فشار قرار دادن کارکنان؛ یا استفاده از کانال‌های پشتیبانی، صورتحساب یا گزارش‌دهندگان برای مطالبه مکرر یا توهین‌آمیز پرداخت. پرسش‌های مربوط به وضعیت جایزه باید از طریق پورتال جوایز مطرح شود و ScribbleMaps به آن‌ها پاسخ خواهد داد.
- هویت‌های متعدد یا تکراری. داشتن بیش از یک حساب پژوهشگر، یا هدایت جوایز حساب‌های جداگانه به یک نشانی پرداخت مشترک، برای افزایش حجم ارسال‌ها یا جوایز.
- تبانی یا یافته‌های ساختگی. هماهنگ‌سازی ارسال‌ها بین حساب‌ها، استفاده از حساب یا نقشه‌های شرکت‌کننده‌ای دیگر به‌عنوان «قربانی» در اثبات مفهوم، یا ساختن وضعیتی از داده‌ها که محصول قادر به تولید آن نیست و سپس استناد به داده‌های حاصل به‌عنوان نشت.
- هرزنامه کم‌تلاش یا خودکار. ارسال‌های گروهی از خروجی اسکنرهای خودکار، فهرست‌های کتابخانه‌های قدیمی/CVE، یا موارد شناخته‌شده خارج از محدوده (بخش خارج از محدوده را ببینید) بدون اکسپلویت اثبات‌شده و مختص ScribbleMaps.
- آزمایش مخرب یا غیرقانونی. دسترسی، تغییر یا استخراج داده‌های سایر کاربران فراتر از حداقل لازم برای نمایش مسئله؛ اختلال یا ازکارانداختن سرویس؛ مهندسی اجتماعی علیه کارکنان یا کاربران؛ یا هر فعالیتی که محدوده برنامه یا قانون جاری آن را ممنوع کرده است.
- ارائه اطلاعات نادرست یا تقلب. جعل مراحل بازتولید، شواهد، تاریخ‌های کشف یا هویت.
یادداشت‌ها.
- سلب جایزه می‌تواند جزئی (جایزه کاهش‌یافته) یا کامل ($0) باشد.
- گزارش معتبری که به‌دلیل تخلف سلب جایزه شده، برای همان یافته دوباره واجد شرایط نیست.
- این شرایط از لحظه ارسال اعمال می‌شود و در اطلاعیه پذیرشی که هنگام پذیرش گزارش ارسال می‌شود نیز تکرار شده است.
برای ارسال گزارش
لطفاً به این نشانی مراجعه کنید: https://api.scribblemaps.com/vulnerabilities
این سایت همچنین شامل دستورالعمل‌هایی برای ارسال گزارش از طریق هوش مصنوعی است. برای ارسال گزارش باید وارد حساب خود شوید.
نکات حقوقی
ما نمی‌توانیم به افرادی که در فهرست‌های تحریم قرار دارند یا در کشورهایی (مانند کوبا، ایران، کره شمالی، سودان و سوریه) هستند که در فهرست‌های تحریم قرار دارند، جایزه پرداخت کنیم. پیامدهای مالیاتی بسته به کشور محل اقامت و تابعیت شما بر عهده خودتان است. ممکن است بسته به قوانین محلی شما محدودیت‌های اضافی برای شرکت شما وجود داشته باشد.
این یک مسابقه نیست، بلکه یک برنامه جوایز آزمایشی و اختیاری است. باید بدانید که ما می‌توانیم هر زمان برنامه را لغو کنیم و تصمیم درباره پرداخت یا عدم پرداخت جایزه کاملاً به صلاحدید ما است.
البته آزمایش شما نباید هیچ قانونی را نقض کند، یا داده‌هایی را که متعلق به خودتان نیست مختل یا آسیب‌دیده کند.
آخرین به‌روزرسانی