ភាពងាយរងគ្រោះ និងរង្វាន់
យើងផ្តល់រង្វាន់សម្រាប់ភាពងាយរងគ្រោះ ឬបញ្ហាទាក់ទងនឹងសន្តិសុខដែលត្រូវបានរកឃើញ។ ដើម្បីទទួលបានការបង់ប្រាក់ លក្ខខណ្ឌខាងក្រោមត្រូវតែពិត។
#1 ភាពងាយរងគ្រោះត្រូវតែមានតែមួយគត់
ប្រសិនបើយើងទទួលបានរបាយការណ៍ច្រើន អ្នកដែលរាយការណ៍មុនគេនឹងទទួលបានរង្វាន់។ យើងអាចបង់ប្រាក់ តាមការសម្រេចចិត្តរបស់យើង ថ្លៃជូនដំណឹងបន្ទាប់បន្សំក្នុងចំនួនតិចតួច ដើម្បីលើកទឹកចិត្តដល់ការរកឃើញនាពេលអនាគត។
#2 ភាពងាយរងគ្រោះត្រូវតែអាចធ្វើឡើងវិញបាន
យើងនឹងមិនបង់ប្រាក់សម្រាប់ភាពងាយរងគ្រោះណាមួយដែលមិនអាចធ្វើឡើងវិញបានទេ។ យើងនឹងមិនបង់រង្វាន់សម្រាប់វីដេអូ YouTube ដែលបង្ហាញពីភាពងាយរងគ្រោះដែលមិនអាចធ្វើឡើងវិញបានទេ។
#3 ត្រូវតែមានសេណារីយ៉ូនៃការវាយប្រហារ
ការវាយប្រហារត្រូវតែមានសមត្ថភាពក្នុងការចែកចាយតាមរយៈប្រព័ន្ធរបស់យើង។ សូមពន្យល់អំពីសមត្ថភាពក្នុងការចែកចាយ។ ឧទាហរណ៍ ការប្រើ API របស់យើង រួចសរសេរស្គ្រីបព្យាបាទ នឹងមិនត្រូវបានរាប់ទេ ព្រោះវាគ្មានអ្វីខុសពីការសរសេរទំព័រមួយដែលមានស្គ្រីបព្យាបាទនោះឡើយ។
| ប្រភេទ | ឧទាហរណ៍ | រង្វាន់ |
| ការប្រតិបត្តិកូដពីចម្ងាយ | ការចាក់បញ្ចូលបញ្ជាការដ្ឋាន ( Command injection) កំហុស deserialization ការគេចចេញពី sandbox | $200 – $800 |
| ការចូលប្រើប្រព័ន្ធឯកសារ ឬមូលដ្ឋានទិន្នន័យដោយគ្មានការរឹតត្បិត | SQL injection ការអាន/សរសេរឯកសារតាមចិត្ត | $500 – $2,000 |
| កំហុសតក្កវិជ្ជាដែលធ្វើឱ្យលេចធ្លាយ ឬរំលងការគ្រប់គ្រងសន្តិសុខសំខាន់ៗ | ការយោងវត្ថុដោយផ្ទាល់ ការកើនឡើងសិទ្ធិ ការក្លែងធ្វើជាអ្នកប្រើពីចម្ងាយ ការគ្រប់គ្រងគណនីដោយខុសច្បាប់ | $200 – $1,000 |
| ភាពងាយរងគ្រោះនៃសន្តិសុខផែនទី | ការបង្ហាញផែនទីមិនត្រឹមត្រូវ ការលេចធ្លាយទិន្នន័យផែនទីសុវត្ថិភាព | $100 – $500 |
| ប្រតិបត្តិកូដនៅលើម៉ាស៊ីនភ្ញៀវ | Stored XSS, reflected XSS | $100 – $500 |
| ភាពងាយរងគ្រោះសន្តិសុខត្រឹមត្រូវផ្សេងទៀត | CSRF, clickjacking, ការបង្ហាញព័ត៌មាន, open redirect | $25 – $200 |
របៀបកំណត់ចំនួនទឹកប្រាក់រង្វាន់
ប្រភេទនីមួយៗខាងលើមានជួរនៃការបង់ប្រាក់។ ទីតាំងនៃរបាយការណ៍ត្រឹមត្រូវមួយនៅក្នុងជួរនោះអាស្រ័យលើកត្តាបីដូចតទៅ៖
សិទ្ធិដែលត្រូវការដើម្បីកេងប្រវ័ញ្ច។ កំហុសដែលមិនត្រូវការការផ្ទៀងផ្ទាត់អត្តសញ្ញាណស្ថិតនៅកំពូលនៃជួរ។ កំហុសដែលត្រូវការអ្នកប្រើដែលបានផ្ទៀងផ្ទាត់ស្ថិតនៅកណ្តាល។ កំហុសដែលត្រូវការបរិបទដែលមានសិទ្ធិពិសេស (អ្នកគ្រប់គ្រងក្រុម ម្ចាស់ក្រុម គម្រោងបង់ប្រាក់ បុគ្គលិកផ្ទៃក្នុង) ស្ថិតនៅបាតនៃជួរ។
វិសាលភាពនៃផលប៉ះពាល់។ ភាពងាយរងគ្រោះដែលប៉ះពាល់អ្នកប្រើគ្រប់គ្នា ឬផែនទីទាំងអស់ ទទួលបានរង្វាន់ច្រើនជាងភាពងាយរងគ្រោះដែលប៉ះពាល់គណនីតែមួយ ឬក្រុមតែមួយដែលអ្នកវាយប្រហារជាសមាជិករួចហើយ។
លទ្ធភាពត្រឡប់ក្រោយ។ ការខូចខាតដែលអ្នកប្រើរងផលប៉ះពាល់អាចកែតម្រូវវិញបានតាមរយៈដំណើរការធម្មតា (ឧទាហរណ៍ ការកំណត់ពាក្យសម្ងាត់ឡើងវិញ) ទទួលបានរង្វាន់តិចជាងការខូចខាតដែលនៅបន្តកើតមាន ឬត្រូវការអន្តរាគមន៍ពីយើងដើម្បីកែតម្រូវ។
គុណភាពនៃរបាយការណ៍ក៏ជាកត្តាមួយដែរ។ របាយការណ៍ដែលសរសេរច្បាស់លាស់ ជាមួយភស្តុតាងបញ្ជាក់ការអនុវត្តជាក់ស្តែង ការវិភាគមូលហេតុ និងការណែនាំអំពីការដោះស្រាយ អាចទទួលបានកំពូលនៃជួរ ទោះបីជាផលប៉ះពាល់បច្ចេកទេសតែឯងស្ថិតនៅកណ្តាលក៏ដោយ។ របាយការណ៍ដែលធ្វេសប្រហែស ឬគ្រាន់តែសន្និដ្ឋាន អាចទទួលបានបាតនៃជួរ។
នៅក្រៅវិសាលភាព
ខាងក្រោមនេះមិនមានសិទ្ធិទទួលរង្វាន់ទេ៖
ផែនទីសហគមន៍អនាមិក។ ផែនទីដែលគ្មានម្ចាស់ ហើយអាចកែសម្រួលបានដោយអ្នកណាក៏បាន គឺជាមុខងារសហគមន៍ដែលមានជាយូរមកហើយ។ ការរក្សាទុកជាន់លើផែនទីអនាមិកមិនមែនជាភាពងាយរងគ្រោះទេ។
ផែនទីមិនបង្ហាញជាសាធារណៈ (URL ជាអត្តសញ្ញាណប័ណ្ណ)។ ផែនទីដែលគ្មាន LockView អាចចូលមើលបានដោយចេតនាសម្រាប់អ្នកណាដែលដឹង URL ស្រដៀងនឹងវីដេអូ YouTube ដែលមិនបង្ហាញជាសាធារណៈ។ ការចូលប្រើ ឬរក្សាទុកផែនទីបែបនេះដោយដឹងកូដផែនទីរបស់វា គឺជាការរចនាដោយចេតនា។
កម្មវិធីភាគីទីបីដែលយើងផ្ទុក ប៉ុន្តែមិនថែទាំ។ បញ្ហានៅក្នុង GeoServer, Tomcat ឬ stack ភាគីទីបីផ្សេងទៀតដែលដាក់ពង្រាយជាមួយសេវាកម្មរបស់យើង។ សូមរាយការណ៍ទាំងនេះទៅអ្នកថែទាំ upstream ដែលពាក់ព័ន្ធ។
ការខ្វះ security headers ដោយគ្មានសេណារីយ៉ូវាយប្រហារជាក់ស្តែង។ របាយការណ៍អំពី CSP, X-Frame-Options, HSTS ។ល។ ដោយគ្មានការកេងប្រវ័ញ្ចដែលអាចដំណើរការបាន មិនមានសិទ្ធិទទួលរង្វាន់ទេ។
ការកំណត់អត្រាតែឯង។ ការខ្វះការកំណត់អត្រានៅលើ endpoints ដែលការកំណត់អត្រាមិនសំខាន់ខាងសន្តិសុខ ដោយគ្មានសេណារីយ៉ូនៃការរំលោភបំពានដែលបានបង្ហាញ។
ការប្រើប្រាស់ AI
យើងប្រើ AI ដើម្បីធ្វើការផ្ទៀងផ្ទាត់ដំបូងសម្រាប់ការចាត់ថ្នាក់។ ពេលខ្លះវាធ្វើខុស យើងធ្វើការត្រួតពិនិត្យដោយមនុស្សលើករណីនីមួយៗ ទោះជាយ៉ាងណា ប្រសិនបើអ្នកគិតថា AI បានធ្វើកំហុសធំនៅដំបូង សូមបន្ថែមកំណត់ចំណាំទៅលើការដាក់ស្នើជាមួយបរិបទបន្ថែម ។ល។..compromise any
ការប្រើប្រាស់ Burp / Endpoints
យើងប្រើឧបករណ៍ដូចជា burp សម្រាប់ការស្កេនរហ័ស។ យើងចូលចិត្តជាទូទៅឱ្យអ្នកកុំធ្វើការស្កេនទាំងនេះលើយើង ព្រោះការផ្ញើសំណើរាប់ពាន់មកលើយើងគ្រាន់តែបង្កបន្ទុកមិនចាំបាច់លើម៉ាស៊ីនមេរបស់យើង។
ដើម្បីសន្សំពេលវេលារបស់អ្នក នេះគឺជា endpoints មួយចំនួន៖
https://www.scribblemaps.com/
(ប្រសិនបើអ្នកស្កេន សូមទប់ស្កាត់ path /maps/ ព្រោះវានឹងនាំឱ្យឧបករណ៍ស្កេនវង្វេងចូលរូងទន្សាយ)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
ការទូទាត់
មិនមានការធានាអំពីពេលវេលាទូទាត់ទេ។ យើងបែងចែកថវិកាប្រចាំខែ ហើយបញ្ហាធ្ងន់ធ្ងរតែងតែត្រូវបានបង់មុនគេ។ យើងធ្វើការទូទាត់តាមរយៈ wise ឬ paypal តែប៉ុណ្ណោះ។
ការបាត់បង់រង្វាន់
ការផ្ទៀងផ្ទាត់ ឬការទទួលយករបាយការណ៍ បង្កើតសិទ្ធិទទួលរង្វាន់ មិនមែនជាសិទ្ធិដោយគ្មានលក្ខខណ្ឌក្នុងការទទួលរង្វាន់នោះទេ។ ScribbleMaps អាចកាត់បន្ថយ ឬរក្សាទុកមិនបង់រង្វាន់ទាំងស្រុង ឬមួយផ្នែកនៅពេលដែលអាកប្បកិរិយារបស់អ្នកស្រាវជ្រាវបំពានលក្ខខណ្ឌទាំងនេះ ឬគោលការណ៍នៃការបង្ហាញជាសាធារណៈដោយសុចរិតតាមការសម្របសម្រួល។ ការបាត់បង់រង្វាន់គឺតាមការសម្រេចចិត្តរបស់ ScribbleMaps ហើយមូលហេតុត្រូវបានកត់ត្រានៅលើរបាយការណ៍ និងជូនដំណឹងដល់អ្នកស្រាវជ្រាវ។
រង្វាន់ដែលអាចត្រូវបង់ អាចត្រូវបាត់បង់សម្រាប់ហេតុផលណាមួយខាងក្រោម៖
- ការបង្ហាញជាសាធារណៈមុនកាលកំណត់ ឬការគំរាមកំហែង។ ការបង្ហាញភាពងាយរងគ្រោះ ឬការគំរាមបង្ហាញវា ជាសាធារណៈ ទៅភាគីទីបី ឬតាមរយៈប៉ុស្តិ៍ប្រព័ន្ធផ្សព្វផ្សាយ/បណ្តាញសង្គម មុនពេល ScribbleMaps បានដោះស្រាយបញ្ហា និងអនុញ្ញាតឱ្យបង្ហាញ។ ការបង្ហាញតាមការសម្របសម្រួលគឺជាលក្ខខណ្ឌនៃកម្មវិធី។
- ការបង្ខិតបង្ខំ ការជំរិត ឬការបៀតបៀន។ ការដាក់លក្ខខណ្ឌលើការមិនបង្ហាញជាមួយការបង់ប្រាក់ ការគំរាម ឬសម្ពាធបុគ្គលិក ឬការប្រើប៉ុស្តិ៍ជំនួយ ការចេញវិក្កយបត្រ ឬអ្នករាយការណ៍ ដើម្បីទាមទារការបង់ប្រាក់ម្តងហើយម្តងទៀត ឬដោយអាកប្បកិរិយាអាក្រក់។ សំណួរអំពីស្ថានភាពរង្វាន់គួរតែត្រូវបានលើកឡើងតាមរយៈវិបផតថលរង្វាន់ ដែល ScribbleMaps នឹងឆ្លើយតប។
- អត្តសញ្ញាណច្រើន ឬស្ទួន។ ការប្រើប្រាស់គណនីអ្នកស្រាវជ្រាវច្រើនជាងមួយ ឬការបញ្ជូនរង្វាន់សម្រាប់គណនីផ្សេងៗទៅអាសយដ្ឋានបង់ប្រាក់រួម ដើម្បីបំប៉ោងបរិមាណនៃការដាក់ស្នើ ឬរង្វាន់។
- ការសមគំនិត ឬការរកឃើញដែលបង្កើតឡើង។ ការសម្របសម្រួលការដាក់ស្នើឆ្លងគណនី ការប្រើគណនី ឬផែនទីរបស់អ្នកចូលរួមផ្សេងជា “ជនរងគ្រោះ” នៅក្នុងភស្តុតាងបញ្ជាក់ ឬការបង្កើតស្ថានភាពទិន្នន័យដែលផលិតផលមិនអាចបង្កើតបាន រួចយកទិន្នន័យលទ្ធផលនោះមកអះអាងថាជាការលេចធ្លាយ។
- សារឥតបានការ ឬស្វ័យប្រវត្តិដែលមានការខិតខំតិចតួច។ ការដាក់ស្នើជាបាច់នៃលទ្ធផលឧបករណ៍ស្កេនស្វ័យប្រវត្តិ បញ្ជីបណ្ណាល័យហួសសម័យ/CVE ឬធាតុដែលស្គាល់ថានៅក្រៅវិសាលភាព (សូមមើលនៅក្រៅវិសាលភាព) ដោយគ្មានការកេងប្រវ័ញ្ចជាក់លាក់សម្រាប់ ScribbleMaps ដែលបានបង្ហាញ។
- ការធ្វើតេស្តដែលបង្កគ្រោះថ្នាក់ ឬខុសច្បាប់។ ការចូលប្រើ កែប្រែ ឬយកទិន្នន័យរបស់អ្នកប្រើផ្សេងទៀតចេញលើសពីអប្បបរមាដែលត្រូវការដើម្បីបង្ហាញបញ្ហា ការបំផ្លាញ ឬបដិសេធសេវាកម្ម ការបោកបញ្ឆោតបុគ្គលិក ឬអ្នកប្រើ ឬសកម្មភាពណាមួយដែលត្រូវបានហាមឃាត់ដោយវិសាលភាពនៃកម្មវិធី ឬច្បាប់ជាធរមាន។
- ការបំភ្លៃ ឬការក្លែងបន្លំ។ ការក្លែងបន្លំជំហានបង្កើតឡើងវិញ ភស្តុតាង កាលបរិច្ឆេទនៃការរកឃើញ ឬអត្តសញ្ញាណ។
កំណត់ចំណាំ។
- ការបាត់បង់រង្វាន់អាចជាមួយផ្នែក (រង្វាន់ត្រូវបានកាត់បន្ថយ) ឬទាំងស្រុង ($0)។
- របាយការណ៍ដែលបានផ្ទៀងផ្ទាត់ ប៉ុន្តែត្រូវបានបាត់បង់រង្វាន់ដោយសារអាកប្បកិរិយាមិនត្រឹមត្រូវ មិនមានសិទ្ធិទទួលម្តងទៀតសម្រាប់ការរកឃើញដដែលនោះទេ។
- លក្ខខណ្ឌទាំងនេះអនុវត្តចាប់ពីពេលដាក់ស្នើ ហើយត្រូវបានបញ្ជាក់ម្តងទៀតនៅក្នុងសេចក្តីជូនដំណឹងអំពីការទទួលយក ដែលផ្ញើនៅពេលរបាយការណ៍ត្រូវបានទទួលយក។
ដើម្បីដាក់ស្នើរបាយការណ៍
សូមចូលទៅកាន់៖ https://api.scribblemaps.com/vulnerabilities
គេហទំព័រនេះក៏មានការណែនាំអំពីរបៀបដាក់ស្នើរបាយការណ៍តាមរយៈ AI ផងដែរ។ អ្នកត្រូវតែចូលគណនីដើម្បីដាក់ស្នើរបាយការណ៍។
ចំណុចផ្លូវច្បាប់
យើងមិនអាចផ្តល់រង្វាន់ដល់បុគ្គលដែលស្ថិតនៅក្នុងបញ្ជីទណ្ឌកម្ម ឬដែលស្ថិតនៅក្នុងប្រទេស (ឧទាហរណ៍ គុយបា អ៊ីរ៉ង់ កូរ៉េខាងជើង ស៊ូដង់ និងស៊ីរី) ដែលស្ថិតនៅក្នុងបញ្ជីទណ្ឌកម្មបានទេ។ អ្នកទទួលខុសត្រូវចំពោះផលប៉ះពាល់ពន្ធណាមួយ អាស្រ័យលើប្រទេសដែលអ្នករស់នៅ និងសញ្ជាតិរបស់អ្នក។ ប្រហែលជាមានការរឹតត្បិតបន្ថែមលើសមត្ថភាពរបស់អ្នកក្នុងការចូលរួម អាស្រ័យលើច្បាប់មូលដ្ឋានរបស់អ្នក។
នេះមិនមែនជាការប្រកួតប្រជែងទេ ប៉ុន្តែជាកម្មវិធីរង្វាន់ពិសោធន៍ និងតាមការសម្រេចចិត្ត។ អ្នកគួរយល់ថាយើងអាចលុបចោលកម្មវិធីនៅពេលណាក៏បាន ហើយការសម្រេចចិត្តថាតើត្រូវបង់រង្វាន់ឬអត់ គឺទាំងស្រុងតាមការសម្រេចចិត្តរបស់យើង។
ជាការពិត ការធ្វើតេស្តរបស់អ្នកមិនត្រូវបំពានច្បាប់ណាមួយ ឬរំខាន ឬធ្វើឱ្យប៉ះពាល់ទិន្នន័យណាដែលមិនមែនជារបស់អ្នកទេ។
ធ្វើបច្ចុប្បន្នភាពចុងក្រោយ