Kerentanan Dan Ganjaran

Kami membayar ganjaran untuk kerentanan atau isu berkaitan keselamatan yang ditemui. Untuk dibayar, perkara berikut mestilah benar.

#1 Kerentanan mestilah unik 
Jika kami menerima beberapa laporan, pelapor pertama akan mendapat ganjaran. Kami mungkin membayar, mengikut budi bicara kami, yuran notifikasi sekunder yang nominal untuk menggalakkan penemuan pada masa hadapan.

#2 Kerentanan mestilah boleh diulang semula
Kami tidak akan membayar sebarang kerentanan yang tidak dapat diulang semula. Kami tidak akan membayar ganjaran untuk video YouTube yang menunjukkan kerentanan yang tidak dapat diulang semula.

#3 Mesti mempunyai senario serangan
Serangan mestilah mempunyai keupayaan pengedaran melalui sistem kami. Sila terangkan keupayaan pengedaran. Contohnya, menggunakan API kami dan kemudian menulis skrip berniat jahat tidak dikira kerana ia tidak berbeza daripada sekadar menulis halaman dengan skrip berniat jahat.
 

Cara jumlah ganjaran ditentukan

Setiap kategori di atas mempunyai julat bayaran. Kedudukan laporan yang sah dalam julatnya bergantung pada tiga faktor:

Keistimewaan yang diperlukan untuk mengeksploitasi. Pepijat tanpa pengesahan berada di bahagian atas julat. Pepijat yang memerlukan pengguna yang disahkan berada di tengah. Pepijat yang memerlukan konteks berkeistimewaan (pentadbir pasukan, pemilik pasukan, pelan berbayar, kakitangan dalaman) berada di bahagian bawah.

Radius impak. Kerentanan yang menjejaskan setiap pengguna atau setiap peta dibayar lebih tinggi daripada kerentanan yang menjejaskan satu akaun atau satu pasukan yang penyerang sudah menjadi ahlinya.

Kebolehbalikan. Kerosakan yang boleh dibatalkan oleh pengguna yang terjejas melalui aliran kerja biasa (contohnya, set semula kata laluan) dibayar lebih rendah daripada kerosakan yang berterusan atau yang memerlukan campur tangan kami untuk dibatalkan.

Kualiti laporan juga diambil kira. Penulisan yang jelas dengan bukti konsep yang berfungsi, analisis punca, dan cadangan pemulihan boleh memperoleh bahagian atas julat walaupun impak teknikal sahaja akan berada di pertengahan julat. Laporan yang cuai atau spekulatif mungkin memperoleh bahagian bawah.

Di luar skop

Perkara berikut tidak layak untuk ganjaran:

Peta komuniti tanpa nama. Peta tanpa pemilik yang boleh disunting oleh sesiapa sahaja ialah ciri komuniti yang telah lama wujud. Menyimpan ke atas peta tanpa nama bukanlah kerentanan.

Peta Tidak tersenarai (URL-sebagai-kelayakan). Peta tanpa LockView sengaja boleh diakses oleh sesiapa yang mengetahui URL, serupa dengan video YouTube yang tidak disenaraikan. Mengakses atau menyimpan peta sedemikian dengan mengetahui kod petanya adalah mengikut reka bentuk.

Perisian pihak ketiga yang kami hoskan tetapi tidak diselenggara oleh kami. Isu dalam GeoServer, Tomcat, atau tindanan pihak ketiga lain yang dikerahkan bersama perkhidmatan kami. Sila laporkan perkara ini kepada penyelenggara hulu masing-masing.

Pengepala keselamatan yang tiada tanpa senario serangan yang konkrit. Laporan tentang CSP, X-Frame-Options, HSTS, dan sebagainya tanpa eksploitasi yang berfungsi tidak layak.

Penghadan kadar secara berasingan. Ketiadaan penghadan kadar pada titik akhir di mana penghadan kadar tidak kritikal dari segi keselamatan, tanpa senario penyalahgunaan yang ditunjukkan.

Penggunaan AI

Kami menggunakan AI untuk melakukan pengesahan awal bagi tujuan triaj. Ia kadangkala membuat kesilapan, kami melakukan semakan manusia ke atas setiap satu, namun, jika anda fikir AI telah membuat kesilapan besar pada mulanya, tambahkan nota pada penghantaran dengan konteks lanjut dan sebagainya..compromise any

Penggunaan Burp / Titik Akhir

Kami menggunakan alat seperti burp untuk imbasan pantas. Kami umumnya lebih suka jika anda tidak melakukan imbasan ini ke atas kami kerana menghantar beribu-ribu permintaan hanya menambah beban yang tidak perlu pada pelayan kami. 

Untuk menjimatkan masa anda, berikut ialah beberapa titik akhir: 

https://www.scribblemaps.com/ 
(Jika anda melakukan imbasan, sekat laluan /maps/ kerana ini akan menyebabkan pengimbas tersesat) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pembayaran

Tiada jaminan mengenai garis masa pembayaran. Kami memperuntukkan bajet bulanan, dengan isu yang teruk sentiasa dibayar dahulu. Kami hanya membuat pembayaran melalui wise atau paypal.
 

Pelucuthakan Ganjaran

Mengesahkan atau menerima laporan menetapkan kelayakan untuk ganjaran, bukan hak tanpa syarat untuk menerimanya. ScribbleMaps boleh mengurangkan atau menahan ganjaran sepenuhnya atau sebahagian apabila tingkah laku penyelidik melanggar terma ini atau prinsip pendedahan terkoordinasi yang suci hati. Pelucuthakan adalah mengikut budi bicara ScribbleMaps; sebabnya direkodkan pada laporan dan dimaklumkan kepada penyelidik.

Ganjaran yang sepatutnya boleh dibayar mungkin dilucuthakkan atas mana-mana sebab berikut:

1. Pendedahan awam yang pramatang atau diugut. Mendedahkan kerentanan — atau mengugut untuk mendedahkannya — secara terbuka, kepada pihak ketiga, atau melalui saluran media/sosial sebelum ScribbleMaps memulihkan isu tersebut dan membenarkan pendedahan. Pendedahan terkoordinasi ialah syarat program ini.
2. Paksaan, pemerasan, atau gangguan. Mensyaratkan ketidakdedahan pada pembayaran; mengugut atau menekan kakitangan; atau menggunakan saluran sokongan, pengebilan, atau pelapor untuk menuntut pembayaran secara berulang atau kasar. Soalan status ganjaran hendaklah dibangkitkan melalui portal ganjaran, yang akan dijawab oleh ScribbleMaps.
3. Beberapa identiti atau identiti pendua. Mengendalikan lebih daripada satu akaun penyelidik, atau menyalurkan ganjaran untuk akaun berasingan ke alamat pembayaran yang dikongsi, untuk menokok jumlah penghantaran atau ganjaran.
4. Pakatan atau penemuan yang direka. Menyelaraskan penghantaran merentas akaun, menggunakan akaun atau peta peserta lain sebagai “mangsa” dalam bukti konsep, atau mereka keadaan data yang tidak boleh dihasilkan oleh produk dan kemudian memetik data yang terhasil sebagai kebocoran.
5. Spam usaha rendah atau automatik. Penghantaran pukal output pengimbas automatik, senarai pustaka lapuk/CVE, atau perkara di luar skop yang diketahui (lihat Di luar skop) tanpa eksploitasi khusus ScribbleMaps yang ditunjukkan.
6. Ujian berbahaya atau menyalahi undang-undang. Mengakses, mengubah, atau mengeksfiltrasi data pengguna lain melebihi minimum yang diperlukan untuk menunjukkan isu tersebut; menjejaskan atau menafikan perkhidmatan; memperdaya kakitangan atau pengguna secara kejuruteraan sosial; atau sebarang aktiviti yang dilarang oleh skop program atau undang-undang yang terpakai.
7. Salah nyata atau penipuan. Memalsukan langkah pengulangan semula, bukti, tarikh penemuan, atau identiti.

Nota.

• Pelucuthakan boleh separa (ganjaran dikurangkan) atau penuh ($0).
• Laporan yang disahkan yang dilucuthakkan kerana salah laku tidak layak semula untuk penemuan yang sama.
• Terma ini terpakai dari saat penghantaran dan dinyatakan semula dalam notis penerimaan yang dihantar apabila laporan diterima.

Untuk Menghantar Laporan

Sila lawati: https://api.scribblemaps.com/vulnerabilities

Laman web ini juga menyertakan arahan tentang cara menghantar laporan melalui AI. Anda mesti log masuk untuk menghantar laporan.

Perkara undang-undang

Kami tidak dapat memberikan ganjaran kepada individu yang berada dalam senarai sekatan, atau yang berada di negara (cth. Cuba, Iran, Korea Utara, Sudan dan Syria) yang berada dalam senarai sekatan. Anda bertanggungjawab ke atas sebarang implikasi cukai bergantung pada negara kediaman dan kewarganegaraan anda. Mungkin terdapat sekatan tambahan ke atas keupayaan anda untuk menyertai bergantung pada undang-undang tempatan anda.

Ini bukan pertandingan, sebaliknya program ganjaran yang eksperimental dan mengikut budi bicara. Anda hendaklah memahami bahawa kami boleh membatalkan program pada bila-bila masa, dan keputusan sama ada untuk membayar ganjaran atau tidak adalah sepenuhnya mengikut budi bicara kami.

Sudah tentu, ujian anda tidak boleh melanggar sebarang undang-undang, atau mengganggu atau menjejaskan sebarang data yang bukan milik anda.