Scribble Maps-ы æххуысы центр
Æвзаг баивын

Осебӕстӕ ӕмӕ бонтӕ (Vulnerabilities And Bounties)

Мах бонтӕ дӕттӕм ссарӕн осебӕстӕн кӕнӕ ӕдасдзинады хӕццӕ баст фадӕттӕн. Цӕмӕй бон райсай, уый тыххӕй ацы ныхӕстӕ раст уӕвын хъӕуы.

#1 Осебӕстӕ уникалон хъуамӕ уа 
Хабар цалдӕр хатты куы райсӕм, уӕд фыццаг хабар ӕрвитӕг бон райсдзӕн. Мах нӕ фӕнд ӕргомӕй, уӕд ӕндӕр хабар ӕрвитӕгӕн дӕр цыбыр ӕфсад бон радтӕм, цӕмӕй фӕстӕмӕ ссарын цӕуа.

#2 Осебӕстӕ ногӕй равдисӕн хъуамӕ уа
Мах бон нӕ дӕттӕм ӕндӕр осебӕстӕн, кӕй ногӕй равдисӕн нӕй. Мах бон нӕ дӕттӕм YouTube видеотӕн дӕр, кӕд ӕнӕ ногӕй равдисӕн осебӕстӕ равдисынц.

#3 Рӕхыс ныхас (attack scenario) хъуамӕ уа
Рӕхыс махӕн системӕтӕй дӕр хъуамӕ гӕнен уа. Дӕ хорзӕхӕй, дзур ацы гӕнен тыххӕй. Цӕвиттон, махӕн API-йы пайда кӕнын ӕмӕ фыццаг зындгонд скриптӕ ныффыссын нӕ ахъаз кӕндзӕн, уымӕн ӕмӕ уый ӕндӕр нӕу, ӕрмӕст ӕндӕр фарс ныффыссын зындгонд скриптӕимӕ.
 

Категори Цӕвиттонтӕ Bounty
Remote code execution Командовани injection, deserialization bugs, sandbox escapes $200 – $800
Unrestricted file system or database access SQL injection, arbitrary file read/write $500 – $2,000
Logic flaw bugs leaking or bypassing significant security controls Direct object reference, privilege escalation, remote user impersonation, account takeover $200 – $1,000
Картӕ Ӕдасдзинад vulnerabilities Improper map exposure, secure-map data leak $100 – $500
Execute code on the client Stored XSS, reflected XSS $100 – $500
Ӕндӕр valid security vulnerabilities CSRF, clickjacking, info disclosure, open redirect $25 – $200

Бонты бӕрц куыд бӕрцӕй цӕуы

Хӕр категори алкӕмӕн дӕр йӕхи ахъаз ӕмбӕлц ис. Раст хабар йӕ ӕмбӕлцы кӕм уыд, уый аразгӕ ӕртӕ хӕйыл ӕвзӕры:

Ӕфсад, цы хъуы ӕфсӕддонӕн. Ӕнӕ аутентификаци осебӕстӕ ӕмбӕлцы сӕрты. Аутентификаци ӕххуырст пайдагӕнӕг хъавд осебӕстӕ ӕмбӕлцы астӕу. Хицаудзинады контекст хъавд осебӕстӕ (team admin, team owner, paid plan, internal staff) ӕмбӕлцы бынӕй.

Blast radius. Осебӕстӕ, цы алы пайдагӕнӕгыл кӕнӕ алы Картӕйыл ӕфты, уыдон фылдӕр бон дӕттынц, уымӕй, цы иу акаунтыл кӕнӕ иу командӕйыл ӕфты, цы командӕйы рӕхыс кӕнӕг ӕдзынӕг уыд.

Reversibility. Зиян, цы пайдагӕнӕг нормалон фадӕтты фӕрцы фӕстӕмӕ аразы (цӕвиттон, пароль ног кӕнын), уый ӕндӕр бон дӕттӕм, уымӕй, цы ныййарӕг кӕны кӕнӕ махӕн хи ӕфсад хъуы фӕстӕмӕ аразынӕн.

Хабар хорзӕй фыст дӕр ахъаз кӕны. Ӕргом фыст, кусӕг proof of concept-имӕ, root-cause analysis-имӕ ӕмӕ фӕстӕмӕ аразыны маст-имӕ ӕмбӕлцы сӕрмӕ ӕнӕхӕлӕг дӕр хӕццӕ кӕны, кӕд технически зиян ӕрмӕст астӕу ӕмбӕлцы уыдтаид, уӕддӕр. Ӕнӕ хорзӕй кӕнӕ ӕнӕ ӕцӕг хабар бынӕй райсдзӕн.

Ӕнӕ ӕмбӕлцы

Ацы ныхӕстӕн bounty нӕ дӕттӕм:

Анонимон иумӕйаг Картӕтӕ. Картӕтӕ ӕнӕ ныййарӕг, цы алкӕй дӕр фӕивӕн ис, уыдон бирӕ азты размӕ иумӕйаг фадат сты. Анонимон Картӕйыл ӕфснайын осебӕстӕ нӕу.

Ӕрвитӕнмӕ гӕсгӕ (URL-as-credential) Картӕтӕ. Картӕтӕ LockView-ӕй ӕнӕ ӕнӕ хъӕугӕ сты, цы URL зонӕг алкӕмӕн дӕр ӕргомӕй ис, YouTube-ы ӕрвитӕнмӕ гӕсгӕ видео хуызӕн. Ахӕм Картӕмӕ бацӕуын кӕнӕ ӕфснайын, йӕ картӕйы код зонгӕйӕ, йӕ нысаниуӕг у.

Фӕстӕг-рӕстӕг программӕйы фадат, цы мах нӕ хӕцӕм, ӕрмӕст нӕ хӕдзарон. GeoServer, Tomcat кӕнӕ ӕндӕр фӕстӕг-рӕстӕг стек, цы махӕн сервисты хӕццӕ ӕрӕвӕрд ис. Дӕ хорзӕхӕй, уыдон тыххӕй ӕндӕр хицауӕн хабар ӕрвит.

Ӕдасдзинады хедерты ӕнӕ ӕмбӕлцы рӕхыс. CSP, X-Frame-Options, HSTS ӕмӕ ацы хуызӕн хабар, ӕнӕ кусӕг exploit, бон нӕ дӕттӕм.

Rate limiting ӕрмӕст иугонд. Rate limiting-ы ӕнӕ кӕй, кӕм rate limiting ӕдасдзинадӕн ахсджиаг нӕу, ӕнӕ равдыст ӕфхӕрды рӕхыс.

AI-ы пайда

Мах AI-ӕй пайда кӕнӕм фыццаг validation-ӕн (triaging). Ӕгас хатты рӕдыд кӕны; алы хабар дӕр адӕймагӕй ӕркӕсӕм, ӕххӕст, кӕд дӕхи хъуыдымӕ гӕсгӕ AI фыццаг стыр рӕдыд кодта, уӕд хабармӕ Фиппаинӕгтӕ бафтау, фылдӕр контекстимӕ ӕмӕ ӕндӕр..compromise any

Burp-ы пайда / Endpoints

Мах ӕнцон scan-ӕн Burp хуызӕн фадӕттӕ пайда кӕнӕм. Мах ӕнхъӕлы дӕр, ацы scan-тӕ махыл ма кӕн, уымӕн ӕмӕ мингай дзуаппытӕ махӕн серверты зынгӕ уӕрдӕг ӕфты. 

Дӕ рӕстӕг фӕкъаддӕр кӕныны тыххӕй ацы endpoints дын ис: 

https://www.scribblemaps.com/ 
(Scan куы кӕнис, уӕд /maps/ фӕт блок кӕн, уымӕн ӕмӕ уый scanner-тӕ ӕнӕ кӕрон ӕрфыстмӕ ӕрвитдзӕн) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Пайсӕнтӕ

Пайсӕнты рӕстӕгыл нӕ дӕттӕм ӕнӕ гарантитӕ. Мах мӕйы бюджет аразӕм, зынгӕ рӕдыдтӕ ӕгъдау фыццаг дӕттӕм. Пайсӕнтӕ ӕрмӕст wise кӕнӕ paypal-ӕй кӕнӕм.
 

Bounty ныуӕдзын

Хабар бӕлвырд кӕнын кӕнӕ райсын ӕрмӕст бонӕн ӕмбӕлд сфӕлдыстӕм, ӕнӕ уыцы бон райсыны ӕнӕ ныхас нӕу. ScribbleMaps ныййарӕгӕн bounty ӕгас кӕнӕ ӕххӕст хӕйы бынӕй фӕкъаддӕр кӕнын кӕнӕ ныуӕдзын кӕна, кӕд ӕфсӕддонӕн йӕ ӕгъдау ацы ныхӕстӕ кӕнӕ хорз ӕнӕ ӕнӕ хицауы иумӕйаг ӕргом дзурын принципты ныхмӕ у. Ныуӕдзын ScribbleMaps-ы фӕнды сӕрмӕ ис; бындур хабармӕ фыст цӕуы ӕмӕ ӕфсӕддонӕн ӕргом кӕнын цӕуы.

Bounty, цы иннӕ хуызы дӕттӕн уыдаид, ацы бындуртӕй ӕппӕлдзӕн:

  1. Размӕ кӕнӕ тӕссаг ӕргом дзурын. Осебӕстӕ тыххӕй ӕргомӕй, фӕстӕг фарсты хӕццӕ кӕнӕ медиа/социалон каналтӕй дзурын — кӕнӕ уымӕй тӕссаг кӕнын — ScribbleMaps-ы осебӕстӕ ӕнӕ ӕрлӕууын ӕмӕ ӕргом дзурын ӕнӕ ӕрвитыны размӕ. Координацидзаг ӕргом дзурын программӕйы уавӕр у.
  2. Ӕфхӕрд, extortion кӕнӕ харассмент. Ӕнӕ ӕргом дзурын пайсӕн ӕмбӕлцы ӕрлӕууын; кусджыты тӕссаг кӕнын кӕнӕ ӕфхӕрд; кӕнӕ support, billing кӕнӕ хабар ӕрвитӕджы каналтӕй ӕвзӕр ӕмӕ бирӕ хатты пайсӕн ӕнӕ ӕфхӕрд. Бонты статусы фарстытӕ bounty портал-ӕй кӕнын хъӕуы, ScribbleMaps ӕй дзуапп дӕтдзӕн.
  3. Цалдӕр кӕнӕ дыууӕ идентификаци. Иу ӕфсӕддонӕн цалдӕр акаунт кӕнӕ хӕцын, кӕнӕ ӕнӕ хицау акаунтты бонтӕ иу пайсӕнты адрес бӕстӕ ӕрвитын, цӕмӕй хабарты бӕрц кӕнӕ бонтӕ фылдӕр кӕной.
  4. Коллюзи кӕнӕ аразгӕ ссарӕнтӕ. Акаунтты хӕццӕ хабарты ӕмбырд кӕнын, ӕндӕр ӕфсӕддоны акаунт кӕнӕ Картӕтӕ proof of concept-ы “victim” хуызы пайда кӕнын, кӕнӕ продукт цы дзаумӕ нӕ арын, ахӕм data-ы уавӕр аразын ӕмӕ уый фӕстӕ уыцы data leak хуызы ӕрвитын.
  5. Ӕнӕ хъаст кӕнӕ автоматон спам. Автоматон scanner-ы цӕугӕ, ӕнӕ ног library/CVE нымӕцтӕ кӕнӕ зындгонд ӕнӕ ӕмбӕлцы ныхӕстӕ (кӕс Ӕнӕ ӕмбӕлцы) массон хабарты ӕрвитын, ӕнӕ равдыст, ScribbleMaps-ы фадат exploit.
  6. Зиянгӕнӕг кӕнӕ ӕнӕ закъон тестирование. Ӕндӕр пайдагӕнӕгты data-мӕ бацӕуын, ивын кӕнӕ раскъӕфын, ӕгас равдисынӕн цы хъӕуы, уымӕй фылдӕр; сервис зиян кӕнын кӕнӕ ныхъхъус кӕнын; кусджыты кӕнӕ пайдагӕнӕгты социалон инженерия; кӕнӕ программӕйы масштаб кӕнӕ ацы закъонӕй ӕнӕ дзурӕн цыфӕнды фадат.
  7. Ӕнӕ рӕстӕй дзурын кӕнӕ фыдгӕнӕн. Ногӕй равдисыны фӕндтӕ, ӕвдисӕнтӕ, ссарыны бонтӕ кӕнӕ идентификацийы ӕнӕ ӕцӕг кӕнын.

Фиппаинӕгтӕ.

  • Ныуӕдзын хӕйыл (фӕкъаддӕр бон) кӕнӕ ӕгас ($0) уыдзӕн.
  • Бӕлвырд хабар, цы ӕнӕ хорз ӕгъдауы тыххӕй ныуӕдзын ис, ацы ссарӕнӕн дӕр нал ӕмбӕлы.
  • Ацы ныхӕстӕ ӕрвитыны афонӕй цӕуынц ӕмӕ хабар райсыны рӕстӕг ӕрвитгӕ ӕнӕ ӕфтыд хабармӕ ногӕй фыст сты.

Хабар ӕрвитынӕн

Дӕ хорзӕхӕй, ӕрцу: https://api.scribblemaps.com/vulnerabilities

Сайтыл ис AI-ӕй хабар ӕрвитыны инструкцитӕ дӕр. Хабар ӕрвитынӕн хъуамӕ бацӕуай.

Закъонон нысантӕ

Мах бонтӕ нӕ дӕттӕм адӕймӕгтӕн, цы санкциты номхыгъдӕй ис, кӕнӕ уыдон бӕстӕты (цӕвиттон, Кубӕ, Иран, Цӕгат Корей, Судан ӕмӕ Сири), цы санкциты номхыгъдӕй сты. Дӕ бӕстӕйы цӕрӕны ӕмӕ гражданствойы фӕдыл алы налогон ӕнӕ ӕмбӕлцы хъуамӕ хицау уай. Дӕ бӕстӕйы закъонмӕ гӕсгӕ дӕумӕ ӕндӕр хъаздзинӕдтӕ дӕр уыдзысты.

Уый нӕу конкурс, фӕлӕ экспериментон ӕмӕ дискреционон бонты программӕ. Дӕ хъуамӕ ӕмбарай, мах программӕ цыфӕнды афоны кӕнӕм ныххатыр кӕнӕн, ӕмӕ бон дӕттын кӕнӕ нӕ, уый тыххӕй ныхас ӕгас махӕн хӕйы фӕнд у.

Ӕмӕ дӕ тестирование ӕнӕ ӕнӕ закъоны ныхмӕ кӕнӕ дӕхи нӕ data-йы ӕфты кӕнӕ ӕнӕ ӕфтыд хъуамӕ нӕ уа.

Фæстаг ног кæнынад