નબળાઈઓ અને બાઉન્ટી

શોધાયેલી નબળાઈઓ અથવા સુરક્ષા-સંબંધિત સમસ્યાઓ માટે અમે બાઉન્ટી ચૂકવીએ છીએ. ચુકવણી મેળવવા માટે નીચેની બાબતો સાચી હોવી જોઈએ.

#1 નબળાઈ અનન્ય હોવી જોઈએ 
જો અમને ઘણા રિપોર્ટ મળે, તો સૌથી પહેલા રિપોર્ટ કરનારને બાઉન્ટી મળશે. ભવિષ્યમાં શોધને પ્રોત્સાહન આપવા માટે અમે, અમારી વિવેકબુદ્ધિ મુજબ, નજીવી ગૌણ સૂચના ફી ચૂકવી શકીએ છીએ.

#2 નબળાઈ ફરીથી ઉત્પન્ન કરી શકાય તેવી હોવી જોઈએ
જે નબળાઈ ફરીથી ઉત્પન્ન કરી શકાતી નથી તેના માટે અમે ચૂકવણી કરીશું નહીં. જે નબળાઈ ફરીથી ઉત્પન્ન કરી શકાતી નથી તે દર્શાવતા YouTube વિડિઓ પર અમે બાઉન્ટી ચૂકવીશું નહીં.

#3 હુમલાનું દૃશ્ય હોવું જોઈએ
હુમલામાં અમારી સિસ્ટમો દ્વારા વિતરણ ક્ષમતા હોવી જોઈએ. કૃપા કરીને વિતરણ ક્ષમતા સમજાવો. ઉદાહરણ તરીકે, અમારા API નો ઉપયોગ કરીને અને પછી દૂષિત સ્ક્રિપ્ટો લખવી એ ગણાશે નહીં, કારણ કે તે દૂષિત સ્ક્રિપ્ટો સાથેનું પેજ લખવા કરતાં કંઈ અલગ નહીં હોય.
 

બાઉન્ટીની રકમ કેવી રીતે નક્કી થાય છે

ઉપરના દરેક વર્ગની ચુકવણી શ્રેણી છે. માન્ય રિપોર્ટ તેની શ્રેણીમાં ક્યાં આવે છે તે ત્રણ પરિબળો પર આધાર રાખે છે:

શોષણ માટે જરૂરી વિશેષાધિકાર. પ્રમાણીકરણ વિનાના બગ્સ શ્રેણીની ટોચ પર આવે છે. પ્રમાણિત યુઝરની જરૂર હોય તેવા બગ્સ મધ્યમાં આવે છે. વિશેષાધિકૃત સંદર્ભ (ટીમ એડમિન, ટીમ માલિક, પેઇડ પ્લાન, આંતરિક સ્ટાફ) ની જરૂર હોય તેવા બગ્સ તળિયે આવે છે.

અસરનો વ્યાપ. દરેક યુઝર અથવા દરેક નકશાને અસર કરતી નબળાઈઓ, એક જ એકાઉન્ટ અથવા હુમલાખોર પહેલેથી જે એક ટીમનો ભાગ છે તેને અસર કરતી નબળાઈઓ કરતાં વધુ ચૂકવે છે.

પાછું વાળી શકાય તેવું. અસરગ્રસ્ત યુઝર સામાન્ય વર્કફ્લો દ્વારા પૂર્વવત્ કરી શકે તેવું નુકસાન (ઉદાહરણ તરીકે, પાસવર્ડ રીસેટ) એવા નુકસાન કરતાં ઓછું ચૂકવે છે જે ચાલુ રહે છે અથવા જેને પૂર્વવત્ કરવા માટે અમારી દરમિયાનગીરીની જરૂર પડે છે.

રિપોર્ટની ગુણવત્તા પણ ગણતરીમાં લેવાય છે. કાર્યરત પ્રૂફ ઑફ કન્સેપ્ટ, મૂળ કારણ વિશ્લેષણ અને સુધારા માટેના સૂચન સાથેનું સ્પષ્ટ લખાણ, ટેકનિકલ અસર એકલી મધ્યમ શ્રેણીમાં આવતી હોય ત્યારે પણ શ્રેણીની ટોચની રકમ અપાવી શકે છે. બેદરકારીભર્યા અથવા અનુમાન આધારિત રિપોર્ટને તળિયાની રકમ મળી શકે છે.

કાર્યક્ષેત્ર બહાર

નીચેની બાબતો બાઉન્ટી માટે પાત્ર નથી:

અનામી કમ્યુનિટી નકશા. માલિક વગરના નકશા જે કોઈપણ સંપાદિત કરી શકે તે લાંબા સમયથી ચાલતી કમ્યુનિટી સુવિધા છે. અનામી નકશા પર સાચવવું એ નબળાઈ નથી.

અનલિસ્ટેડ (URL-એઝ-ક્રેડેન્શિયલ) નકશા. LockView વિનાના નકશા ઇરાદાપૂર્વક URL જાણતા કોઈપણ માટે સુલભ છે, અનલિસ્ટેડ YouTube વિડિઓની જેમ. નકશાનો કોડ જાણીને આવા નકશાને એક્સેસ કરવો કે સાચવવો એ ડિઝાઇન મુજબ છે.

અમે હોસ્ટ કરીએ છીએ પરંતુ જાળવતા નથી તેવું તૃતીય-પક્ષ સૉફ્ટવેર. અમારી સેવાઓ સાથે ગોઠવાયેલા GeoServer, Tomcat કે અન્ય તૃતીય-પક્ષ સ્ટેકમાંની સમસ્યાઓ. કૃપા કરીને આ સંબંધિત અપસ્ટ્રીમ જાળવણીકારોને રિપોર્ટ કરો.

નક્કર હુમલા દૃશ્ય વિના ખૂટતા સુરક્ષા હેડર્સ. કાર્યરત એક્સપ્લોઇટ વિના CSP, X-Frame-Options, HSTS વગેરે વિશેના રિપોર્ટ પાત્ર નથી.

એકલતામાં રેટ લિમિટિંગ. જ્યાં રેટ લિમિટિંગ સુરક્ષા માટે નિર્ણાયક નથી તેવા એન્ડપોઇન્ટ્સ પર, દુરુપયોગના પ્રદર્શિત દૃશ્ય વિના, રેટ લિમિટિંગનો અભાવ.

AI નો ઉપયોગ

પ્રાથમિક માન્યતા અને ટ્રાયેજ માટે અમે AI નો ઉપયોગ કરીએ છીએ. તે ક્યારેક ભૂલો કરે છે; અમે દરેકની માનવ સમીક્ષા કરીએ છીએ, તેમ છતાં, જો તમને લાગે કે AI એ શરૂઆતમાં મોટી ભૂલ કરી છે, તો વધુ સંદર્ભ વગેરે સાથે સબમિશનમાં એક નોંધ ઉમેરો..compromise any

Burp નો ઉપયોગ / એન્ડપોઇન્ટ્સ

ઝડપી સ્કેન માટે અમે burp જેવા ટૂલ્સનો ઉપયોગ કરીએ છીએ. અમે સામાન્ય રીતે પસંદ કરીએ છીએ કે તમે અમારા પર આ સ્કેન ન કરો, કારણ કે હજારો રિક્વેસ્ટ મોકલવાથી અમારા સર્વર્સ પર બિનજરૂરી ભાર પડે છે. 

તમારો થોડો સમય બચાવવા માટે અહીં કેટલાક એન્ડપોઇન્ટ્સ છે: 

https://www.scribblemaps.com/ 
(જો તમે સ્કેન કરો તો /maps/ પાથને બ્લોક કરો, કારણ કે તે સ્કેનર્સને અંતહીન માર્ગે લઈ જશે) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

ચુકવણીઓ

ચુકવણીની સમયમર્યાદા અંગે કોઈ ખાતરી નથી. અમે માસિક બજેટ ફાળવીએ છીએ, અને ગંભીર સમસ્યાઓ હંમેશા પહેલા ચૂકવાય છે. અમે ફક્ત wise અથવા paypal દ્વારા ચુકવણી કરીએ છીએ.
 

બાઉન્ટીની જપ્તી

રિપોર્ટને માન્ય કરવો કે સ્વીકારવો એ ઇનામ માટેની પાત્રતા સ્થાપિત કરે છે, તેના માટેનો બિનશરતી હક નહીં. જ્યારે સંશોધકનું વર્તન આ શરતો અથવા સદ્ભાવનાપૂર્ણ સંકલિત ખુલાસાના સિદ્ધાંતોનું ઉલ્લંઘન કરે ત્યારે ScribbleMaps બાઉન્ટીને સંપૂર્ણ કે આંશિક રીતે ઘટાડી અથવા રોકી શકે છે. જપ્તી ScribbleMaps ની વિવેકબુદ્ધિ મુજબ હોય છે; કારણ રિપોર્ટ પર નોંધવામાં આવે છે અને સંશોધકને જણાવવામાં આવે છે.

અન્યથા ચૂકવવાપાત્ર બાઉન્ટી નીચેનામાંથી કોઈપણ કારણસર જપ્ત થઈ શકે છે:

1. અકાળે અથવા ધમકીભર્યો જાહેર ખુલાસો. ScribbleMaps સમસ્યા દૂર કરે અને ખુલાસા માટે અધિકૃત કરે તે પહેલાં નબળાઈને જાહેરમાં, તૃતીય પક્ષોને અથવા મીડિયા/સોશિયલ ચેનલો દ્વારા જાહેર કરવી — અથવા જાહેર કરવાની ધમકી આપવી. સંકલિત ખુલાસો એ કાર્યક્રમની શરત છે.
2. બળજબરી, ખંડણી કે ઉત્પીડન. ચુકવણીની શરતે ખુલાસો ન કરવાનું રાખવું; સ્ટાફને ધમકી આપવી કે દબાણ કરવું; અથવા ચુકવણીની વારંવાર કે અપમાનજનક માગણી કરવા માટે સપોર્ટ, બિલિંગ કે રિપોર્ટર ચેનલોનો ઉપયોગ કરવો. ઇનામની સ્થિતિ અંગેના પ્રશ્નો બાઉન્ટી પોર્ટલ દ્વારા ઉઠાવવા જોઈએ, જેનો ScribbleMaps જવાબ આપશે.
3. બહુવિધ અથવા ડુપ્લિકેટ ઓળખ. સબમિશનની સંખ્યા કે ઇનામો વધારવા માટે એક કરતાં વધુ સંશોધક એકાઉન્ટ ચલાવવા, અથવા અલગ એકાઉન્ટ્સના ઇનામોને સહિયારા ચુકવણી સરનામે મોકલવા.
4. મિલીભગત અથવા બનાવટી તારણો. એકાઉન્ટ્સ વચ્ચે સબમિશનનું સંકલન કરવું, પ્રૂફ ઑફ કન્સેપ્ટમાં અન્ય સહભાગીના એકાઉન્ટ કે નકશાનો “પીડિત” તરીકે ઉપયોગ કરવો, અથવા ઉત્પાદન જે ઉત્પન્ન ન કરી શકે તેવી ડેટા સ્થિતિ બનાવીને પછી પરિણામી ડેટાને લીક તરીકે ટાંકવો.
5. ઓછા પ્રયત્નવાળો અથવા સ્વયંસંચાલિત સ્પામ. ScribbleMaps-વિશિષ્ટ, પ્રદર્શિત એક્સપ્લોઇટ વિના સ્વયંસંચાલિત સ્કેનર આઉટપુટ, જૂની લાઇબ્રેરી/CVE યાદીઓ, અથવા જાણીતી કાર્યક્ષેત્ર-બહારની બાબતો (કાર્યક્ષેત્ર બહાર જુઓ) ના બલ્ક સબમિશન.
6. હાનિકારક અથવા ગેરકાયદેસર પરીક્ષણ. સમસ્યા દર્શાવવા માટે જરૂરી ન્યૂનતમથી વધુ અન્ય યુઝર્સના ડેટાને એક્સેસ કરવો, બદલવો કે બહાર કાઢવો; સેવાને બગાડવી કે નકારવી; સ્ટાફ કે યુઝર્સ સાથે સોશિયલ-એન્જિનિયરિંગ કરવું; અથવા કાર્યક્રમના કાર્યક્ષેત્ર કે લાગુ કાયદા દ્વારા પ્રતિબંધિત કોઈપણ પ્રવૃત્તિ.
7. ખોટી રજૂઆત અથવા છેતરપિંડી. પુનઃઉત્પાદનના પગલાં, પુરાવા, શોધની તારીખો કે ઓળખમાં ખોટી માહિતી આપવી.

નોંધો.

• જપ્તી આંશિક (ઘટાડેલું ઇનામ) અથવા સંપૂર્ણ ($0) હોઈ શકે છે.
• ગેરવર્તણૂકને કારણે જપ્ત થયેલો માન્ય રિપોર્ટ એ જ તારણ માટે ફરીથી પાત્ર નથી.
• આ શરતો સબમિશનની ક્ષણથી લાગુ પડે છે અને રિપોર્ટ સ્વીકારાય ત્યારે મોકલાતી સ્વીકૃતિ સૂચનામાં ફરીથી જણાવવામાં આવે છે.

રિપોર્ટ સબમિટ કરવા માટે

કૃપા કરીને મુલાકાત લો: https://api.scribblemaps.com/vulnerabilities

સાઇટમાં AI દ્વારા રિપોર્ટ કેવી રીતે સબમિટ કરવા તેની સૂચનાઓ પણ શામેલ છે. રિપોર્ટ સબમિટ કરવા માટે તમારે લોગ ઇન કરવું આવશ્યક છે.

કાનૂની મુદ્દાઓ

પ્રતિબંધ યાદીઓમાં હોય તેવી વ્યક્તિઓને, અથવા પ્રતિબંધ યાદીઓમાં હોય તેવા દેશો (દા.ત. ક્યુબા, ઈરાન, ઉત્તર કોરિયા, સુદાન અને સીરિયા) માં હોય તેમને અમે ઇનામ આપી શકતા નથી. તમારા નિવાસ અને નાગરિકતાના દેશના આધારે કોઈપણ કર અસરો માટે તમે જવાબદાર છો. તમારા સ્થાનિક કાયદાના આધારે તમારી ભાગ લેવાની ક્ષમતા પર વધારાના નિયંત્રણો હોઈ શકે છે.

આ સ્પર્ધા નથી, પરંતુ પ્રાયોગિક અને વિવેકાધીન ઇનામ કાર્યક્રમ છે. તમારે સમજવું જોઈએ કે અમે કાર્યક્રમ કોઈપણ સમયે રદ કરી શકીએ છીએ, અને ઇનામ ચૂકવવું કે નહીં તેનો નિર્ણય સંપૂર્ણપણે અમારી વિવેકબુદ્ધિ પર રહેશે.

અલબત્ત, તમારું પરીક્ષણ કોઈપણ કાયદાનું ઉલ્લંઘન ન કરવું જોઈએ, અથવા તમારો પોતાનો ન હોય તેવા કોઈપણ ડેટાને વિક્ષેપિત કે જોખમમાં ન મૂકવો જોઈએ.