کمزوریاں تہٕ اِنعامات (Vulnerabilities And Bounties)
اسۍ چھِ دریافت کرنہٕ آمتِن کمزوریَن یا سکیورٹی سان متعلق مسئلن پٮ۪ٹھ اِنعام دِوان۔ اِنعام حاصِل کرنہٕ خاطرٕ ضروری چھُ زِ یہ شرط پوٗرٕ گژھن۔
#1 کمزوری ضرور اَنوکھی آسُن چھُ ضروری
اگر اَسہِ ملن متعدد رپورٹس، تَوۍ سُہ یُس سٟتھ پَتھ رپورٹ کَرِ سُہ حاصِل کَرِ اِنعام۔ اَسہِ شاید اَپنٕ مَرضی سان تھوڑٕ ثانوی نوٹیفکیشن فیس ادا کَرو تاکہ آیندہ دریافت حوصلہ افزائی گژھِ۔
#2 کمزوری ضرور دُہراونہٕ ممکن آسُن چھُ ضروری
اسۍ چھِ نہ کانہہ تہِ اَمہِ کمزورِ خاطرٕ اِنعام دِوان یُس دُہراونہٕ ناممکن چھُ۔ اسۍ چھِ نہ YouTube ویڈیوز پٮ۪ٹھ اِنعام دِوان یِم اَکِس اَمہِ کمزورِ ہُند مظاہرہ کَران چھِ یُس دُہراونہٕ ناممکن چھُ۔
#3 حملہ ہُند منظرنامہ آسُن چھُ ضروری
حملہ ہندس ضرور اَسہِ ہندِن سسٹمَن ذریعہ تقسیم ہُند صلاحیت آسُن چھُ ضروری۔ مہربانی کرِتھ تقسیم ہنٛزِ صلاحیتِچ وضاحت کٔرِو۔ مثلاً، ساہنٛزِ API ہُند استعمال کٔرِتھ نقصان دِہ سکرپٹس لیکھُن چھُ نہ شمار گژھان کیازِ یہ چھُ نقصان دِہ سکرپٹس سان اَکھ صفحہ لیکھنہٕ برابر۔
| زُمرٕ | مِثالہٕ | اِنعام |
| دُور بیٹھٟتھ کوڈ چلاونہٕ ہُند عمل | کَمانٛڈ انجیکشن، ڈی سیریلائزیشن بگز، سینڈ باکس سے فرار | $200 – $800 |
| بِلا پابندی فائل سسٹم یا ڈیٹابیس رسائی | SQL انجیکشن، من مانی فائل پڑھُن/لیکھُن | $500 – $2,000 |
| منطقی خامی والی بگز یِم اہم سکیورٹی کنٹرولز لیک کران چھِ یا اَتھ نِش کَترُن چھِ | براہِ راست آبجیکٹ ریفرنس، استحقاق میں اضافہ، دُور بیٹھٟتھ صارف ہُند روپ دھارُن، اکاؤنٹ قبضہ | $200 – $1,000 |
| نَقشہٕ سکیورٹی کمزوریاں | نقشہٕ ہُند غلط طریقہ پیٹھ ظاہر گژھُن، محفوظ نقشہٕ ہُند ڈیٹا لیک | $100 – $500 |
| کلائنٹ پٮ۪ٹھ کوڈ چلاونہٕ ہُند عمل | Stored XSS، reflected XSS | $100 – $500 |
| دۆیم جائز سکیورٹی کمزوریاں | CSRF، clickjacking، معلومات ظاہر گژھُن، open redirect | $25 – $200 |
اِنعامُک رقم کَتھ پَکھ طے گژھان چھ
اُتھ اوپرٕ ذکر کرنہٕ آمتِس ہرٕ زُمرِس چھُ اَکھ ادائیگی ہُند دائرہ۔ اَکھ جائز رپورٹ اَمہِ دائرِ منٛز کُتھ ہیکِ ہیتھ تَتھ چھِ ترین عوامِلن پٮ۪ٹھ منحصر:
اِستحصالہٕ خاطرٕ ضروری استحقاق۔ غیر مصدقہ بگز یِم بغیر لاگ اِن پٮ۪ٹھ ٹھیک چھِ، یِم دائرُک سٟتھ اوپرٕ اَنہِ آسان۔ یِم بگز یِم تصدیق شُدٕ صارفَس چھِ ضروری، یِم دائرُک درمیان منٛز آسان۔ یِم بگز یِم مراعات یافتہ سیاق چھِ ضروری (ٹیم ایڈمن، ٹیم مالک، ادا شُدٕ پلان، اندرونی عملہ)، یِم دائرُک تَل آسان۔
اَثر دائرہ۔ یِم کمزوریاں یِم ہر صارف یا ہر نقشہٕ پٮ۪ٹھ اَثر انداز گژھان چھِ، اَمہِ پٮ۪ٹھ زیادٕ اِنعام چھُ مِلان یِتھ کمزوریاں یِم صرف اَکِس اکاؤنٹس یا اَکِس ٹیمس پٮ۪ٹھ اَثر انداز گژھان چھِ یُس حملہ آور خود پیٹھ چھُ رکن۔
اُلٹاؤ ہنٛدٕ قابلیت۔ یُتھ نقصان یُس متاثرہ صارف عام ورک فلو ذریعہ ختم کٔرِتھ ہیکِ (مثلاً، پاس ورڈ ری سیٹ)، تَتھ چھُ کَم اِنعام مِلان یُتھ نقصان یُس برقرار چھُ یا یُس ختم کرنہٕ خاطرٕ ساہنٛزِ مداخلت چھِ ضروری۔
رپورٹُک معیار تہِ چھُ شامل۔ اَکھ واضح تحریر یُس کام کَران پروف آف کانسیپٹ، بُنیادی وجہ ہُند تجزیہ، تہٕ اصلاح ہُند مشورہ سان گژھان چھُ، اگرچہ صرف تکنیکی اَثر درمیانی دائرہ منٛز آسِتھ تہِ، اِنعامُک اوپرٕ ہُند حصہ حاصل کَرِتھ ہیکِ۔ لاپرواہ یا قیاسی رپورٹس شاید تَل ہُند حصہ حاصل کَرن۔
دائرہ کار سے باہر
یِم چھِ اِنعامُک خاطرٕ اہل نہٕ:
گمنام کمیونٹی نقشہٕ۔ بغیر مالکُک نقشہٕ یِم ہر کَنہِ ذریعہ قابلِ تدوین چھِ، یِم اَکھ دیرینہ کمیونٹی خصوصیت چھِ۔ گمنام نقشس پٮ۪ٹھ محفوٗظ چھُ گژھان کرُن کانہہ کمزوری نہٕ۔
غٲر فِہرِست شُدٕ (URL-as-credential) نقشہٕ۔ LockView بغیر نقشہٕ چھِ جان بوجھ کھوٚتہ ہر کَنہِ بَنہِ قابلِ رسائی یُس URL جاننہٕ چھُ، یَتھ غٲر فِہرِست شُدٕ YouTube ویڈیو کِس مثلہٕ۔ اَتھ نقشہٕ ہُند کوڈ جاننہٕ ذریعہ رسائی حاصل کرُن یا اَتھ محفوٗظ چھُ گژھان کرُن چھُ ڈیزائن کِس مطابق۔
تیسرِ فریقُک سافٹ ویئر یُس اَسۍ میزبانی چھِ کَران مگر برقرار نہٕ چھِ تھاوان۔ GeoServer، Tomcat، یا دۆیم تیسرِ فریقُک اسٹیکس ہِن مسائل یِم ساہنٛزِ خدمتن سان ساتھ تعینات چھِ۔ مہربانی کٔرِتھ یِم متعلقہ اپ اسٹریم دیکھ بھال کنندگانن کُن رپورٹ کٔرِو۔
مخصوص حملہ منظرنامہ بغیر لاپتہ سکیورٹی ہیڈرز۔ CSP، X-Frame-Options، HSTS، وغیرہ بارِ رپورٹس بغیر کام کَران اِستحصالہٕ چھِ اہل نہٕ۔
الگ تھلگ شرح حد۔ اُمس اینڈ پوائنٹس پٮ۪ٹھ شرح حدُک فقدان یِتھ شرح حد سکیورٹی کِس لحاظ سان اہم چھِ نہٕ، بغیر ظاہر شُدٕ بدسلوکی منظرنامہ۔
AI اِستعمال
اسۍ چھِ AI ابتدائی توثیق خاطرٕ ترجیحی ترتیب (triaging) واسطہ استعمال کران۔ یہ کَنہِ وَقتہٕ غلطیاں کران چھُ، اسۍ چھِ ہرٕ اَکِس پٮ۪ٹھ انسانی جائزہ کران، تاہم، اگر تُہہِ چھوو سوچان زِ AI نِہ ابتدائی طور اَکھ بڈٕ غلطی کٔر، یُتھ جمع بندی منٛز اضافی سیاق وغیرہ سان اَکھ نوٹس شامل کٔرِو۔
Burp اِستعمال / اینڈ پوائنٹس
اسۍ چھِ Burp جیسِ اوزارن سان جلدی اسکین کران۔ اسۍ چھِ عام طور ترجیح دِوان زِ تُہہِ یِم اسکین ساہنٛزِس پٮ۪ٹھ نہٕ کٔرو کیازِ ہزارہا درخواستن سان حملہ کرنہٕ چھُ ساہنٛزِن سرورن پٮ۪ٹھ بِلا ضرورت بوجھ ڈالان۔
تُہنٛدِ وَقتہٕ بچاونہٕ خاطرٕ چھِ یِم اینڈ پوائنٹس:
https://www.scribblemaps.com/
(اگر تُہہِ اسکین کَرو، /maps/ پاتھ بلاک کٔرِو کیازِ یہ اسکینرن اَکِس لامتناہی گڑھس منٛز چھُ ڈالان)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
ادائیگیاں
ادائیگی ہِنٛدِ وَقتہٕ ہنٛدِ بارِ کانہہ ضمانت نہٕ۔ اسۍ چھِ اَکھ ماہانہ بجٹ مختص کران، یُس سنجیدہ مسائلن کُن ہمیشہ پہلے ادا گژھان چھُ۔ اسۍ چھِ ادائیگیاں صرف wise یا paypal ذریعہ کران۔
اِنعام ضبط گژھُن
رپورٹ تصدیق کرُن یا قبول کرُن چھُ اِنعامُک اہلیت قائم کران، نہٕ زِ غٲر مشروط حقدار۔ ScribbleMaps ہیکِ اِنعام پُورِ یا حصہ وار کَم یا روکِتھ تھاوِتھ یَمہِ وَقتہٕ کُنہِ محققُک طرز عمل یِم شرائط یا اچھِ نیتہٕ کٔرِتھ مربوط انکشافُک اصولن خلاف ورزی کران چھُ۔ ضبطی چھِ ScribbleMapsُک اختیار پٮ۪ٹھ منحصر؛ وجہ چھِ رپورٹس پٮ۪ٹھ درج گژھان تہٕ محققس بتاوُن گژھان۔
اَکھ اِنعام یُس بصورتِ دیگر قابلِ ادا آسہِ ہیکِ یِمن منٛزہٕ کُنہِ وجہ سان ضبط گژھِتھ:
- قبل از وقت یا دھمکی آمیز عوامی انکشاف۔ کمزوری عوامی طور یا تیسرِن فریقن کُن یا میڈیا/سوشل چینلز ذریعہ انکشاف کرُن — یا اَتھ انکشاف کرنُک دھمکی دِنہٕ — اَمہِ پتھ پہلے زِ ScribbleMaps مسئلہ حل کٔرِ تہٕ انکشافُک اجازت دِیِ۔ مربوط انکشاف چھُ پروگرامُک شرط۔
- جبر، بھتہ خوری، یا ہراسانی۔ عدم انکشافس ادائیگی سان مشروط کرُن؛ عملس دھمکی دِنہٕ یا دباؤ ڈالُن؛ یا سپورٹ، بلنگ، یا رپورٹر چینلز بار بار یا گالی گلوچ سان ادائیگی مطالبہٕ خاطرٕ استعمال کرُن۔ اِنعامُک حیثیت بارِ سوالات چھِ بونٹی پورٹل ذریعہ اٹھاونہٕ آسان، یُس ScribbleMaps جواب دِیِ۔
- متعدد یا دُہرِ شناختٕ۔ اَکھ کھوٚتہ زیادٕ محقق اکاؤنٹس چلاون، یا الگ اکاؤنٹس خاطرٕ اِنعامات اَکِس مشترکہ ادائیگی پتہس کُن بھیجُن تاکہ جمع بندیُک تعداد یا اِنعامات پھُلاونہٕ۔
- ملی بھگت یا بنایا گیا نتیجہ۔ اکاؤنٹس کِس درمیان جمع بندیوں ہنز ہم آہنگی، پروف آف کانسیپٹ منٛز دۆیمِس شریک کار ہند اکاؤنٹ یا نقشہٕ "شکار" طور استعمال کرُن، یا اَکھ ڈیٹا حالت بناونۍ یُس پروڈکٹ پیدا کٔرِتھ نہٕ ہیکِ تہٕ پَتھ نتیجہ خیز ڈیٹا لیک چھُ ظاہر کرُن۔
- کم محنت یا خودکار سپیم۔ خودکار اسکینر آؤٹ پٹ، پرانی لائبریری/CVE فہرستن، یا معلوم دائرہ کار سے باہر اشیاء (دائرہ کار سے باہر ملاحظہ کٔرِو) ہنٛدٕ اِجتِماعی (Bulk) جمع بندیاں بغیر ظاہر شُدٕ، ScribbleMaps مخصوص اِستحصالہٕ۔
- نقصان دِہ یا غیر قانونی ٹیسٹنگ۔ دۆیمن صارفن ہند ڈیٹا تَم حد تام رسائی، تبدیلی، یا چوری کرُن یُس مسئلہ ظاہر کرنہٕ خاطرٕ ضروری کھوٚتہ زیادٕ آسہِ؛ سروس خراب یا انکار کرُن؛ عملہ یا صارفن پٮ۪ٹھ سماجی انجینئرنگ کرُن؛ یا کانہہ تہِ سرگرمی یُس پروگرام دائرہ یا لاگو قانونن ذریعہ ممنوع چھُ۔
- غلط بیانی یا دھوکہ۔ دُہرانہٕ ہنٛدٕ اقدامات، ثبوت، دریافتُک تاریخ، یا شناخت جعلی بناون۔
نوٹس۔
- ضبطی ہیکِ جزوی (کٔم اِنعام) یا مکمل ($0) آسُن۔
- اَکھ تصدیق شُدٕ رپورٹ یُس بدسلوکی بنا پٮ۪ٹھ ضبط گژھِ سُہ چھُ اَتھ اُسی دریافت خاطرٕ دوبارہ اہل نہٕ۔
- یِم شرائط چھِ جمع بندی ہندِ لمحہٕ پیٹھ لاگو گژھان تہٕ قبولیتُک نوٹسس منٛز دُہرٲوِنہٕ آمتیٖ یُس رپورٹ قبول گژھنہٕ وَقتہٕ بھیجنہٕ چھُ آمُت۔
رپورٹ دَرخواست کٔرِو
مہربانی کٔرِتھ ملاحظہ کٔرِو: https://api.scribblemaps.com/vulnerabilities
سائٹس پٮ۪ٹھ چھِ تہِ AI ذریعہ رپورٹس دَرخواست کرنہٕ بارِ ہدایات شامل۔ رپورٹ دَرخواست کرنہٕ خاطرٕ تُہہِ ضرور لاگ اِن گژھُن۔
قانونی نکات
اسۍ چھِ نہ تِم اشخاص ٮ۪ن اِنعامات دِتھ ہیکان یِم پابندی فہرستن پٮ۪ٹھ چھِ، یا یِم ممالک منٛز چھِ (مثلاً کیوٗبا، ایران، شمالی کوریا، سوڈان تہٕ شام) یِم پابندی فہرستن پٮ۪ٹھ چھِ۔ تُہنٛدِ رہائش تہٕ شہریتُک مطابق ٹیکس نتائجُک ذمہ دار چھوو تُہہِ۔ تُہنٛدِ مقامی قانونس مطابق دا خلہ پٮ۪ٹھ اضافی پابندیاں تہِ آسِتھ ہِکن۔
یہ چھُ نہٕ کانہہ مقابلہ، بلکہ اَکھ تجرباتی تہٕ صوابدیدی اِنعامی پروگرام۔ تُہہِ ضرور سمجھِو زِ اسۍ ہیکو پروگرام کَنہِ تہِ وَقتہٕ منسوخ کٔرِتھ، تہٕ اِنعام دِنہٕ بارِ فیصلہ چھُ پوٗرِ طور ساہنٛزِ مَرضی پٮ۪ٹھ منحصر۔
یقیناً، تُہنٛد ٹیسٹنگ ضرور کانہہ قانون نہٕ خلاف ورزی کرِ، یا کانہہ ڈیٹا یُس تُہنٛد خود چھُ نہٕ، تَتھ میں خلل یا سمجھوتہ نہٕ کرِ۔
آخری اپ ڈیٹ