Pažeidžiamumai ir atlygiai

Mes mokame atlygius už aptiktus pažeidžiamumus ar su sauga susijusias problemas. Kad gautumėte atlygį, turi būti įvykdytos šios sąlygos.

#1 Pažeidžiamumas turi būti unikalus 
Jei gauname kelis pranešimus, atlygį gaus pirmasis pranešęs asmuo. Savo nuožiūra galime sumokėti nominalius antrinio pranešimo mokesčius, kad paskatintume būsimus radinius.

#2 Pažeidžiamumas turi būti atkuriamas
Mes nemokame už jokį pažeidžiamumą, kurio neįmanoma atkurti. Mes nemokame atlygių už „YouTube“ vaizdo įrašus, kuriuose demonstruojamas pažeidžiamumas, kurio neįmanoma atkurti.

#3 Turi būti atakos scenarijus
Ataka turi turėti platinimo galimybę per mūsų sistemas. Prašome paaiškinti platinimo galimybę. Pavyzdžiui, mūsų API išnaudojimas ir kenkėjiškų scenarijų rašymas nebūtų priskaičiuojamas, nes tai niekuo nesiskirtų nuo paprasto puslapio su kenkėjiškais scenarijais sukūrimo.
 

Kaip nustatomos atlygių sumos

Kiekviena aukščiau pateikta kategorija turi išmokų intervalą. Kurioje intervalo vietoje atsiduria galiojantis pranešimas, priklauso nuo trijų veiksnių:

Išnaudojimui reikalingos privilegijos. Klaidos, kurioms nereikia autentifikavimo, patenka į intervalo viršų. Klaidos, kurioms reikia autentifikuoto naudotojo, patenka į vidurį. Klaidos, kurioms reikia privilegijuoto konteksto (komandos administratorius, komandos savininkas, mokamas planas, vidinis personalas), patenka į apačią.

Poveikio mastas. Pažeidžiamumai, veikiantys kiekvieną naudotoją ar kiekvieną žemėlapį, apmokami geriau nei pažeidžiamumai, veikiantys vieną paskyrą ar vieną komandą, kuriai užpuolikas jau priklauso.

Grįžtamumas. Žala, kurią paveiktas naudotojas gali atitaisyti įprastomis priemonėmis (pavyzdžiui, atkūrus slaptažodį), apmokama mažiau nei žala, kuri išlieka arba kurią atitaisyti reikia mūsų įsikišimo.

Įtakos turi ir pranešimo kokybė. Aiškus aprašymas su veikiančiu koncepcijos įrodymu, pagrindinės priežasties analize ir pasiūlymu, kaip ištaisyti, gali pelnyti intervalo viršų, net jei vien techninis poveikis atitiktų vidurį. Nerūpestingi ar spekuliatyvūs pranešimai gali gauti apatinę sumą.

Už apimties ribų

Už toliau išvardytus dalykus atlygis nemokamas:

Anoniminiai bendruomenės žemėlapiai. Žemėlapiai be savininko, kuriuos gali redaguoti bet kas, yra ilgai veikianti bendruomenės funkcija. Anoniminio žemėlapio perrašymas nėra pažeidžiamumas.

Neįtraukti į sąrašą (URL kaip kredencialas) žemėlapiai. Žemėlapiai be LockView yra sąmoningai prieinami visiems, kurie žino URL, panašiai kaip neįtrauktas į sąrašą „YouTube“ vaizdo įrašas. Prieiga prie tokio žemėlapio ar jo įrašymas žinant jo kodą yra numatyta.

Trečiųjų šalių programinė įranga, kurią talpiname, bet neprižiūrime. Problemos GeoServer, Tomcat ar kitose trečiųjų šalių sistemose, įdiegtose kartu su mūsų paslaugomis. Apie jas prašome pranešti atitinkamiems pirminiams prižiūrėtojams.

Trūkstamos saugos antraštės be konkretaus atakos scenarijaus. Pranešimai apie CSP, X-Frame-Options, HSTS ir pan. be veikiančio išnaudojimo atlygio negauna.

Užklausų dažnio ribojimas atskirai. Užklausų dažnio ribojimo nebuvimas galiniuose taškuose, kuriuose jis nėra kritiškai svarbus saugai, be įrodyto piktnaudžiavimo scenarijaus.

DI naudojimas

Mes naudojame DI pradiniam patikrinimui, kad galėtume suskirstyti pranešimus pagal svarbą. Kartais jis daro klaidų; kiekvieną pranešimą peržiūri ir žmogus, tačiau jei manote, kad DI iš pradžių padarė didelę klaidą, prie pateikimo pridėkite pastabą su papildomu kontekstu ir pan..compromise any

Burp naudojimas / galiniai taškai

Greitam skenavimui naudojame tokius įrankius kaip Burp. Mes paprastai norėtume, kad šių skenavimų prieš mus nevykdytumėte, nes tūkstančiai užklausų tik be reikalo apkrauna mūsų serverius. 

Kad sutaupytumėte laiko, štai keli galiniai taškai: 

https://www.scribblemaps.com/ 
(Jei skenuojate, užblokuokite /maps/ kelią, nes tai nuves skenerius į nesibaigiantį labirintą) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Mokėjimai

Dėl mokėjimo terminų garantijų nėra. Skiriame mėnesio biudžetą, o rimtos problemos visada apmokamos pirmiausia. Mokėjimus vykdome tik per Wise arba PayPal.
 

Atlygio praradimas

Pranešimo patvirtinimas ar priėmimas suteikia teisę gauti atlygį, bet ne besąlygišką teisę į jį. „ScribbleMaps“ gali sumažinti arba sulaikyti atlygį visiškai ar iš dalies, kai tyrėjo elgesys pažeidžia šias sąlygas arba sąžiningo koordinuoto atskleidimo principus. Atlygio praradimas yra „ScribbleMaps“ nuožiūros reikalas; priežastis užfiksuojama pranešime ir pranešama tyrėjui.

Atlygis, kuris kitu atveju būtų mokėtinas, gali būti prarastas dėl bet kurios iš šių priežasčių:

1. Ankstyvas arba grasinamas viešas atskleidimas. Pažeidžiamumo atskleidimas arba grasinimas jį atskleisti viešai, trečiosioms šalims ar per žiniasklaidos / socialinius kanalus, kol „ScribbleMaps“ nepašalino problemos ir neleido atskleisti. Koordinuotas atskleidimas yra programos sąlyga.
2. Prievarta, turto prievartavimas ar priekabiavimas. Neatskleidimo susiejimas su mokėjimu; grasinimas darbuotojams ar spaudimas jiems; arba pagalbos, atsiskaitymo ar pranešėjų kanalų naudojimas pakartotinai ar piktnaudžiaujant reikalaujant mokėjimo. Klausimus dėl atlygio būsenos reikėtų teikti per atlygių portalą, į kurį „ScribbleMaps“ atsakys.
3. Keli arba pasikartojantys tapatumai. Daugiau nei vienos tyrėjo paskyros valdymas arba atlygių už atskiras paskyras nukreipimas į bendrą mokėjimo adresą siekiant padidinti pateikimų skaičių ar atlygius.
4. Slaptas susitarimas arba pagaminti radiniai. Pateikimų derinimas tarp paskyrų, kito dalyvio paskyros ar žemėlapių naudojimas kaip „aukos“ koncepcijos įrodyme arba tokios duomenų būsenos, kurios produktas negali sukurti, pagaminimas ir gautų duomenų nurodymas kaip nutekėjimo.
5. Mažai pastangų reikalaujantis ar automatizuotas šlamštas. Masiniai (Bulk) automatizuotų skenerių rezultatų, pasenusių bibliotekų / CVE sąrašų ar žinomų už apimties ribų esančių dalykų (žr. Už apimties ribų) pateikimai be įrodyto, „ScribbleMaps“ specifinio išnaudojimo.
6. Žalingas ar neteisėtas testavimas. Kitų naudotojų duomenų pasiekimas, keitimas ar išgavimas daugiau nei būtina problemai pademonstruoti; paslaugos pabloginimas ar atsisakymas ją teikti; socialinė inžinerija prieš darbuotojus ar naudotojus; arba bet kokia veikla, draudžiama pagal programos apimtį ar taikomus įstatymus.
7. Klaidingas pateikimas arba sukčiavimas. Atkūrimo veiksmų, įrodymų, radimo datų ar tapatybės klastojimas.

Pastabos.

• Atlygio praradimas gali būti dalinis (sumažintas atlygis) arba visiškas ($0).
• Patvirtintas pranešimas, kurio atlygis prarastas dėl netinkamo elgesio, nebegali būti pakartotinai svarstomas dėl to paties radinio.
• Šios sąlygos taikomos nuo pateikimo momento ir pakartojamos priėmimo pranešime, siunčiamame priėmus pranešimą.

Kaip pateikti pranešimą

Aplankykite: https://api.scribblemaps.com/vulnerabilities

Svetainėje taip pat pateikiamos instrukcijos, kaip pateikti pranešimus naudojant DI. Pranešimui pateikti turite prisijungti.

Teisiniai aspektai

Negalime išmokėti atlygių asmenims, esantiems sankcijų sąrašuose, arba esantiems šalyse (pvz., Kuba, Iranas, Šiaurės Korėja, Sudanas ir Sirija), esančiose sankcijų sąrašuose. Jūs atsakote už bet kokias mokestines pasekmes, priklausomai nuo jūsų gyvenamosios šalies ir pilietybės. Priklausomai nuo jūsų vietos įstatymų, gali būti papildomų apribojimų dalyvauti.

Tai nėra konkursas, o eksperimentinė ir savo nuožiūra vykdoma atlygių programa. Turėtumėte suprasti, kad programą galime nutraukti bet kuriuo metu, o sprendimas, ar mokėti atlygį, visiškai priklauso nuo mūsų nuožiūros.

Žinoma, jūsų testavimas neturi pažeisti jokių įstatymų, sutrikdyti ar kompromituoti jokių duomenų, kurie nėra jūsų.