Осалдықтар және сыйақылар

Біз табылған осалдықтар немесе қауіпсіздікке қатысты мәселелер үшін сыйақы төлейміз. Төлем алу үшін төмендегі шарттар орындалуы керек.

№1 Осалдық бірегей болуы керек 
Егер бірнеше есеп алсақ, бірінші хабарлаған адам сыйақы алады. Болашақта осалдықтарды іздеуге ынталандыру үшін біз өз қалауымыз бойынша қайталама хабарландырулар үшін аз мөлшерде ақы төлеуіміз мүмкін.

№2 Осалдық қайталанатын болуы керек
Біз қайталау мүмкін емес ешқандай осалдық үшін төлемейміз. Қайталау мүмкін емес осалдықты көрсететін YouTube бейнелері үшін де сыйақы төлемейміз.

№3 Шабуыл сценарийі болуы керек
Шабуыл біздің жүйелеріміз арқылы таралу мүмкіндігіне ие болуы керек. Таралу мүмкіндігін түсіндіріңіз. Мысалы, біздің API-ді пайдаланып, содан кейін зиянды скрипттер жазу есепке алынбайды, себебі бұл зиянды скрипттері бар бетті жай ғана жазудан еш айырмашылығы жоқ.
 

Сыйақы мөлшері қалай анықталады

Жоғарыдағы әр санаттың төлем диапазоны бар. Жарамды есептің диапазон ішінде қай жерге түсетіні үш факторға байланысты:

Пайдалану үшін қажет артықшылық. Аутентификациясыз пайдаланылатын қателер диапазонның жоғарғы жағына түседі. Аутентификацияланған пайдаланушыны талап ететін қателер ортасына түседі. Артықшылықты контекстті (команда әкімшісі, команда иесі, ақылы жоспар, ішкі қызметкерлер) талап ететін қателер төменгі жағына түседі.

Әсер ету ауқымы. Барлық пайдаланушыларға немесе барлық карталарға әсер ететін осалдықтар шабуылдаушы әлдеқашан мүше болып табылатын жалғыз тіркелгіге немесе жалғыз командаға әсер ететін осалдықтарға қарағанда көбірек төленеді.

Қайтарымдылық. Зардап шеккен пайдаланушы қалыпты жұмыс процестері арқылы (мысалы, құпиясөзді қалпына келтіру) түзете алатын зиян, сақталатын немесе түзету үшін біздің араласуымызды қажет ететін зиянға қарағанда азырақ төленеді.

Есептің сапасы да ескеріледі. Жұмыс істейтін proof of concept, түпкі себепті талдау және түзету ұсынысы бар нақты сипаттама тек техникалық әсері орташа диапазонға түссе де, жоғарғы диапазонға лайық бола алады. Жылдам жазылған немесе болжамға негізделген есептер төменгі диапазонға ие болуы мүмкін.

Қамтылмайтын мәселелер

Келесілер сыйақыға үміткер бола алмайды:

Анонимді қауымдастық карталары. Иесі жоқ және кез келген адам өңдей алатын карталар — бұрыннан келе жатқан қауымдастық мүмкіндігі. Анонимді картаның үстінен сақтау осалдық болып саналмайды.

Тізімде жоқ (URL — тіркелгі деректері ретінде) карталар. LockView жоқ карталар, тізімде жоқ YouTube бейнесі сияқты, URL-ді білетін кез келген адам үшін әдейі қолжетімді. Мұндай картаны оның карта коды арқылы ашу немесе сақтау — әдейі жасалған функция.

Біз орналастыратын, бірақ қолдамайтын үшінші тарап бағдарламалық жасақтамасы. Біздің қызметтеріміздің қасында орналастырылған GeoServer, Tomcat немесе басқа үшінші тарап стектеріндегі мәселелер. Оларды тиісті бастапқы әзірлеушілерге хабарлаңыз.

Нақты шабуыл сценарийінсіз жоқ қауіпсіздік тақырыптары. Жұмыс істейтін exploit-сіз CSP, X-Frame-Options, HSTS және т.б. туралы есептер қарастырылмайды.

Жеке өзі шектеу. Шектеу қауіпсіздік үшін маңызды болмайтын endpoint-терде, теріс пайдалану сценарийі көрсетілмей, жылдамдықты шектеудің болмауы.

AI пайдалану

Біз сұрыптау үшін бастапқы тексеруді жүргізуге AI-ді қолданамыз. Ол кейде қателеседі, біз әр есепті адам ретінде қарастырамыз, дегенмен, егер AI бастапқыда үлкен қате жіберді деп ойласаңыз, жіберілімге қосымша контексті бар ескертпе қосыңыз.

Burp пайдалану / Endpoint-тер

Біз жылдам сканерлеу үшін burp сияқты құралдарды қолданамыз. Біз бұл сканерлеуді бізге жасамауыңызды қалаймыз, себебі мыңдаған сұраныспен соғу серверлерімізге қажетсіз жүктеме түсіреді. 

Уақытыңызды үнемдеу үшін міне кейбір endpoint-тер: 

https://www.scribblemaps.com/ 
(Егер сканерлесеңіз, /maps/ жолын бұғаттаңыз, себебі бұл сканерлерді шексіз ізге салады) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Төлемдер

Төлем мерзімдеріне кепілдік жоқ. Біз ай сайынғы бюджет бөлеміз, ауыр мәселелер әрдайым бірінші төленеді. Төлемдерді тек wise немесе paypal арқылы жасаймыз.
 

Сыйақыдан айырылу

Есепті тексеру немесе қабылдау сыйақыға үміткер болу құқығын орнатады, оны шартсыз алу құқығын емес. Зерттеушінің әрекеті осы шарттарды немесе жақсы ниетті үйлестірілген ашу қағидаттарын бұзса, ScribbleMaps сыйақыны толық немесе ішінара азайтуы немесе ұстап қалуы мүмкін. Сыйақыдан айыру ScribbleMaps-тің қалауы бойынша жүзеге асырылады; себебі есепте жазылады және зерттеушіге хабарланады.

Әйтпесе төленуге жататын сыйақы келесі себептердің кез келгені бойынша жойылуы мүмкін:

1. Мерзімінен бұрын немесе қорқытып жариялау. ScribbleMaps мәселені түзетіп, ашуға рұқсат бермей тұрып, осалдықты жария түрде, үшінші тараптарға немесе БАҚ/әлеуметтік арналар арқылы ашу немесе ашамын деп қорқыту. Үйлестірілген ашу — бағдарламаның шарты.
2. Мәжбүрлеу, қорқытып алу немесе қудалау. Жарияламауды төлемге байланыстыру; қызметкерлерді қорқыту немесе қысым жасау; немесе төлемді қайта-қайта немесе қорлап талап ету үшін қолдау, төлем немесе хабарлаушы арналарын пайдалану. Сыйақы мәртебесі туралы сұрақтар сыйақы порталы арқылы қойылуы керек, оған ScribbleMaps жауап береді.
3. Бірнеше немесе қайталанатын жеке басты куәландыру. Жіберілімдер санын немесе сыйақыларды арттыру үшін бірнеше зерттеуші тіркелгісін жүргізу немесе бөлек тіркелгілер үшін сыйақыларды ортақ төлем мекенжайына бағыттау.
4. Сөз байласу немесе жасанды табылған олжалар. Тіркелгілер арасында жіберілімдерді үйлестіру, proof of concept-те басқа қатысушының тіркелгісін немесе карталарын «құрбан» ретінде пайдалану немесе өнім жасай алмайтын деректер күйін жасанды түрде жасап, содан кейін алынған деректерді ағып кету ретінде көрсету.
5. Аз күш жұмсалған немесе автоматтандырылған спам. Автоматтандырылған сканер нәтижелерін, ескірген кітапхана/CVE тізімдерін немесе белгілі қамтылмайтын нәрселерді (Қамтылмайтын мәселелер бөлімін қараңыз) ScribbleMaps-ке тән көрсетілген exploit-сіз жаппай жіберу.
6. Зиянды немесе заңсыз тестілеу. Осалдықты көрсету үшін қажетті ең азынан тыс басқа пайдаланушылардың деректеріне қол жеткізу, өзгерту немесе шығарып алу; қызметті нашарлату немесе тоқтату; қызметкерлерге немесе пайдаланушыларға әлеуметтік инженерия жасау; немесе бағдарлама ауқымымен немесе қолданыстағы заңмен тыйым салынған кез келген әрекет.
7. Бұрмалау немесе алаяқтық. Қайталау қадамдарын, дәлелдерді, табу күндерін немесе жеке басты жалғандау.

Ескертпелер.

• Сыйақыдан айыру ішінара (азайтылған сыйақы) немесе толық ($0) болуы мүмкін.
• Теріс әрекет үшін сыйақыдан айырылған расталған есеп сол олжа үшін қайта үміткер бола алмайды.
• Бұл шарттар жіберілген сәттен бастап қолданылады және есеп қабылданғанда жіберілетін қабылдау хабарламасында қайталанады.

Есеп жіберу үшін

Мына мекенжайға өтіңіз: https://api.scribblemaps.com/vulnerabilities

Сайтта есептерді AI арқылы жіберу нұсқаулары да бар. Есеп жіберу үшін жүйеге кіруіңіз керек.

Құқықтық тармақтар

Біз санкция тізімдерінде тұрған жеке тұлғаларға немесе санкция тізімдерінде тұрған елдерде (мысалы, Куба, Иран, Солтүстік Корея, Судан және Сирия) орналасқан адамдарға сыйақы бере алмаймыз. Тұратын еліңізге және азаматтығыңызға байланысты кез келген салықтық салдар үшін өзіңіз жауаптысыз. Жергілікті заңыңызға байланысты қатысу мүмкіндігіңізге қосымша шектеулер болуы мүмкін.

Бұл жарыс емес, тәжірибелік және еркін сыйақы бағдарламасы. Біз бағдарламаны кез келген уақытта тоқтата алатынымызды және сыйақы төлеу-төлемеу туралы шешім толығымен біздің қалауымызда екенін түсінуіңіз керек.

Әрине, сіздің тестілеуіңіз ешқандай заңды бұзбауы және өзіңізге тиесілі емес ешқандай деректі бұзбауы немесе бүлдірмеуі керек.