ຊ່ອງໂຫວ່ດ້ານຄວາມປອດໄພ ແລະ ລາງວັນ
ພວກເຮົາຈ່າຍລາງວັນສຳລັບຊ່ອງໂຫວ່ ຫຼື ບັນຫາທີ່ກ່ຽວຂ້ອງກັບຄວາມປອດໄພທີ່ຄົ້ນພົບ. ເພື່ອໃຫ້ໄດ້ຮັບເງິນ ຕ້ອງເປັນໄປຕາມເງື່ອນໄຂຕໍ່ໄປນີ້.
#1 ຊ່ອງໂຫວ່ຕ້ອງບໍ່ຊ້ຳກັບຜູ້ອື່ນ
ຖ້າພວກເຮົາໄດ້ຮັບລາຍງານຫຼາຍສະບັບ ຜູ້ທີ່ລາຍງານກ່ອນຈະໄດ້ຮັບລາງວັນ. ພວກເຮົາອາດຈ່າຍຄ່າແຈ້ງລຳດັບທີສອງໃນຈຳນວນເລັກນ້ອຍຕາມດຸນລະພິນິດຂອງພວກເຮົາ ເພື່ອຊຸກຍູ້ໃຫ້ມີການຄົ້ນພົບໃນອະນາຄົດ.
#2 ຊ່ອງໂຫວ່ຕ້ອງສາມາດເຮັດຊ້ຳໄດ້
ພວກເຮົາຈະບໍ່ຈ່າຍເງິນສຳລັບຊ່ອງໂຫວ່ໃດໆທີ່ບໍ່ສາມາດເຮັດຊ້ຳໄດ້. ພວກເຮົາຈະບໍ່ຈ່າຍລາງວັນສຳລັບວິດີໂອ YouTube ທີ່ສາທິດຊ່ອງໂຫວ່ທີ່ບໍ່ສາມາດເຮັດຊ້ຳໄດ້.
#3 ຕ້ອງມີສະຖານະການໂຈມຕີ
ການໂຈມຕີຕ້ອງມີຄວາມສາມາດໃນການແຈກຢາຍຜ່ານລະບົບຂອງພວກເຮົາ. ກະລຸນາອະທິບາຍຄວາມສາມາດໃນການແຈກຢາຍ. ຕົວຢ່າງ, ການໃຊ້ API ຂອງພວກເຮົາແລ້ວຂຽນສະຄຣິບອັນຕະລາຍຈະບໍ່ນັບ ເພາະບໍ່ຕ່າງຈາກການຂຽນໜ້າເວັບທີ່ມີສະຄຣິບອັນຕະລາຍ.
| ໝວດໝູ່ | ຕົວຢ່າງ | ລາງວັນ |
| ການເອີ້ນໃຊ້ໂຄດຈາກໄລຍະໄກ | Command injection, ຂໍ້ບົກຜ່ອງ deserialization, ການຫຼຸດພົ້ນຈາກ sandbox | $200 – $800 |
| ການເຂົ້າເຖິງລະບົບໄຟລ໌ ຫຼື ຖານຂໍ້ມູນໂດຍບໍ່ມີຂໍ້ຈຳກັດ | SQL injection, ການອ່ານ/ຂຽນໄຟລ໌ຕາມໃຈ | $500 – $2,000 |
| ຂໍ້ບົກຜ່ອງດ້ານຕັກກະທີ່ເຮັດໃຫ້ຂໍ້ມູນຮົ່ວໄຫຼ ຫຼື ຂ້າມການຄວບຄຸມຄວາມປອດໄພທີ່ສຳຄັນ | Direct object reference, ການຍົກລະດັບສິດ, ການປອມຕົວເປັນຜູ້ໃຊ້ຈາກໄລຍະໄກ, ການຍຶດບັນຊີ | $200 – $1,000 |
| ຊ່ອງໂຫວ່ດ້ານຄວາມປອດໄພຂອງແຜນທີ່ | ການເປີດເຜີຍແຜນທີ່ບໍ່ຖືກຕ້ອງ, ຂໍ້ມູນຮົ່ວໄຫຼຈາກແຜນທີ່ທີ່ປອດໄພ | $100 – $500 |
| ການເອີ້ນໃຊ້ໂຄດຢູ່ຝັ່ງລູກຂ່າຍ | Stored XSS, reflected XSS | $100 – $500 |
| ຊ່ອງໂຫວ່ດ້ານຄວາມປອດໄພອື່ນໆທີ່ຖືກຕ້ອງ | CSRF, clickjacking, ການເປີດເຜີຍຂໍ້ມູນ, open redirect | $25 – $200 |
ວິທີກຳນົດຈຳນວນລາງວັນ
ແຕ່ລະໝວດໝູ່ຂ້າງເທິງມີຊ່ວງການຈ່າຍເງິນ. ລາຍງານທີ່ຖືກຕ້ອງຈະຕົກຢູ່ບ່ອນໃດໃນຊ່ວງນັ້ນຂຶ້ນກັບສາມປັດໄຈ:
ສິດທີ່ຕ້ອງການເພື່ອໃຊ້ຊ່ອງໂຫວ່. ຂໍ້ບົກຜ່ອງທີ່ບໍ່ຕ້ອງຢືນຢັນຕົວຕົນຈະຢູ່ເທິງສຸດຂອງຊ່ວງ. ຂໍ້ບົກຜ່ອງທີ່ຕ້ອງມີຜູ້ໃຊ້ທີ່ຢືນຢັນຕົວຕົນແລ້ວຈະຢູ່ກາງຊ່ວງ. ຂໍ້ບົກຜ່ອງທີ່ຕ້ອງມີສິດພິເສດ (ແອດມິນທີມ, ເຈົ້າຂອງທີມ, ແຜນແບບເສຍເງິນ, ພະນັກງານພາຍໃນ) ຈະຢູ່ລຸ່ມສຸດ.
ຂອບເຂດຜົນກະທົບ. ຊ່ອງໂຫວ່ທີ່ກະທົບຜູ້ໃຊ້ທຸກຄົນ ຫຼື ແຜນທີ່ທັງໝົດຈະໄດ້ຮັບຫຼາຍກວ່າຊ່ອງໂຫວ່ທີ່ກະທົບພຽງບັນຊີດຽວ ຫຼື ທີມດຽວທີ່ຜູ້ໂຈມຕີເປັນສະມາຊິກຢູ່ແລ້ວ.
ຄວາມສາມາດໃນການຍ້ອນກັບ. ຄວາມເສຍຫາຍທີ່ຜູ້ໃຊ້ທີ່ໄດ້ຮັບຜົນກະທົບສາມາດແກ້ໄຂໄດ້ຜ່ານຂັ້ນຕອນປົກກະຕິ (ເຊັ່ນ ການຣີເຊັດລະຫັດຜ່ານ) ຈະໄດ້ຮັບໜ້ອຍກວ່າຄວາມເສຍຫາຍທີ່ຄົງຢູ່ ຫຼື ຕ້ອງໃຫ້ພວກເຮົາເຂົ້າແກ້ໄຂ.
ຄຸນນະພາບຂອງລາຍງານກໍເປັນປັດໄຈເຊັ່ນກັນ. ລາຍງານທີ່ຂຽນຊັດເຈນພ້ອມ proof of concept ທີ່ໃຊ້ງານໄດ້ຈິງ, ການວິເຄາະສາເຫດຫຼັກ ແລະ ຄຳແນະນຳໃນການແກ້ໄຂ ສາມາດໄດ້ຮັບລາງວັນລະດັບສູງສຸດຂອງຊ່ວງ ເຖິງແມ່ນວ່າຜົນກະທົບທາງເຕັກນິກຢ່າງດຽວຈະຢູ່ລະດັບກາງ. ລາຍງານທີ່ບໍ່ລະອຽດ ຫຼື ເປັນພຽງການຄາດເດາອາດໄດ້ຮັບລະດັບຕ່ຳສຸດ.
ຢູ່ນອກຂອບເຂດ
ສິ່ງຕໍ່ໄປນີ້ບໍ່ມີສິດໄດ້ຮັບລາງວັນ:
ແຜນທີ່ຊຸມຊົນແບບບໍ່ລະບຸຕົວຕົນ. ແຜນທີ່ທີ່ບໍ່ມີເຈົ້າຂອງ ແລະ ທຸກຄົນສາມາດແກ້ໄຂໄດ້ ເປັນຄຸນສົມບັດຂອງຊຸມຊົນມາແຕ່ດົນນານ. ການບັນທຶກທັບແຜນທີ່ແບບບໍ່ລະບຸຕົວຕົນບໍ່ແມ່ນຊ່ອງໂຫວ່.
ແຜນທີ່ແບບບໍ່ສະແດງໃນລາຍການ (ໃຊ້ URL ເປັນຂໍ້ມູນຢືນຢັນ). ແຜນທີ່ທີ່ບໍ່ມີ LockView ຖືກອອກແບບໃຫ້ທຸກຄົນທີ່ຮູ້ URL ເຂົ້າເຖິງໄດ້ ຄ້າຍຄືກັບວິດີໂອ YouTube ແບບບໍ່ລະບຸໃນລາຍການ. ການເຂົ້າເຖິງ ຫຼື ບັນທຶກແຜນທີ່ດັ່ງກ່າວໂດຍຮູ້ລະຫັດແຜນທີ່ແມ່ນເປັນໄປຕາມການອອກແບບ.
ຊອບແວຂອງບຸກຄົນທີສາມທີ່ພວກເຮົາໂຮສແຕ່ບໍ່ໄດ້ບຳລຸງຮັກສາ. ບັນຫາໃນ GeoServer, Tomcat ຫຼື ສະແຕັກຂອງບຸກຄົນທີສາມອື່ນໆທີ່ນຳໃຊ້ຄຽງຄູ່ກັບບໍລິການຂອງພວກເຮົາ. ກະລຸນາລາຍງານສິ່ງເຫຼົ່ານີ້ໃຫ້ຜູ້ບຳລຸງຮັກສາຕົ້ນທາງທີ່ກ່ຽວຂ້ອງ.
ການຂາດ security headers ໂດຍບໍ່ມີສະຖານະການໂຈມຕີທີ່ຊັດເຈນ. ລາຍງານກ່ຽວກັບ CSP, X-Frame-Options, HSTS ແລະ ອື່ນໆ ໂດຍບໍ່ມີ exploit ທີ່ໃຊ້ງານໄດ້ຈິງ ຈະບໍ່ມີສິດໄດ້ຮັບລາງວັນ.
ການຂາດ rate limiting ແບບແຍກດ່ຽວ. ການຂາດ rate limiting ໃນ endpoint ທີ່ rate limiting ບໍ່ມີຄວາມສຳຄັນດ້ານຄວາມປອດໄພ ໂດຍບໍ່ມີການສາທິດສະຖານະການລະເມີດ.
ການນຳໃຊ້ AI
ພວກເຮົາໃຊ້ AI ເພື່ອກວດສອບເບື້ອງຕົ້ນສຳລັບການຄັດກອງ. ບາງຄັ້ງມັນເຮັດຜິດພາດ, ພວກເຮົາມີການກວດສອບໂດຍມະນຸດໃນແຕ່ລະລາຍການ, ແນວໃດກໍຕາມ ຖ້າທ່ານຄິດວ່າ AI ເຮັດຜິດພາດໃຫຍ່ໃນເບື້ອງຕົ້ນ ໃຫ້ເພີ່ມບັນທຶກໃນການສົ່ງພ້ອມບໍລິບົດເພີ່ມເຕີມ ແລະ ອື່ນໆ..compromise any
ການນຳໃຊ້ Burp / Endpoints
ພວກເຮົາໃຊ້ເຄື່ອງມືເຊັ່ນ burp ສຳລັບການສະແກນດ່ວນ. ໂດຍທົ່ວໄປພວກເຮົາຢາກໃຫ້ທ່ານບໍ່ສະແກນພວກເຮົາ ເພາະການສົ່ງຄຳຂໍນັບພັນຄັ້ງພຽງແຕ່ເພີ່ມພາລະທີ່ບໍ່ຈຳເປັນໃຫ້ເຊີບເວີຂອງພວກເຮົາ.
ເພື່ອປະຫຍັດເວລາຂອງທ່ານ ນີ້ແມ່ນ endpoint ບາງສ່ວນ:
https://www.scribblemaps.com/
(ຖ້າທ່ານສະແກນ ໃຫ້ບລັອກເສັ້ນທາງ /maps/ ເພາະມັນຈະພາຕົວສະແກນເຂົ້າສູ່ວົງວຽນທີ່ບໍ່ມີທີ່ສິ້ນສຸດ)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
ການຈ່າຍເງິນ
ບໍ່ມີການຮັບປະກັນກຳນົດເວລາການຈ່າຍເງິນ. ພວກເຮົາຈັດສັນງົບປະມານລາຍເດືອນ ໂດຍບັນຫາຮ້າຍແຮງຈະໄດ້ຮັບການຈ່າຍກ່ອນສະເໝີ. ພວກເຮົາຈ່າຍເງິນຜ່ານ wise ຫຼື paypal ເທົ່ານັ້ນ.
ການສູນເສຍສິດຮັບລາງວັນ
ການກວດສອບ ຫຼື ຮັບລາຍງານເປັນການສ້າງສິດໄດ້ຮັບລາງວັນ ບໍ່ແມ່ນສິດທີ່ບໍ່ມີເງື່ອນໄຂ. ScribbleMaps ອາດຫຼຸດ ຫຼື ງົດລາງວັນທັງໝົດ ຫຼື ບາງສ່ວນເມື່ອການປະພຶດຂອງນັກຄົ້ນຄວ້າລະເມີດເງື່ອນໄຂເຫຼົ່ານີ້ ຫຼື ຫຼັກການຂອງການເປີດເຜີຍແບບປະສານງານດ້ວຍຄວາມສຸຈະລິດ. ການສູນເສຍສິດຂຶ້ນກັບດຸນລະພິນິດຂອງ ScribbleMaps; ເຫດຜົນຈະຖືກບັນທຶກໃນລາຍງານ ແລະ ແຈ້ງໃຫ້ນັກຄົ້ນຄວ້າຊາບ.
ລາງວັນທີ່ປົກກະຕິຈະຈ່າຍໄດ້ ອາດຖືກຍົກເລີກດ້ວຍເຫດຜົນໃດໜຶ່ງຕໍ່ໄປນີ້:
- ການເປີດເຜີຍສູ່ສາທາລະນະກ່ອນເວລາ ຫຼື ການຂູ່ວ່າຈະເປີດເຜີຍ. ການເປີດເຜີຍຊ່ອງໂຫວ່ — ຫຼື ການຂູ່ວ່າຈະເປີດເຜີຍ — ຕໍ່ສາທາລະນະ, ຕໍ່ບຸກຄົນທີສາມ, ຫຼື ຜ່ານຊ່ອງທາງສື່/ໂຊຊຽນມີເດຍ ກ່ອນທີ່ ScribbleMaps ຈະແກ້ໄຂບັນຫາ ແລະ ອະນຸຍາດໃຫ້ເປີດເຜີຍ. ການເປີດເຜີຍແບບປະສານງານແມ່ນເງື່ອນໄຂຂອງໂຄງການ.
- ການບີບບັງຄັບ, ການຂົ່ມຂູ່ເອົາເງິນ ຫຼື ການຄຸກຄາມ. ການຕັ້ງເງື່ອນໄຂການບໍ່ເປີດເຜີຍກັບການຈ່າຍເງິນ; ການຂູ່ ຫຼື ກົດດັນພະນັກງານ; ຫຼື ການໃຊ້ຊ່ອງທາງຊ່ວຍເຫຼືອ, ການເກັບເງິນ ຫຼື ຜູ້ລາຍງານເພື່ອຮຽກຮ້ອງການຈ່າຍເງິນຊ້ຳໆ ຫຼື ໃນທາງທີ່ບໍ່ເໝາະສົມ. ຄຳຖາມກ່ຽວກັບສະຖານະລາງວັນຄວນຖາມຜ່ານພອດທັນລາງວັນ ເຊິ່ງ ScribbleMaps ຈະຕອບ.
- ຕົວຕົນຫຼາຍອັນ ຫຼື ຕົວຕົນຊ້ຳ. ການມີບັນຊີນັກຄົ້ນຄວ້າຫຼາຍກວ່າໜຶ່ງບັນຊີ ຫຼື ການໂອນລາງວັນຂອງຫຼາຍບັນຊີໄປທີ່ທີ່ຢູ່ການຈ່າຍເງິນດຽວກັນ ເພື່ອເພີ່ມປະລິມານການສົ່ງ ຫຼື ລາງວັນ.
- ການສົມຮູ້ຮ່ວມຄິດ ຫຼື ການສ້າງຜົນການຄົ້ນພົບຂຶ້ນມາ. ການປະສານງານການສົ່ງລາຍງານຂ້າມບັນຊີ, ການໃຊ້ບັນຊີ ຫຼື ແຜນທີ່ຂອງຜູ້ເຂົ້າຮ່ວມຄົນອື່ນເປັນ “ຜູ້ເຄາະຮ້າຍ” ໃນ proof of concept, ຫຼື ການສ້າງສະຖານະຂໍ້ມູນທີ່ຜະລິດຕະພັນບໍ່ສາມາດສ້າງໄດ້ ແລ້ວອ້າງຂໍ້ມູນທີ່ໄດ້ມາວ່າເປັນຂໍ້ມູນຮົ່ວໄຫຼ.
- ສະແປມທີ່ໃຊ້ຄວາມພະຍາຍາມໜ້ອຍ ຫຼື ອັດຕະໂນມັດ. ການສົ່ງຈຳນວນຫຼາຍຂອງຜົນຈາກຕົວສະແກນອັດຕະໂນມັດ, ລາຍການໄລບຣາຣີລ້າສະໄໝ/CVE, ຫຼື ລາຍການທີ່ຢູ່ນອກຂອບເຂດທີ່ຮູ້ແລ້ວ (ເບິ່ງ ຢູ່ນອກຂອບເຂດ) ໂດຍບໍ່ມີ exploit ທີ່ສາທິດໄດ້ ແລະ ສະເພາະເຈາະຈົງກັບ ScribbleMaps.
- ການທົດສອບທີ່ເປັນອັນຕະລາຍ ຫຼື ຜິດກົດໝາຍ. ການເຂົ້າເຖິງ, ແກ້ໄຂ ຫຼື ດຶງຂໍ້ມູນຂອງຜູ້ໃຊ້ອື່ນເກີນກວ່າທີ່ຈຳເປັນໜ້ອຍທີ່ສຸດເພື່ອສາທິດບັນຫາ; ການເຮັດໃຫ້ບໍລິການເສື່ອມປະສິດທິພາບ ຫຼື ຖືກປະຕິເສດ; ການໃຊ້ວິສະວະກຳສັງຄົມຕໍ່ພະນັກງານ ຫຼື ຜູ້ໃຊ້; ຫຼື ກິດຈະກຳໃດໆທີ່ຖືກຫ້າມໂດຍຂອບເຂດຂອງໂຄງການ ຫຼື ກົດໝາຍທີ່ໃຊ້ບັງຄັບ.
- ການບິດເບືອນ ຫຼື ການສໍ້ໂກງ. ການປອມແປງຂັ້ນຕອນການເຮັດຊ້ຳ, ຫຼັກຖານ, ວັນທີຄົ້ນພົບ ຫຼື ຕົວຕົນ.
ໝາຍເຫດ.
- ການສູນເສຍສິດອາດເປັນບາງສ່ວນ (ລາງວັນຖືກຫຼຸດ) ຫຼື ທັງໝົດ ($0).
- ລາຍງານທີ່ຖືກກວດສອບແລ້ວແຕ່ຖືກຍົກເລີກສິດເພາະການປະພຶດທີ່ບໍ່ເໝາະສົມ ຈະບໍ່ມີສິດຮັບລາງວັນອີກສຳລັບການຄົ້ນພົບດຽວກັນ.
- ເງື່ອນໄຂເຫຼົ່ານີ້ໃຊ້ບັງຄັບຕັ້ງແຕ່ເວລາທີ່ສົ່ງ ແລະ ຖືກກ່າວຄືນໃນໃບແຈ້ງການຍອມຮັບທີ່ສົ່ງເມື່ອລາຍງານຖືກຮັບ.
ວິທີສົ່ງລາຍງານ
ກະລຸນາເຂົ້າເບິ່ງ: https://api.scribblemaps.com/vulnerabilities
ເວັບໄຊຍັງມີຄຳແນະນຳກ່ຽວກັບວິທີສົ່ງລາຍງານຜ່ານ AI. ທ່ານຕ້ອງເຂົ້າສູ່ລະບົບເພື່ອສົ່ງລາຍງານ.
ຂໍ້ກົດໝາຍ
ພວກເຮົາບໍ່ສາມາດມອບລາງວັນໃຫ້ບຸກຄົນທີ່ຢູ່ໃນລາຍຊື່ການລົງໂທດ ຫຼື ຢູ່ໃນປະເທດ (ເຊັ່ນ ຄິວບາ, ອີຣານ, ເກົາຫຼີເໜືອ, ຊູດານ ແລະ ຊີເຣຍ) ທີ່ຢູ່ໃນລາຍຊື່ການລົງໂທດ. ທ່ານຮັບຜິດຊອບຕໍ່ຜົນກະທົບດ້ານພາສີໃດໆຕາມປະເທດທີ່ພຳນັກ ແລະ ສັນຊາດຂອງທ່ານ. ອາດມີຂໍ້ຈຳກັດເພີ່ມເຕີມຕໍ່ຄວາມສາມາດໃນການເຂົ້າຮ່ວມຂອງທ່ານຕາມກົດໝາຍທ້ອງຖິ່ນ.
ນີ້ບໍ່ແມ່ນການແຂ່ງຂັນ ແຕ່ເປັນໂຄງການລາງວັນແບບທົດລອງ ແລະ ຕາມດຸນລະພິນິດ. ທ່ານຄວນເຂົ້າໃຈວ່າພວກເຮົາສາມາດຍົກເລີກໂຄງການໄດ້ທຸກເວລາ ແລະ ການຕັດສິນໃຈວ່າຈະຈ່າຍລາງວັນຫຼືບໍ່ແມ່ນຂຶ້ນກັບດຸນລະພິນິດຂອງພວກເຮົາທັງໝົດ.
ແນ່ນອນ, ການທົດສອບຂອງທ່ານຕ້ອງບໍ່ລະເມີດກົດໝາຍໃດໆ, ຫຼື ລົບກວນ ຫຼື ກະທົບຂໍ້ມູນທີ່ບໍ່ແມ່ນຂອງທ່ານເອງ.
ອັບເດດຫຼ້າສຸດ