פגיעויות ופרסי באונטי
אנו משלמים פרסי באונטי על פגיעויות שהתגלו או על בעיות הקשורות לאבטחה. כדי לקבל תשלום, יש לעמוד בתנאים הבאים.
#1 הפגיעות חייבת להיות ייחודית
אם נקבל מספר דיווחים, הראשון שדיווח יקבל את הפרס. ייתכן שנשלם, לפי שיקול דעתנו, דמי הודעה משניים סמליים כדי לעודד גילויים בעתיד.
#2 הפגיעות חייבת להיות ניתנת לשחזור
לא נשלם עבור פגיעות שלא ניתן לשחזר. לא נשלם פרסי באונטי על סרטוני יוטיוב המדגימים פגיעות שלא ניתן לשחזר.
#3 חייב להיות תרחיש תקיפה
לתקיפה חייבת להיות יכולת הפצה דרך המערכות שלנו. אנא הסבר/י את יכולת ההפצה. למשל, ניצול ה-API שלנו וכתיבת סקריפטים זדוניים לא ייחשבו, שכן אין הבדל בין זה לבין כתיבת דף עם סקריפטים זדוניים.
| קטגוריה | דוגמאות | פרס |
| הרצת קוד מרחוק | הזרקת פיקוד, באגי דה-סריאליזציה, בריחה מ-sandbox | $200 – $800 |
| גישה בלתי מוגבלת למערכת הקבצים או למסד הנתונים | SQL injection, קריאה/כתיבה שרירותית של קבצים | $500 – $2,000 |
| באגים בלוגיקה שמדליפים או עוקפים בקרות אבטחה משמעותיות | הפניה ישירה לאובייקט, הסלמת הרשאות, התחזות למשתמש מרחוק, השתלטות על חשבון | $200 – $1,000 |
| פגיעויות אבטחה של מפה | חשיפה לא תקינה של מפה, דליפת נתונים ממפה מאובטחת | $100 – $500 |
| הרצת קוד בצד הלקוח | Stored XSS, reflected XSS | $100 – $500 |
| פגיעויות אבטחה תקפות אחרות | CSRF, clickjacking, חשיפת מידע, open redirect | $25 – $200 |
כיצד נקבעים סכומי הפרסים
לכל קטגוריה לעיל יש טווח תשלום. המיקום של דיווח תקף בתוך הטווח תלוי בשלושה גורמים:
ההרשאה הנדרשת לניצול. באגים שאינם דורשים אימות נמצאים בחלק העליון של הטווח. באגים שדורשים משתמש מאומת נמצאים באמצע. באגים שדורשים הקשר מועדף (מנהל צוות, בעל צוות, תוכנית בתשלום, צוות פנימי) נמצאים בחלק התחתון.
רדיוס הפגיעה. פגיעויות שמשפיעות על כל המשתמשים או על כל המפות משלמות יותר מפגיעויות שמשפיעות על חשבון בודד או על צוות בודד שהתוקף כבר שייך אליו.
הפיכות. נזק שהמשתמש שנפגע יכול לבטל באמצעות תהליכי עבודה רגילים (למשל, איפוס סיסמה) משלם פחות מנזק שנמשך או שדורש את התערבותנו כדי לבטלו.
גם איכות הדיווח משפיעה. תיעוד ברור עם הוכחת היתכנות עובדת, ניתוח שורש הבעיה והצעה לתיקון יכולים לזכות בחלק העליון של הטווח גם כאשר ההשפעה הטכנית לבדה הייתה ממקמת אותו באמצע הטווח. דיווחים רשלניים או ספקולטיביים עשויים לזכות בחלק התחתון.
מחוץ לתחום
הדברים הבאים אינם זכאים לפרס:
מפות קהילתיות אנונימיות. מפות ללא בעלים שכל אחד יכול לערוך הן תכונה קהילתית ותיקה. שמירה על גבי מפה אנונימית אינה פגיעות.
מפות לא רשום (כתובת URL כאישור גישה). מפות ללא LockView נגישות במכוון לכל מי שמכיר את כתובת ה-URL, בדומה לסרטון יוטיוב שאינו רשום. גישה למפה כזו או שמירה שלה על ידי ידיעת קוד המפה היא בכוונה.
תוכנה של צד שלישי שאנו מארחים אך אינם מתחזקים. בעיות ב-GeoServer, ב-Tomcat או בערימות של צד שלישי אחרות שפרוסות לצד השירותים שלנו. אנא דווחו על אלה למתחזקים המקוריים הרלוונטיים.
היעדר כותרות אבטחה ללא תרחיש תקיפה קונקרטי. דיווחים על CSP, X-Frame-Options, HSTS וכו' ללא ניצול עובד אינם זכאים.
הגבלת קצב בבידוד. היעדר הגבלת קצב בנקודות קצה שבהן הגבלת קצב אינה קריטית לאבטחה, ללא תרחיש ניצול לרעה שהודגם.
שימוש ב-AI
אנו משתמשים ב-AI לביצוע אימות ראשוני לצורך מיון. לעיתים הוא עושה טעויות; אנו מבצעים סקירה אנושית לכל דיווח, עם זאת, אם את/ה חושב/ת שה-AI עשה טעות גדולה בשלב הראשוני, הוסיפו הערה להגשה עם הקשר נוסף וכו'..compromise any
שימוש ב-Burp / נקודות קצה
אנו משתמשים בכלים כמו Burp לסריקות מהירות. אנו מעדיפים בדרך כלל שלא תבצעו סריקות כאלה עלינו, שכן הפעלת אלפי בקשות רק יוצרת עומס מיותר על השרתים שלנו.
כדי לחסוך לכם זמן, הנה נקודות הקצה:
https://www.scribblemaps.com/
(אם מבצעים סריקה, יש לחסום את הנתיב /maps/ שכן הוא שולח סורקים לתוך מבוך אינסופי)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
תשלומים
אין התחייבות ללוחות זמנים לתשלום. אנו מקצים תקציב חודשי, כאשר בעיות חמורות משולמות תמיד קודם. אנו מבצעים תשלומים רק באמצעות Wise או PayPal.
חילוט פרס
אימות או קבלה של דיווח מבססים זכאות לפרס, ולא זכות מוחלטת לקבלתו. ScribbleMaps רשאית להפחית או לעכב פרס כולו או חלקו כאשר התנהלות החוקר/ת מפרה תנאים אלה או את עקרונות הגילוי המתואם בתום לב. החילוט הוא לפי שיקול דעתה של ScribbleMaps; הסיבה נרשמת בדיווח ומועברת לחוקר/ת.
פרס שהיה משולם אחרת עשוי להיחלט בכל אחד מהמקרים הבאים:
- גילוי פומבי מוקדם או איום בגילוי. גילוי הפגיעות — או איום לגלותה — בפומבי, לצדדים שלישיים או דרך ערוצי תקשורת/רשתות חברתיות לפני ש-ScribbleMaps תיקנה את הבעיה ואישרה את הגילוי. גילוי מתואם הוא תנאי לתוכנית.
- כפייה, סחיטה או הטרדה. התניית אי-הגילוי בתשלום; איום או הפעלת לחץ על אנשי צוות; או שימוש בערוצי תמיכה, חיוב או דיווח כדי לדרוש תשלום שוב ושוב או באופן פוגעני. שאלות לגבי מצב הפרס יש להפנות דרך פורטל הבאונטי, ו-ScribbleMaps תענה עליהן.
- זהויות מרובות או כפולות. הפעלת יותר מחשבון חוקר/ת אחד, או ניתוב פרסים של חשבונות נפרדים לכתובת תשלום משותפת, כדי לנפח את היקף ההגשות או הפרסים.
- קנוניה או ממצאים מפוברקים. תיאום הגשות בין חשבונות, שימוש בחשבון או במפות של משתתף אחר כ"קורבן" בהוכחת היתכנות, או יצירת מצב נתונים שהמוצר אינו יכול לייצר ואז ציטוט הנתונים שהתקבלו כדליפה.
- ספאם בעל מאמץ נמוך או אוטומטי. הגשות בכמות גדולה של פלט סורקים אוטומטיים, רשימות של ספריות מיושנות/CVE, או פריטים ידועים שמחוץ לתחום (ראו מחוץ לתחום) ללא ניצול מוכח הספציפי ל-ScribbleMaps.
- בדיקות מזיקות או בלתי חוקיות. גישה לנתונים של משתמשים אחרים, שינויים בהם או הוצאתם, מעבר למינימום הנדרש כדי להדגים את הבעיה; פגיעה בשירות או שלילתו; הנדסה חברתית של אנשי צוות או משתמשים; או כל פעילות האסורה על ידי היקף התוכנית או על ידי החוק החל.
- הצגה מטעה או הונאה. זיוף שלבי שחזור, ראיות, תאריכי גילוי או זהות.
הערות.
- החילוט יכול להיות חלקי (פרס מופחת) או מלא ($0).
- דיווח מאומת שנחלט בשל התנהלות פסולה אינו זכאי מחדש עבור אותו ממצא.
- תנאים אלה חלים מרגע ההגשה ומובאים שוב בהודעת הקבלה הנשלחת כאשר דיווח מתקבל.
כיצד להגיש דיווח
אנא בקרו בכתובת: https://api.scribblemaps.com/vulnerabilities
האתר כולל גם הוראות כיצד להגיש דיווחים באמצעות AI. יש להתחבר כדי להגיש דיווח.
נקודות משפטיות
איננו יכולים להעניק פרסים לאנשים הנמצאים ברשימות סנקציות, או הנמצאים במדינות (כגון קובה, איראן, צפון קוריאה, סודן וסוריה) הנמצאות ברשימות סנקציות. האחריות על השלכות מס, בהתאם למדינת המגורים והאזרחות שלך, היא עליך. ייתכנו מגבלות נוספות על יכולתך להשתתף בהתאם לחוק המקומי.
זו אינה תחרות, אלא תוכנית פרסים ניסיונית ושיקולית. עליך להבין שאנו יכולים לבטל את התוכנית בכל עת, וההחלטה אם לשלם פרס או לא נתונה לשיקול דעתנו הבלעדי.
כמובן, הבדיקות שלך אינן רשאיות להפר שום חוק, או לשבש או לפגוע בנתונים שאינם שלך.
עודכן לאחרונה