Эмзэг байдал ба шагнал

Бид илрүүлсэн эмзэг байдал эсвэл аюулгүй байдалтай холбоотой асуудлуудад шагнал олгодог. Шагнал авахын тулд дараах нөхцөлүүд биелсэн байх ёстой.

#1 Эмзэг байдал давтагдашгүй байх ёстой 
Хэрэв бид олон мэдээлэл хүлээн авбал хамгийн түрүүнд мэдээлсэн хүн шагнал авна. Ирээдүйд илрүүлэлт хийхийг дэмжих үүднээс бид өөрийн үзэмжээр хоёрдогч мэдэгдлийн бэлгэдлийн хөлс олгож болно.

#2 Эмзэг байдал дахин үүсгэх боломжтой байх ёстой
Бид дахин үүсгэх боломжгүй аливаа эмзэг байдалд төлбөр төлөхгүй. Дахин үүсгэх боломжгүй эмзэг байдлыг харуулсан YouTube бичлэгт бид шагнал олгохгүй.

#3 Халдлагын хувилбартай байх ёстой
Халдлага нь манай системүүдээр дамжуулан түгээх чадвартай байх ёстой. Түгээх чадвараа тайлбарлана уу. Жишээлбэл, манай API-г ашиглаад хортой скрипт бичих нь зүгээр л хортой скрипттэй хуудас бичихээс ялгаагүй тул тооцогдохгүй.
 

Шагналын дүнг хэрхэн тодорхойлдог вэ

Дээрх ангилал тус бүр шагналын мужтай. Хүчин төгөлдөр мэдээлэл тухайн мужийн аль хэсэгт орох нь гурван хүчин зүйлээс хамаарна:

Ашиглахад шаардлагатай эрх. Нэвтрээгүй хэрэглэгчээр ашиглаж болох алдаанууд мужийн дээд хэсэгт орно. Нэвтэрсэн хэрэглэгч шаарддаг алдаанууд дунд хэсэгт орно. Давуу эрхтэй орчин (багийн админ, багийн эзэмшигч, төлбөртэй багц, дотоодын ажилтан) шаарддаг алдаанууд доод хэсэгт орно.

Нөлөөллийн хүрээ. Бүх хэрэглэгч эсвэл бүх газрын зурагт нөлөөлөх эмзэг байдал нь нэг данс эсвэл халдагч аль хэдийн харьяалагддаг нэг багт нөлөөлөх эмзэг байдлаас илүү өндөр шагналтай.

Буцаах боломж. Нөлөөлөлд өртсөн хэрэглэгч энгийн үйлдлээр (жишээлбэл, нууц үг сэргээх) засаж чадах хохирол нь үргэлжлэх эсвэл манай оролцоог шаардах хохиролоос бага шагналтай.

Мэдээллийн чанар мөн нөлөөлнө. Ажиллаж буй proof of concept, үндсэн шалтгааны дүн шинжилгээ, засварын санал бүхий тодорхой тайлан нь техникийн нөлөө дангаараа дунд хэсэгт орох байсан ч мужийн дээд хэсгийг авч болно. Эмх замбараагүй эсвэл таамаглалд тулгуурласан мэдээлэл доод хэсгийг авч болно.

Хамрах хүрээнээс гадуур

Дараах зүйлс шагнал авах эрхгүй:

Нэргүй олон нийтийн газрын зургууд. Эзэнгүй, хэн ч засварлаж болох газрын зургууд нь олон жилийн турш үргэлжилж буй олон нийтийн боломж юм. Нэргүй газрын зургийг дарж хадгалах нь эмзэг байдал биш.

Жагсаалтад ороогүй (URL-ийг нэвтрэх эрх болгон ашигладаг) газрын зургууд. LockView-гүй газрын зургууд нь жагсаалтад ороогүй YouTube бичлэгтэй адил URL-ийг мэддэг хэн бүхэнд зориудаар нээлттэй. Газрын зургийн кодыг мэдэж тийм газрын зурагт хандах эсвэл хадгалах нь зохиомжийн дагуу.

Бидний байршуулдаг боловч арчилдаггүй гуравдагч этгээдийн программ хангамж. GeoServer, Tomcat болон манай үйлчилгээний хажууд байршуулсан бусад гуравдагч этгээдийн стекийн асуудлууд. Эдгээрийг холбогдох эх сурвалжийн арчлагчдад мэдээлнэ үү.

Тодорхой халдлагын хувилбаргүй аюулгүй байдлын толгой мэдээлэл дутмаг байх. Ажиллаж буй exploit-гүйгээр CSP, X-Frame-Options, HSTS гэх мэтийн талаарх мэдээлэл шагнал авах эрхгүй.

Дангаар нь авсан хүсэлтийн хязгаарлалт. Хүсэлтийн хязгаарлалт аюулгүй байдлын хувьд чухал биш төгсгөлийн цэгүүд дээр хүсэлтийн хязгаарлалт байхгүй байх, хор уршиг учруулах хувилбар нотлогдоогүй тохиолдолд.

Хиймэл оюун ашиглалт

Бид эхний баталгаажуулалт болон ангилалд хиймэл оюун ашигладаг. Заримдаа алдаа гаргадаг, бид бүгдийг хүнээр хянуулдаг, гэхдээ хэрэв хиймэл оюун эхэндээ том алдаа гаргасан гэж үзвэл илгээлтэд нэмэлт тайлбар бүхий тэмдэглэл нэмээрэй..compromise any

Burp ашиглалт / Төгсгөлийн цэгүүд

Бид хурдан скан хийхэд burp зэрэг хэрэгслийг ашигладаг. Мянга мянган хүсэлтээр цохих нь манай серверүүдэд шаардлагагүй ачаалал өгдөг тул эдгээр скан хийхгүй байхыг бид ерөнхийдөө илүүд үздэг. 

Таны цагийг хэмнэхийн тулд төгсгөлийн цэгүүдийг энд жагсаав: 

https://www.scribblemaps.com/ 
(Хэрэв скан хийвэл /maps/ замыг хориглоорой, учир нь энэ нь сканнеруудыг төгсгөлгүй гогцоонд оруулна) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Төлбөр

Төлбөрийн хугацааны баталгаа байхгүй. Бид сар бүр төсөв хуваарилдаг бөгөөд ноцтой асуудлуудад үргэлж эхэлж төлдөг. Бид зөвхөн wise эсвэл paypal-аар төлбөр хийдэг.
 

Шагналаас хасагдах

Мэдээллийг баталгаажуулах эсвэл хүлээн авах нь шагнал авах эрхийг бий болгодог болохоос болзолгүй шагнал авах эрхийг бий болгодоггүй. Судлаачийн үйлдэл эдгээр нөхцөл эсвэл шударга санааны үндсэн дээрх зохицуулсан мэдээллийн зарчимд харшилбал ScribbleMaps шагналыг бүхэлд нь эсвэл хэсэгчлэн бууруулах буюу төлөхөөс татгалзаж болно. Шагналаас хасах нь ScribbleMaps-ийн өөрийн үзэмжид хамаарах бөгөөд шалтгааныг мэдээлэлд тэмдэглэж судлаачид мэдэгдэнэ.

Бусад тохиолдолд төлөгдөх байсан шагналыг дараах шалтгаануудын аль ч нэгээр хасаж болно:

1. Эрт эсвэл заналхийлсэн олон нийтэд ил болгох. ScribbleMaps асуудлыг засаж, ил болгохыг зөвшөөрөхөөс өмнө эмзэг байдлыг олон нийтэд, гуравдагч этгээдэд эсвэл хэвлэл мэдээлэл/нийгмийн сүлжээгээр ил болгох — эсвэл ил болгохоор заналхийлэх. Зохицуулсан мэдээлэл нь хөтөлбөрийн нөхцөл юм.
2. Албадлага, шантааж эсвэл дарамт. Мэдээлэхгүй байхыг төлбөрийн нөхцөл болгох; ажилтнуудад заналхийлэх эсвэл дарамтлах; эсвэл дэмжлэг, тооцоо эсвэл мэдээлэгчийн сувгийг ашиглан төлбөрийг давтан эсвэл доромжилсон байдлаар шаардах. Шагналын төлөвийн талаарх асуултыг шагналын порталаар тавих ёстой бөгөөд ScribbleMaps хариулна.
3. Олон эсвэл давхардсан хувийн мэдээлэл. Илгээлтийн тоо эсвэл шагналыг нэмэгдүүлэхийн тулд нэгээс олон судлаачийн данс ашиглах, эсвэл тусдаа дансны шагналыг нийтлэг төлбөрийн хаяг руу чиглүүлэх.
4. Хуйвалдаан эсвэл зохиомол илрүүлэлт. Дансуудын хооронд илгээлтийг зохицуулах, proof of concept дахь “хохирогч” болгон өөр оролцогчийн данс эсвэл газрын зургийг ашиглах, эсвэл бүтээгдэхүүнээс үүсэх боломжгүй өгдөлийн төлөвийг зохиомлоор үүсгээд үр дүнд гарсан өгөгдлийг алдагдал гэж иш татах.
5. Хайхрамжгүй эсвэл автомат спам. ScribbleMaps-д хамаарах нотлогдсон exploit-гүйгээр автомат сканнерын гаралт, хуучирсан сан/CVE жагсаалт, эсвэл хамрах хүрээнээс гадуурх мэдэгдэж буй зүйлсийг (Хамрах хүрээнээс гадуур хэсгийг үзнэ үү) бөөнөөр илгээх.
6. Хор хөнөөлтэй эсвэл хууль бус туршилт. Асуудлыг харуулахад шаардлагатай хамгийн бага хэмжээнээс илүү бусад хэрэглэгчдийн өгөгдөлд хандах, өөрчлөх эсвэл гадагш гаргах; үйлчилгээг доройтуулах эсвэл зогсоох; ажилтнууд эсвэл хэрэглэгчдэд социал инженерчлэл хийх; эсвэл хөтөлбөрийн хамрах хүрээ эсвэл мөрдөгдөх хуулиар хориглосон аливаа үйл ажиллагаа.
7. Мэдээллийг гуйвуулах эсвэл залилан. Дахин үүсгэх алхмууд, нотолгоо, илрүүлсэн огноо эсвэл хувийн мэдээллийг хуурамчаар үйлдэх.

Тэмдэглэл.

• Шагналаас хасах нь хэсэгчилсэн (бууруулсан шагнал) эсвэл бүрэн ($0) байж болно.
• Буруу үйлдлийн улмаас шагналаас хасагдсан баталгаажсан мэдээлэл нь тухайн илрүүлэлтийн хувьд дахин шагнал авах эрхгүй.
• Эдгээр нөхцөл нь илгээсэн мөчөөс эхлэн хамаарах бөгөөд мэдээллийг хүлээн авахад илгээгдсэн хүлээн авсан тухай мэдэгдэлд дахин дурдагдана.

Мэдээлэл илгээх

Дараах хаягаар зочилно уу: https://api.scribblemaps.com/vulnerabilities

Сайтад мөн хиймэл оюунаар дамжуулан мэдээлэл илгээх зааврууд багтсан. Мэдээлэл илгээхийн тулд нэвтэрсэн байх ёстой.

Хууль эрх зүйн санаанууд

Бид хоригийн жагсаалтад орсон хувь хүмүүс эсвэл хоригийн жагсаалтад орсон улс орнуудад (жишээлбэл Куба, Иран, Хойд Солонгос, Судан, Сири) байгаа хүмүүст шагнал олгох боломжгүй. Таны оршин суугаа улс болон иргэншлээс хамаарсан татварын үр дагаврыг та өөрөө хариуцна. Орон нутгийн хуулиас хамаарч оролцох таны эрхэд нэмэлт хязгаарлалт байж болно.

Энэ нь уралдаан биш, харин туршилтын, өөрийн үзэмжээр явуулдаг шагналын хөтөлбөр юм. Бид хөтөлбөрийг хүссэн үедээ цуцалж болох бөгөөд шагнал олгох эсэх шийдвэр бүхэлдээ бидний үзэмжид байх ёстойг та ойлгох ёстой.

Мэдээжийн хэрэг, таны туршилт ямар ч хуулийг зөрчих, эсвэл өөрийнх нь биш аливаа өгөгдлийг тасалдуулах буюу эвдэх ёсгүй.