მოწყვლადობები და ჯილდოები

ჩვენ ვიხდით ჯილდოებს აღმოჩენილი მოწყვლადობებისა და უსაფრთხოებასთან დაკავშირებული პრობლემებისთვის. ანაზღაურების მისაღებად აუცილებელია შემდეგი პირობების დაკმაყოფილება.

#1 მოწყვლადობა უნდა იყოს უნიკალური 
თუ რამდენიმე ანგარიშს მივიღებთ, ჯილდოს პირველი შემომტანი მიიღებს. ჩვენი შეხედულებისამებრ, შეიძლება გადავიხადოთ სიმბოლური მეორადი შეტყობინების საფასური მომავალი აღმოჩენების წასახალისებლად.

#2 მოწყვლადობა უნდა იყოს რეპროდუცირებადი
ჩვენ არ გადავიხდით ისეთ მოწყვლადობაზე, რომლის რეპროდუცირებაც შეუძლებელია. ჯილდოს არ გადავიხდით YouTube-ის ვიდეოებზე, რომლებიც აჩვენებენ მოწყვლადობას, რომლის რეპროდუცირებაც შეუძლებელია.

#3 უნდა არსებობდეს თავდასხმის სცენარი
თავდასხმას უნდა ჰქონდეს გავრცელების შესაძლებლობა ჩვენი სისტემების მეშვეობით. გთხოვთ, ახსნათ გავრცელების შესაძლებლობა. მაგალითად, ჩვენი API-ის გამოყენება და შემდეგ მავნე სკრიპტების წერა არ ჩაითვლება, რადგან ეს არაფრით განსხვავდება უბრალოდ მავნე სკრიპტებიანი გვერდის დაწერისგან.
 

როგორ განისაზღვრება ჯილდოს ოდენობა

ზემოთ მოცემულ თითოეულ კატეგორიას აქვს გადახდის დიაპაზონი. იმას, თუ დიაპაზონის რომელ ნაწილში მოხვდება ვალიდური ანგარიში, სამი ფაქტორი განსაზღვრავს:

ექსპლუატაციისთვის საჭირო პრივილეგია. ავტორიზაციის გარეშე ექსპლუატირებადი შეცდომები დიაპაზონის ზედა ნაწილში ხვდება. შეცდომები, რომლებიც ავტორიზებულ მომხმარებელს საჭიროებს, შუაში ხვდება. შეცდომები, რომლებიც პრივილეგირებულ კონტექსტს საჭიროებს (გუნდის ადმინისტრატორი, გუნდის მფლობელი, ფასიანი გეგმა, შიდა პერსონალი), ქვედა ნაწილში ხვდება.

გავლენის არეალი. მოწყვლადობები, რომლებიც ყველა მომხმარებელზე ან ყველა რუკაზე მოქმედებს, უფრო მეტს იღებს, ვიდრე ის, რომელიც ერთ ანგარიშზე ან ერთ გუნდზე მოქმედებს, რომლის წევრიც თავდამსხმელი უკვე არის.

შექცევადობა. ზიანი, რომლის გამოსწორებაც დაზარალებულ მომხმარებელს ჩვეულებრივი სამუშაო პროცესებით შეუძლია (მაგალითად, პაროლის აღდგენა), ნაკლებად ანაზღაურდება, ვიდრე ზიანი, რომელიც რჩება ან რომლის გამოსწორებასაც ჩვენი ჩარევა სჭირდება.

ანგარიშის ხარისხიც მნიშვნელოვანია. გასაგები აღწერა მომუშავე proof of concept-ით, ძირეული მიზეზის ანალიზით და გამოსწორების რჩევით შეიძლება დიაპაზონის ზედა ნაწილსაც კი იმსახურებდეს, როცა მხოლოდ ტექნიკური გავლენა საშუალო დიაპაზონში მოხვდებოდა. დაუდევარი ან ვარაუდებზე დაფუძნებული ანგარიშები შეიძლება ქვედა ნაწილით დაფასდეს.

ფარგლებს გარეთ

შემდეგი შემთხვევები ჯილდოსთვის არ არის უფლებამოსილი:

ანონიმური საზოგადოებრივი რუკები. რუკები მფლობელის გარეშე, რომლებიც ნებისმიერს შეუძლია შეცვალოს, დიდი ხნის საზოგადოებრივი ფუნქციაა. ანონიმური რუკის გადაწერა მოწყვლადობა არ არის.

არასაჯარო (ბმულით) რუკები (URL როგორც სერთიფიკატი). რუკები LockView-ის გარეშე განზრახ ხელმისაწვდომია ყველასთვის, ვინც URL-ს იცნობს, YouTube-ის არასაჯარო ვიდეოს მსგავსად. ასეთ რუკაზე წვდომა ან მისი შენახვა რუკის კოდის ცოდნით დიზაინის ნაწილია.

მესამე მხარის პროგრამული უზრუნველყოფა, რომელსაც ვმასპინძლობთ, მაგრამ არ ვმართავთ. პრობლემები GeoServer-ში, Tomcat-ში ან სხვა მესამე მხარის სტეკებში, რომლებიც ჩვენს სერვისებთან ერთად არის განთავსებული. გთხოვთ, ეს შეატყობინოთ შესაბამის ორიგინალ პროექტს.

უსაფრთხოების სათაურების არარსებობა კონკრეტული თავდასხმის სცენარის გარეშე. ანგარიშები CSP-ის, X-Frame-Options-ის, HSTS-ისა და ა.შ. შესახებ მომუშავე ექსპლოიტის გარეშე ჯილდოსთვის არ არის უფლებამოსილი.

სიხშირის შეზღუდვა იზოლირებულად. სიხშირის შეზღუდვის არარსებობა ენდპოინტებზე, სადაც ის უსაფრთხოებისთვის კრიტიკული არ არის, ბოროტად გამოყენების დემონსტრირებული სცენარის გარეშე.

AI-ის გამოყენება

ჩვენ ვიყენებთ AI-ს საწყისი ვალიდაციისთვის ტრიაჟის დროს. ის ზოგჯერ შეცდომებს უშვებს; თითოეულს ადამიანიც ამოწმებს, თუმცა თუ ფიქრობთ, რომ AI-მ თავდაპირველად დიდი შეცდომა დაუშვა, დაამატეთ შენიშვნა გაგზავნილ ანგარიშს დამატებითი კონტექსტით და ა.შ..compromise any

Burp-ის გამოყენება / ენდპოინტები

ჩვენ ვიყენებთ ისეთ ინსტრუმენტებს, როგორიცაა Burp, სწრაფი სკანირებისთვის. ჩვენ ზოგადად ვარჩევთ, რომ ასეთ სკანირებას ჩვენზე არ აკეთებდეთ, რადგან ათასობით მოთხოვნით დარტყმა ჩვენს სერვერებს უსარგებლო დატვირთვას უქმნის. 

თქვენი დროის დასაზოგად, აქ არის რამდენიმე ენდპოინტი: 

https://www.scribblemaps.com/ 
(თუ სკანირებას აკეთებთ, დაბლოკეთ /maps/ გზა, რადგან ეს სკანერებს უსასრულო გზაზე გაუშვებს) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

გადახდები

გადახდის ვადებზე გარანტიები არ არსებობს. ჩვენ ვანაწილებთ ყოველთვიურ ბიუჯეტს და მძიმე პრობლემებს ყოველთვის პირველ რიგში ვუხდით. გადახდებს მხოლოდ Wise-ის ან PayPal-ის საშუალებით ვახორციელებთ.
 

ჯილდოს დაკარგვა

ანგარიშის ვალიდაცია ან მიღება ადგენს ჯილდოს მიღების უფლებამოსილებას, და არა მისი მიღების უპირობო უფლებას. ScribbleMaps-მა შეიძლება ჯილდო მთლიანად ან ნაწილობრივ შეამციროს ან დააკავოს, როცა მკვლევრის ქცევა არღვევს ამ პირობებს ან კეთილსინდისიერი კოორდინირებული გამჟღავნების პრინციპებს. ჯილდოს დაკარგვა ScribbleMaps-ის შეხედულებისამებრ ხდება; მიზეზი აღირიცხება ანგარიშზე და ეცნობება მკვლევარს.

ჯილდო, რომელიც სხვაგვარად გადასახდელი იქნებოდა, შეიძლება დაიკარგოს შემდეგი მიზეზებიდან რომელიმეს გამო:

1. ნაადრევი ან მუქარით გამჟღავნება. მოწყვლადობის საჯაროდ, მესამე მხარეებისთვის ან მედია/სოციალური არხებით გამჟღავნება — ან მისი გამჟღავნების მუქარა — სანამ ScribbleMaps პრობლემას არ გამოასწორებს და გამჟღავნებას არ დაუშვებს. კოორდინირებული გამჟღავნება პროგრამის პირობაა.
2. იძულება, გამოძალვა ან შევიწროება. გამჟღავნებისგან თავის შეკავების გადახდაზე დამოკიდებულებაში ჩაყენება; პერსონალზე მუქარა ან ზეწოლა; ან მხარდაჭერის, ბილინგის ან მკვლევრის არხების გამოყენება გადახდის განმეორებით ან შეურაცხმყოფელი მოთხოვნისთვის. ჯილდოს სტატუსის შესახებ კითხვები უნდა დაისვას ჯილდოების პორტალის მეშვეობით, სადაც ScribbleMaps უპასუხებს.
3. მრავალი ან დუბლირებული იდენტობა. ერთზე მეტი მკვლევრის ანგარიშის გამოყენება, ან ცალკე ანგარიშების ჯილდოების საერთო საგადახდო მისამართზე გადამისამართება გაგზავნილი ანგარიშების რაოდენობის ან ჯილდოების გასაზრდელად.
4. გარიგება ან შეთხზული აღმოჩენები. ანგარიშების კოორდინირება ანგარიშებს შორის, სხვა მონაწილის ანგარიშის ან რუკების „მსხვერპლად“ გამოყენება proof of concept-ში, ან მონაცემთა ისეთი მდგომარეობის შეთხზვა, რომლის შექმნაც პროდუქტს არ შეუძლია, და შემდეგ მიღებული მონაცემების გაჟონვად დასახელება.
5. დაბალი ძალისხმევის ან ავტომატური სპამი. ავტომატური სკანერის შედეგების, მოძველებული ბიბლიოთეკების/CVE სიების ან ცნობილი ფარგლებს გარეთ მყოფი საკითხების (იხილეთ ფარგლებს გარეთ) მასობრივი გაგზავნა დემონსტრირებული, ScribbleMaps-ისთვის სპეციფიკური ექსპლოიტის გარეშე.
6. მავნე ან უკანონო ტესტირება. სხვა მომხმარებლების მონაცემებზე წვდომა, მათი შეცვლა ან გატანა პრობლემის საჩვენებლად საჭირო მინიმუმზე მეტად; სერვისის დეგრადაცია ან უარყოფა; პერსონალის ან მომხმარებლების სოციალური ინჟინერია; ან ნებისმიერი ქმედება, რომელიც აკრძალულია პროგრამის ფარგლებით ან მოქმედი კანონმდებლობით.
7. დამახინჯება ან თაღლითობა. რეპროდუქციის ნაბიჯების, მტკიცებულებების, აღმოჩენის თარიღების ან იდენტობის გაყალბება.

შენიშვნები.

• ჯილდოს დაკარგვა შეიძლება იყოს ნაწილობრივი (შემცირებული ჯილდო) ან სრული ($0).
• ვალიდური ანგარიში, რომლის ჯილდოც ქცევის დარღვევის გამო დაიკარგა, იმავე აღმოჩენისთვის ხელახლა უფლებამოსილი აღარ არის.
• ეს პირობები მოქმედებს გაგზავნის მომენტიდან და ხელახლა მეორდება ანგარიშის მიღებისას გაგზავნილ შეტყობინებაში.

ანგარიშის გასაგზავნად

გთხოვთ, ეწვიოთ: https://api.scribblemaps.com/vulnerabilities

საიტზე ასევე მოცემულია ინსტრუქციები ანგარიშების AI-ის მეშვეობით გაგზავნის შესახებ. ანგარიშის გასაგზავნად უნდა შეხვიდეთ სისტემაში.

იურიდიული საკითხები

ჩვენ ვერ გავცემთ ჯილდოებს პირებზე, რომლებიც სანქციების სიებშია, ან იმ ქვეყნებში არიან (მაგ. კუბა, ირანი, ჩრდილოეთ კორეა, სუდანი და სირია), რომლებიც სანქციების სიებშია. თქვენ პასუხისმგებელი ხართ ნებისმიერ საგადასახადო შედეგზე თქვენი საცხოვრებელი ქვეყნისა და მოქალაქეობის მიხედვით. თქვენი ადგილობრივი კანონმდებლობის მიხედვით შეიძლება არსებობდეს მონაწილეობის დამატებითი შეზღუდვები.

ეს არ არის კონკურსი, არამედ ექსპერიმენტული და დისკრეციული ჯილდოების პროგრამა. უნდა გესმოდეთ, რომ პროგრამა ნებისმიერ დროს შეგვიძლია გავაუქმოთ, და ჯილდოს გადახდის შესახებ გადაწყვეტილება მთლიანად ჩვენი შეხედულებისამებრ უნდა იყოს.

რა თქმა უნდა, თქვენმა ტესტირებამ არ უნდა დაარღვიოს არც ერთი კანონი და არ უნდა შეაფერხოს ან დააზიანოს ისეთი მონაცემები, რომლებიც თქვენი არ არის.