Sihkkarvuođa heajoštumit ja bounty-buhtadusat

Mii máksit bounty-buhtadusa gávnnahuvvon sihkkarvuođa heajoštumiid dahje sihkkarvuhtii laktáseaddji ášsiid ovddas. Vai oažžu buhtadusa, fertejit čuovvovaš eavttut deavdot.

#1 Heajoštupmi ferte leat ovttaskas 
Jus mii vuostáiváldit máŋgga dieđuštusa, de vuosttaš dieđušteaddji oažžu bounty-buhtadusa. Mii sáhttit, iežamet mielas, máksit unnán nuppi dieđuštusa buhtadusaid movttiidahttin dihte boahttevaš gávnnahemiid.

#2 Heajoštupmi ferte leat ruovttoluotta duddjojuvvon
Mii eat mávsse heajoštumiid ovddas maid ii sáhte ruovttoluotta duddjot. Mii eat mávsse bounty-buhtadusaid YouTube-videoid ovddas mat čájehit heajoštumi mii ii sáhte ruovttoluotta duddjot.

#3 Ferte leat fievrridanskenário
Cuhkkáneapmi ferte sáhttit leavvat min vuogádagaid bokte. Čilge leavvanvejolašvuođa. Ovdamearkka dihte, min API:a anuheapmi ja dasto bahá-skriptaid čállin ii lohkkaluvvo, go dat ii leat earálágan go čállit siidu bahá-skriptaiguin.
 

Mo bounty-sturrodagat mearriduvvojit

Juohke bajábeale kategoriijas lea máksinráddjehus. Gos gustovaš dieđuštus oažžu saji ráddjehusas, dat sorjá golmma beliin:

Priviliehtta mii dárbbašuvvo geavahit heajoštumi. Bugat mat eai gáibit sisaloggema oažžut bajimus oasi ráddjehusas. Bugat mat gáibidit sisaloggejuvvon geavaheaddji oažžut gaskkas. Bugat mat gáibidit priviliedjejuvvon oktavuođa (team admin, team owner, máksolaš plána, siskkáldas bargit) oažžut vuolimus oasi.

Vahágahttináigodat. Heajoštumit mat váikkuhit juohke geavaheaddjái dahje juohke kártii mávsset eambbo go heajoštumit mat váikkuhit ovttaskas dilálašvuhtii dahje ovttaskas joavkui masa cuhkkáneaddji juo gullá.

Máhcahanvejolašvuohta. Vahát maid váikkuhuvvon geavaheaddji sáhttá máhcahit dábálaš bargovugiiguin (ovdamearkka dihte, beassansátni ođasmuhttin) mávssá unnit go vahát mii bissu dahje mii gáibida min veahki máhcahit.

Dieđuštusa kvalitehta maiddái váikkuha. Čielggas čálus mas lea doaibmi proof of concept, ruohttasanalysa ja divvunevttohus sáhttá oažžut bajimus oasi ráddjehusas vaikko teknihkalaš váikkuhus áhpásit livččii gaskkas. Fuones dahje gáržidis dieđuštusat sáhttet oažžut vuolimus oasi.

Olggobealde sisdoalu

Čuovvovaččat eai gula bounty-buhtadussii:

Anonyma searvvušgártát. Gárttat main ii leat oamasteaddji ja maid juohke olmmoš sáhttá rievdadit leat guhkes áigge searvvuša ovdamearka. Anonyma kárta badjelii vurkken ii leat heajoštupmi.

Listemeahttun (URL-as-credential) gárttat. Gárttat mat eai leat LockView:in leat ulbmillaččat olámuddui juohke olbmui guhte diehtá URL:a, seammaláhkai go listemeahttun YouTube-video. Dákkár kárta olahit dahje vurkkehit go diehtá kárta koda lea ulbmillaš.

Goalmmátoasi software maid mii hostet muhto eat hálddat. Čuolmmat GeoServer:is, Tomcat:is dahje eará goalmmátoasi vuogádagain mat leat min bálvalusaid bálddas. Dieđit dáid dain geatnegahtton upstream-hálddašeddjiide.

Váilevaš sihkkarvuođa headerat vuos konkrehtalaš cuhkkáneami skenárioid haga. Dieđuštusat CSP:a, X-Frame-Options:a, HSTS:a jna. birra doaibmi exploit haga eai leat buhtadusa gullevaččat.

Rate limiting okto. Rate limiting váilun endpointain gos rate limiting ii leat sihkkarvuhtii dehálaš, vuos čájehuvvon geavaheapmi haga.

AI geavaheapmi

Mii geavahit AI:a álggu dárkkistemiid dahkat triaging várás. Dat muhtumin dahká meattáhusaid, mii dahkat olmmošlaš árvvoštallamiid juohke dieđuštusas, muhto jus jurddašat AI:a leat dahkan stuora meattáhusa álggus, lasit čilgehusa dieđuštussii eará oktavuođain jna..compromise any

Burp geavaheapmi / Endpointat

Mii geavahit reaiddut nugo burp jođánis skennemiidda. Mii dábálaččat eaktudit ahte it dahkke dáid skennemiid min vuostá, go duhátlogi sohppiid sádden dahká dárbbašmeahttun lasi min serveriidda. 

Vai ealáskahtát muhtun áiggi, dás muhtun endpointat: 

https://www.scribblemaps.com/ 
(Jus skennet, gieldde /maps/ čielggadanmuora, go dat sádde skennerid jorbbas čuolbmii) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Máksimat

Eai leat sihkkarvuođat máksináiggiid birra. Mii mearridit mánnosaš bušeahta, ja garra ášsit máksojuvvojit álo vuosttažettiin. Mii dahkat máksimiid dušše wise dahje paypal bokte.
 

Bounty massin

Dieđuštusa dohkkeheapmi ásahuvvo gelbbolašvuođa buhtadussii, ii ráddjemeahttun vuoigatvuohta dasa. ScribbleMaps sáhttá unnidit dahje doalahit bounty:a ollásit dahje oasi go dutkki doaibma rihkku dáid eavttuid dahje buori jáhkku koordinerejuvvon almmuheami prinsihpaid. Massin lea ScribbleMaps:a mielas; sivva merkejuvvo dieđuštussii ja ámmáhuvvo dutkkiide.

Bounty mii muđui livččii máksojuvvon sáhttá massot dáid ovddas:

1. Ovdalaš dahje áitojuvvon almmolaš almmuheapmi. Heajoštumi almmuheapmi — dahje almmuheami áitin — almmolaččat, goalmmát oassálastiide dahje media/sosiála kanálaid bokte ovdal go ScribbleMaps lea divvun ášši ja lobi addán almmuheapmái. Koordinerejuvvon almmuheapmi lea prográmma eaktu.
2. Bággen, goargŋun dahje givssideapmi. Almmuheamis eahpáiggi eaktun máksima; bargiid áitin dahje bákkan; dahje doarjaga, fakturemiid dahje dieđuštedđiid kanálaid geavaheapmi máŋgii dahje givssideaddji vugiin máksima gáibideapmái. Buhtadusa dili gažaldagat galget fievrriduvvot bounty-portála bokte, masa ScribbleMaps vástida.
3. Máŋga dahje duplikáhta identitehta. Eambbo go ovtta dutkkiid kontu doaimmaheapmi, dahje máksimiid ruhtadeapmi sierra kontuide oktasaš máksinčujuhussii, vai lasihit sáddemiid mearrá dahje buhtadusaid.
4. Ovttasbargu dahje bargojuvvon gávnnahusat. Sáddemiid koordineren kontuid gaskkas, nuppi oassálasti konto dahje gárttaid geavaheapmi “vahágahttojuvvon” dilis proof of concept:as, dahje diehtodili duddjon maid buvttadus ii sáhte buvttadit ja dasto das boahtti diehtu namahuvvo vuotkin.
5. Unnán bargu dahje automáhtalaš spam. Automáhtalaš skanneriid bohtosiid, boares-girjerádjosiid/CVE-listtuid dahje dovddus olggobealde sisdoalu ášsiid (geahča Olggobealde sisdoalu) ollu sáddemat ilá čájehuvvon, ScribbleMaps-spesifihkalaš exploit haga.
6. Vahágahtti dahje lágaládje testen. Eará geavaheddjiid dieđuid olaheapmi, rievdadeapmi dahje sirdin eambbo go lea unnimus dárbbašlaš ášši čájehit; bálvalusa heajudahttin dahje biehttalit; bargiid dahje geavaheddjiid sosiála manipuleren; dahje juohke doaibma maid prográmma ráddjehus dahje gustovaš láhka gieldá.
7. Boasttu čilgen dahje bázahus. Ruovttoluotta duddjoma lávkkiid, duođaštusaid, gávnnahanbeivviid dahje identitehta falskkastuvvan.

Mearkkašumit.

• Massin sáhttá leat oasálaš (unnidan buhtadus) dahje ollásaš ($0).
• Duođaštuvvon dieđuštus mii massojuvvo bahádoaimma geažil ii šat leat gelbbolaš seamma gávnnahusa ovddas.
• Dát eavttut gustet sáddema hetkeš ja dat ceavzzahuvvojit dohkkehanmuitalusas mii sáddejuvvo go dieđuštus dohkkehuvvo.

Dieđuštusa sádden

Manne: https://api.scribblemaps.com/vulnerabilities

Siidu sisttisdoallá maiddái bagadusaid mo sáddet dieđuštusaid AI bokte. Don fertet sisaloggejuvvot sáddet dieđuštusa.

Lága čuoggát

Mii eat sáhte addit buhtadusaid olbmuide geat leat sanksuvdnalisttuin, dahje geat leat riikkain (ovdamearkka dihte Cuba, Iran, Davvi-Korea, Sudan ja Syria) mat leat sanksuvdnalisttuin. Don leat ovddasvástideaddji buot vearrodoahpagiid ovddas dan mielde mii lea dutnje ásahuvvon riikka ja riikkavuoigatvuođa mielde. Sáhttet leat lassi gáržidusat dutnje searvat dan mielde makkár dán sajádaga láhka lea.

Dát ii leat gilvu, muhto iskkadeaddji ja iežamet mielas mearriduvvon buhtadusprográmma. Don ferte áddet ahte mii sáhttit gaskkalduhttit prográmma juohke áiggi, ja mearri das maksá go buhtadus dahje ii ferte leat ollásit min mielas.

Dieđusge, du testen ii oaččo rihkkut ovttage lága, dahje caggat dahje vahágahttit diehtuid mat eai leat dudno.