कमजोरीहरू र इनामहरू
हामी पत्ता लागेका कमजोरी वा सुरक्षासँग सम्बन्धित समस्याहरूमा इनाम दिन्छौं। इनाम पाउनका लागि निम्न कुराहरू सत्य हुनुपर्छ।
#१ कमजोरी अद्वितीय हुनुपर्छ
यदि हामीले धेरै रिपोर्टहरू प्राप्त गर्यौं भने, सबैभन्दा पहिले रिपोर्ट गर्नेले इनाम पाउनेछ। भविष्यमा थप खोजलाई प्रोत्साहित गर्न हामीले आफ्नो विवेकमा नाममात्रको द्वितीय सूचना शुल्क दिन सक्छौं।
#२ कमजोरी पुनः उत्पादन गर्न सकिने हुनुपर्छ
पुनः उत्पादन गर्न नसकिने कुनै पनि कमजोरीको लागि हामी भुक्तानी गर्दैनौं। पुनः उत्पादन गर्न नसकिने कमजोरी प्रदर्शन गर्ने YouTube भिडियोहरूमा हामी इनाम दिँदैनौं।
#३ आक्रमणको परिदृश्य हुनुपर्छ
आक्रमणमा हाम्रा प्रणालीहरू मार्फत वितरण गर्ने क्षमता हुनुपर्छ। कृपया वितरण क्षमताको व्याख्या गर्नुहोस्। उदाहरणका लागि, हाम्रो API को प्रयोग गरेर हानिकारक स्क्रिप्टहरू लेख्नुलाई मान्य गरिने छैन किनभने त्यो हानिकारक स्क्रिप्ट भएको पृष्ठ लेख्नुभन्दा फरक हुँदैन।
| श्रेणी | उदाहरणहरू | इनाम |
| रिमोट कोड कार्यान्वयन | कमान्ड इन्जेक्सन, डिसिरियलाइजेसन बगहरू, स्यान्डबक्स एस्केपहरू | $200 – $800 |
| अनिर्बन्ध फाइल प्रणाली वा डाटाबेस पहुँच | SQL इन्जेक्सन, अनियन्त्रित फाइल पढ्ने/लेख्ने | $500 – $2,000 |
| महत्त्वपूर्ण सुरक्षा नियन्त्रणहरू चुहावट वा बाइपास गर्ने लजिक त्रुटि बगहरू | प्रत्यक्ष वस्तु सन्दर्भ, विशेषाधिकार वृद्धि, रिमोट प्रयोगकर्ता नक्कल, खाता कब्जा | $200 – $1,000 |
| नक्सा सुरक्षा कमजोरीहरू | अनुचित नक्सा एक्सपोजर, सुरक्षित नक्सा डाटा चुहावट | $100 – $500 |
| क्लाइन्टमा कोड कार्यान्वयन गर्ने | Stored XSS, reflected XSS | $100 – $500 |
| अन्य वैध सुरक्षा कमजोरीहरू | CSRF, क्लिकज्याकिङ, जानकारी प्रकटीकरण, खुला रिडिरेक्ट | $25 – $200 |
इनामको रकम कसरी निर्धारण गरिन्छ
माथिको प्रत्येक श्रेणीको भुक्तानी दायरा हुन्छ। कुनै वैध रिपोर्ट त्यो दायराभित्र कहाँ पर्छ भन्ने कुरा तीन कारकहरूमा निर्भर गर्दछ:
शोषण गर्न आवश्यक विशेषाधिकार। प्रमाणीकरण नचाहिने बगहरू दायराको माथिल्लो भागमा पर्छन्। प्रमाणीकृत प्रयोगकर्ता चाहिने बगहरू बीचमा पर्छन्। विशेषाधिकारप्राप्त सन्दर्भ (टोली एडमिन, टोली मालिक, सशुल्क योजना, आन्तरिक कर्मचारी) चाहिने बगहरू तल्लो भागमा पर्छन्।
प्रभावको दायरा। सबै प्रयोगकर्ता वा सबै नक्साहरूलाई असर गर्ने कमजोरीहरूले एउटै खाता वा आक्रमणकारी पहिल्यै सदस्य रहेको एउटै टोलीलाई असर गर्ने कमजोरीहरूभन्दा बढी इनाम पाउँछन्।
उल्टाउन सकिने क्षमता। प्रभावित प्रयोगकर्ताले सामान्य प्रक्रियाहरू (उदाहरणका लागि, पासवर्ड रिसेट) मार्फत पूर्ववत गर्न सक्ने क्षतिले कम इनाम पाउँछ, जबकि रहिरहने वा पूर्ववत गर्न हाम्रो हस्तक्षेप चाहिने क्षतिले बढी इनाम पाउँछ।
रिपोर्टको गुणस्तरले पनि फरक पार्छ। कार्यरत प्रूफ अफ कन्सेप्ट, मूल कारण विश्लेषण र समाधानको सुझावसहित स्पष्ट लेखोटले प्राविधिक प्रभाव मात्रले मध्यम दायरामा पार्ने अवस्थामा पनि दायराको शीर्ष भाग कमाउन सक्छ। लापरवाही वा अनुमानमा आधारित रिपोर्टहरूले तल्लो भाग पाउन सक्छन्।
दायराबाहिर
निम्न कुराहरू इनामको लागि योग्य छैनन्:
अज्ञात सामुदायिक नक्साहरू। कुनै मालिक नभएका र जोसुकैले सम्पादन गर्न सक्ने नक्साहरू लामो समयदेखिको सामुदायिक सुविधा हुन्। अज्ञात नक्सामाथि सेभ गर्नु कमजोरी होइन।
असूचीबद्ध (Unlisted) (URL नै प्रमाणपत्र हुने) नक्साहरू। LockView नभएका नक्साहरू असूचीबद्ध YouTube भिडियो जस्तै URL थाहा हुने जोसुकैले पहुँच गर्न सक्ने गरी जानाजानी बनाइएका हुन्। नक्साको कोड थाहा पाएर त्यस्तो नक्सा पहुँच गर्नु वा सेभ गर्नु डिजाइन अनुसारकै हो।
हामीले होस्ट गर्ने तर मर्मत नगर्ने तेस्रो पक्षको सफ्टवेयर। हाम्रा सेवाहरूसँगै तैनाथ गरिएका GeoServer, Tomcat वा अन्य तेस्रो पक्षका स्ट्याकहरूका समस्याहरू। कृपया यी सम्बन्धित अपस्ट्रिम मर्मतकर्ताहरूलाई रिपोर्ट गर्नुहोस्।
ठोस आक्रमण परिदृश्यबिना हराइरहेका सुरक्षा हेडरहरू। कार्यरत एक्स्प्लोइटबिना CSP, X-Frame-Options, HSTS आदिबारे रिपोर्टहरू योग्य छैनन्।
एक्लै रेट लिमिटिङ। रेट लिमिटिङ सुरक्षाको दृष्टिले महत्त्वपूर्ण नभएका एन्डप्वाइन्टहरूमा, दुरुपयोगको प्रदर्शित परिदृश्यबिना, रेट लिमिटिङको अभाव।
AI को प्रयोग
हामी ट्राइएजका लागि प्रारम्भिक प्रमाणीकरण गर्न AI को प्रयोग गर्छौं। यसले कहिलेकाहीँ गल्ती गर्छ; हामी प्रत्येकको मानवीय समीक्षा गर्छौं, तर यदि तपाईंलाई AI ले सुरुमा ठूलो गल्ती गरेको लाग्छ भने, थप सन्दर्भ आदिसहित पेशीमा टिप्पणी थप्नुहोस्..compromise any
Burp को प्रयोग / एन्डप्वाइन्टहरू
हामी छिटो स्क्यानका लागि burp जस्ता उपकरणहरू प्रयोग गर्छौं। हामीमाथि यस्ता स्क्यानहरू नगर्न हामी सामान्यतया रुचाउँछौं किनभने हजारौं अनुरोधहरू पठाउँदा हाम्रा सर्भरहरूमा अनावश्यक भार पर्छ।
तपाईंको केही समय जोगाउन यहाँ केही एन्डप्वाइन्टहरू छन्:
https://www.scribblemaps.com/
(यदि तपाईंले स्क्यान गर्नुभयो भने /maps/ पथ ब्लक गर्नुहोस् किनभने यसले स्क्यानरहरूलाई अनावश्यक जालमा पार्छ)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
भुक्तानी
भुक्तानीको समयसीमामा कुनै ग्यारेन्टी छैन। हामी मासिक बजेट छुट्याउँछौं, र गम्भीर समस्याहरूले सधैं पहिले भुक्तानी पाउँछन्। हामी भुक्तानी wise वा paypal मार्फत मात्र गर्छौं।
इनाम जफत
रिपोर्टलाई प्रमाणित वा स्वीकार गर्नुले इनामको लागि योग्यता स्थापित गर्छ, इनामको बिना शर्त हक होइन। कुनै अनुसन्धानकर्ताको आचरणले यी शर्तहरू वा असल नियतको समन्वित प्रकटीकरणका सिद्धान्तहरू उल्लङ्घन गरेमा ScribbleMaps ले इनाम पूर्ण वा आंशिक रूपमा घटाउन वा रोक्न सक्छ। जफत ScribbleMaps को विवेकमा हुन्छ; कारण रिपोर्टमा अभिलेख गरिन्छ र अनुसन्धानकर्तालाई जानकारी दिइन्छ।
अन्यथा भुक्तानीयोग्य इनाम निम्न कुनै पनि कारणले जफत हुन सक्छ:
- समयपूर्व वा धम्कीपूर्ण सार्वजनिक प्रकटीकरण। ScribbleMaps ले समस्या समाधान गरी प्रकटीकरणको अनुमति दिनुअघि कमजोरीलाई सार्वजनिक रूपमा, तेस्रो पक्षहरूलाई, वा मिडिया/सामाजिक च्यानलहरू मार्फत प्रकट गर्नु — वा प्रकट गर्ने धम्की दिनु। समन्वित प्रकटीकरण कार्यक्रमको एउटा शर्त हो।
- जबरजस्ती, जबरजस्ती असुली, वा उत्पीडन। प्रकट नगर्ने कुरालाई भुक्तानीसँग सर्तबद्ध गर्नु; कर्मचारीलाई धम्क्याउनु वा दबाब दिनु; वा भुक्तानी माग्न बारम्बार वा अपमानजनक रूपमा सहयोग, बिलिङ वा रिपोर्टर च्यानलहरूको प्रयोग गर्नु। इनामको अवस्थाबारे प्रश्नहरू बाउन्टी पोर्टल मार्फत उठाइनुपर्छ, जसको जवाफ ScribbleMaps ले दिनेछ।
- धेरै वा नक्कली पहिचानहरू। पेशीको संख्या वा इनाम बढाउन एकभन्दा बढी अनुसन्धानकर्ता खाता सञ्चालन गर्नु, वा फरक खाताहरूका इनामहरू साझा भुक्तानी ठेगानामा पठाउनु।
- मिलोमतो वा बनावटी निष्कर्षहरू। खाताहरूबीच पेशीहरू समन्वय गर्नु, प्रूफ अफ कन्सेप्टमा अर्को सहभागीको खाता वा नक्साहरूलाई “पीडित” का रूपमा प्रयोग गर्नु, वा उत्पादनले उत्पन्न गर्न नसक्ने डाटा अवस्था बनाएर त्यसबाट निस्केको डाटालाई चुहावटका रूपमा उद्धृत गर्नु।
- कम प्रयास वा स्वचालित स्प्याम। स्वचालित स्क्यानर आउटपुट, पुराना लाइब्रेरी/CVE सूचीहरू, वा ज्ञात दायराबाहिरका बुँदाहरू (दायराबाहिर हेर्नुहोस्) को ScribbleMaps-विशिष्ट, प्रदर्शित एक्स्प्लोइटबिना बल्क पेशी।
- हानिकारक वा गैरकानुनी परीक्षण। समस्या प्रदर्शन गर्न आवश्यक न्यूनतमभन्दा बढी अन्य प्रयोगकर्ताहरूको डाटा पहुँच गर्नु, परिवर्तन गर्नु वा निकाल्नु; सेवा बिगार्नु वा अस्वीकार गर्नु; कर्मचारी वा प्रयोगकर्ताहरूमाथि सोसियल इन्जिनियरिङ गर्नु; वा कार्यक्रमको दायरा वा लागू कानुनले निषेध गरेको कुनै पनि गतिविधि।
- गलत प्रस्तुति वा ठगी। पुनः उत्पादनका चरणहरू, प्रमाण, पत्ता लगाइएको मिति, वा पहिचान जालसाजी गर्नु।
टिप्पणीहरू।
- जफत आंशिक (घटाइएको इनाम) वा पूर्ण ($0) हुन सक्छ।
- दुराचारका कारण जफत भएको प्रमाणित रिपोर्ट सोही निष्कर्षका लागि पुनः योग्य हुँदैन।
- यी शर्तहरू पेश गरेको क्षणदेखि लागू हुन्छन् र रिपोर्ट स्वीकार गर्दा पठाइने स्वीकृति सूचनामा पुनः उल्लेख गरिन्छन्।
रिपोर्ट पेश गर्न
कृपया भ्रमण गर्नुहोस्: https://api.scribblemaps.com/vulnerabilities
साइटमा AI मार्फत रिपोर्ट कसरी पेश गर्ने भन्ने निर्देशनहरू पनि समावेश छन्। रिपोर्ट पेश गर्न तपाईंले लगइन गर्नुपर्छ।
कानुनी बुँदाहरू
हामी प्रतिबन्ध सूचीमा रहेका व्यक्तिहरू, वा प्रतिबन्ध सूचीमा रहेका देशहरू (जस्तै क्युबा, इरान, उत्तर कोरिया, सुडान र सिरिया) मा रहेकाहरूलाई इनाम जारी गर्न सक्दैनौं। तपाईंको बसोबास र नागरिकताको देश अनुसार कुनै पनि कर प्रभावका लागि तपाईं नै जिम्मेवार हुनुहुन्छ। तपाईंको स्थानीय कानुन अनुसार भाग लिने तपाईंको क्षमतामा थप प्रतिबन्धहरू हुन सक्छन्।
यो प्रतियोगिता होइन, बरु एक प्रयोगात्मक र विवेकाधीन इनाम कार्यक्रम हो। तपाईंले बुझ्नुपर्छ कि हामीले कार्यक्रम जुनसुकै बेला रद्द गर्न सक्छौं, र इनाम दिने वा नदिने निर्णय पूर्ण रूपमा हाम्रो विवेकमा हुनुपर्छ।
अवश्य पनि, तपाईंको परीक्षणले कुनै कानुनको उल्लङ्घन गर्नु हुँदैन, वा तपाईंको आफ्नो नभएको कुनै पनि डाटामा अवरोध वा सम्झौता गर्नु हुँदैन।
पछिल्लो अपडेट