අවදානම් සහ Bounties
අපි සොයාගත් අවදානම් හෝ ආරක්ෂාව සම්බන්ධ ගැටළු සඳහා bounties ගෙවනවා. ගෙවීමක් ලබා ගැනීමට පහත කරුණු සත්‍ය විය යුතුයි.
#1 අවදානම අද්විතීය විය යුතුයි
අපට වාර්තා කිහිපයක් ලැබුණහොත්, මුලින්ම වාර්තා කරන අයට bounty ලැබෙනවා. අනාගතයේ සොයාගැනීම් දිරිමත් කිරීම සඳහා, අපගේ අභිමතය පරිදි, ද්විතීයික දැනුම්දීම් සඳහා සුළු ගාස්තු ගෙවිය හැකියි.
#2 අවදානම ප්‍රතිනිෂ්පාදනය කළ හැකි විය යුතුයි
ප්‍රතිනිෂ්පාදනය කළ නොහැකි කිසිදු අවදානමක් සඳහා අපි ගෙවන්නේ නැහැ. ප්‍රතිනිෂ්පාදනය කළ නොහැකි අවදානමක් පෙන්වන YouTube වීඩියෝ සඳහා අපි bounties ගෙවන්නේ නැහැ.
#3 ප්‍රහාර තත්ත්වයක් තිබිය යුතුයි
ප්‍රහාරයට අපගේ පද්ධති හරහා බෙදාහැරීමේ හැකියාවක් තිබිය යුතුයි. කරුණාකර බෙදාහැරීමේ හැකියාව පැහැදිලි කරන්න. නිදසුනක් ලෙස, අපගේ API භාවිත කර අනිෂ්ට scripts ලිවීම ගණන් ගන්නේ නැහැ, මන්ද එය අනිෂ්ට scripts සහිත පිටුවක් ලිවීමට වඩා වෙනස් නොවන නිසා.
| ප්‍රවර්ගය | උදාහරණ | Bounty |
| දුරස්ථ කේත ක්‍රියාත්මක කිරීම | Command injection, deserialization bugs, sandbox escapes | $200 – $800 |
| සීමා රහිත file system හෝ database ප්‍රවේශය | SQL injection, arbitrary file read/write | $500 – $2,000 |
| වැදගත් ආරක්ෂක පාලන කාන්දු කරන හෝ මග හරින තර්ක දෝෂ | Direct object reference, privilege escalation, remote user impersonation, account takeover | $200 – $1,000 |
| සිතියම් ආරක්ෂක අවදානම් | සිතියම් අනිසි ලෙස හෙළිදරව් වීම, secure-map දත්ත කාන්දුව | $100 – $500 |
| Client එකේ කේතය ක්‍රියාත්මක කිරීම | Stored XSS, reflected XSS | $100 – $500 |
| වෙනත් වලංගු ආරක්ෂක අවදානම් | CSRF, clickjacking, info disclosure, open redirect | $25 – $200 |
Bounty ගෙවීම් ප්‍රමාණ තීරණය වන ආකාරය
ඉහත එක් එක් ප්‍රවර්ගයට ගෙවීම් පරාසයක් තිබෙනවා. වලංගු වාර්තාවක් එම පරාසය තුළ කොතැනට වැටෙනවාද යන්න පහත සාධක තුන මත රඳා පවතී:
සූරාකෑමට අවශ්‍ය වරප්‍රසාදය. සත්‍යාපනය නොකළ bugs පරාසයේ ඉහළටම වැටෙනවා. සත්‍යාපනය කළ පරිශීලකයෙකු අවශ්‍ය bugs මැදට වැටෙනවා. වරප්‍රසාද සහිත සන්දර්භයක් (team admin, team owner, paid plan, internal staff) අවශ්‍ය bugs පහළටම වැටෙනවා.
බලපෑමේ පරාසය. සෑම පරිශීලකයෙකුටම හෝ සෑම සිතියමකටම බලපාන අවදානම්, තනි ගිණුමකට හෝ ප්‍රහාරකයා දැනටමත් අයත් තනි team එකකට බලපාන අවදානම්වලට වඩා වැඩි ගෙවනවා.
ප්‍රතිවර්තනීයත්වය. බලපෑමට ලක් වූ පරිශීලකයාට සාමාන්‍ය ක්‍රියාවලි හරහා (උදාහරණයක් ලෙස, මුරපද යළි සැකසීමක්) ආපසු හැරවිය හැකි හානි, දිගටම පවතින හෝ ආපසු හැරවීමට අපගේ මැදිහත්වීම අවශ්‍ය හානිවලට වඩා අඩුවෙන් ගෙවනවා.
වාර්තාවේ ගුණාත්මකභාවයද සැලකිල්ලට ගන්නවා. ක්‍රියාත්මක proof of concept එකක්, මූල හේතු විශ්ලේෂණයක් සහ විසඳුම් යෝජනාවක් සහිත පැහැදිලි වාර්තාවක්, තාක්ෂණික බලපෑම පමණක් මැද පරාසයට වැටුණත් පරාසයේ ඉහළම අගය උපයා ගත හැකියි. අපිරිසිදු හෝ අනුමාන මත පදනම් වූ වාර්තා පහළම අගය ලැබිය හැකියි.
විෂය පථයෙන් පිටත
පහත සඳහන් දේ bounty සඳහා සුදුසුකම් නොලබයි:
නිර්නාමික community සිතියම්. හිමිකරුවෙකු නැති සහ ඕනෑම කෙනෙකුට සංස්කරණය කළ හැකි සිතියම් දිගුකාලීන community විශේෂාංගයකි. නිර්නාමික සිතියමක් උඩින් save කිරීම අවදානමක් නොවේ.
Unlisted (URL-as-credential) සිතියම්. LockView නොමැති සිතියම්, unlisted YouTube වීඩියෝවක් මෙන්, URL එක දන්නා ඕනෑම කෙනෙකුට ප්‍රවේශ විය හැකි ලෙස හිතාමතාම සකසා ඇත. සිතියම් කේතය දැන ගැනීමෙන් එවැනි සිතියමකට ප්‍රවේශ වීම හෝ එය save කිරීම නිර්මාණයෙන්ම සිදුවන දෙයකි.
අප host කරන නමුත් නඩත්තු නොකරන තෙවන පාර්ශ්ව මෘදුකාංග. අපගේ සේවාවන් සමඟ යොදවා ඇති GeoServer, Tomcat, හෝ වෙනත් තෙවන පාර්ශ්ව stacks වල ගැටළු. කරුණාකර මේවා අදාළ upstream නඩත්තුකරුවන්ට වාර්තා කරන්න.
කොන්ක්‍රීට් ප්‍රහාර තත්ත්වයක් නොමැති ආරක්ෂක headers අස්ථානගත වීම. ක්‍රියාත්මක exploit එකක් නොමැතිව CSP, X-Frame-Options, HSTS ආදිය පිළිබඳ වාර්තා සුදුසුකම් නොලබයි.
තනිව rate limiting. Rate limiting ආරක්ෂාවට තීරණාත්මක නොවන endpoints හි, අපයෝජන තත්ත්වයක් පෙන්වා නොමැතිව, rate limiting නොමැතිකම.
AI භාවිතය
Triaging සඳහා ආරම්භක වලංගුකරණය කිරීමට අපි AI භාවිත කරනවා. එය සමහර විට වැරදි කරනවා, අපි සෑම එකක්ම මිනිසුන් විසින් සමාලෝචනය කරනවා, කෙසේ වෙතත්, AI මුලදී විශාල වරදක් කළා යැයි ඔබ සිතන්නේ නම්, තවදුරටත් සන්දර්භය ආදිය සමඟ submission එකට සටහනක් එක් කරන්න..compromise any
Burp භාවිතය / Endpoints
ඉක්මන් scans සඳහා අපි burp වැනි මෙවලම් භාවිත කරනවා. ඔබ අපට එරෙහිව මෙම scans නොකරන්නේ නම් අපි වඩාත් කැමතියි, මන්ද ඉල්ලීම් දහස් ගණනකින් පහර දීම අපගේ servers මත අනවශ්‍ය බරක් පමණක් තබන නිසා.
ඔබේ කාලය ඉතිරි කර ගැනීමට සමහර endpoints මෙන්න:
https://www.scribblemaps.com/
(ඔබ scan එකක් කරන්නේ නම් /maps/ path එක block කරන්න, මන්ද මෙය scanners ව අවසානයක් නැති මාවතකට යවනු ඇත)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
ගෙවීම්
ගෙවීම් කාල සටහන් සඳහා කිසිදු සහතිකයක් නැහැ. අපි මාසික අයවැයක් වෙන් කරනවා, බරපතළ ගැටළු සෑම විටම මුලින්ම ගෙවනවා. අපි ගෙවීම් කරන්නේ wise හෝ paypal හරහා පමණයි.
Bounty අහිමි වීම
වාර්තාවක් වලංගු කිරීම හෝ පිළිගැනීම මගින් ස්ථාපිත වන්නේ ත්‍යාගයක් සඳහා සුදුසුකම පමණක් මිස, ඒ සඳහා කොන්දේසි විරහිත හිමිකමක් නොවේ. පර්යේෂකයෙකුගේ හැසිරීම මෙම නියමයන් හෝ සද්භාවයෙන් සම්බන්ධීකරණය කළ හෙළිදරව් කිරීමේ මූලධර්ම උල්ලංඝනය කරන විට ScribbleMaps හට bounty එකක් සම්පූර්ණයෙන් හෝ අර්ධ වශයෙන් අඩු කිරීමට හෝ රඳවා තබා ගැනීමට හැකියි. අහිමි කිරීම ScribbleMaps හි අභිමතය පරිදි සිදු වන අතර, හේතුව වාර්තාවේ සටහන් කර පර්යේෂකයාට දැනුම් දෙනු ලැබේ.
අන්‍යාකාරයෙන් ගෙවිය හැකි bounty එකක් පහත සඳහන් ඕනෑම කරුණක් නිසා අහිමි විය හැකියි:
- කල් තබා හෝ තර්ජනාත්මක ප්‍රසිද්ධ හෙළිදරව් කිරීම. ScribbleMaps ගැටළුව විසඳා හෙළිදරව් කිරීමට බලය දීමට පෙර, අවදානම ප්‍රසිද්ධියේ, තෙවන පාර්ශ්වවලට, හෝ මාධ්‍ය/සමාජ නාලිකා හරහා හෙළිදරව් කිරීම — හෝ එසේ කරන බවට තර්ජනය කිරීම. සම්බන්ධීකරණය කළ හෙළිදරව් කිරීම වැඩසටහනේ කොන්දේසියකි.
- බලපෑම් කිරීම, කප්පම් ගැනීම, හෝ හිරිහැර කිරීම. හෙළිදරව් නොකිරීම ගෙවීමක් මත රඳවා තැබීම; කාර්ය මණ්ඩලයට තර්ජනය කිරීම හෝ පීඩනය කිරීම; නැතහොත් ගෙවීමක් නැවත නැවත හෝ අපයෝජනාත්මකව ඉල්ලා සිටීමට support, billing, හෝ වාර්තාකරු නාලිකා භාවිත කිරීම. ත්‍යාග තත්ත්වය පිළිබඳ ප්‍රශ්න bounty portal හරහා ඉදිරිපත් කළ යුතු අතර, ScribbleMaps ඒවාට පිළිතුරු දෙනු ඇත.
- බහු හෝ අනුපිටපත් අනන්‍යතා. submission ප්‍රමාණය හෝ ත්‍යාග ඉහළ නැංවීම සඳහා පර්යේෂක ගිණුම් එකකට වඩා ක්‍රියාත්මක කිරීම, හෝ වෙන් වෙන් ගිණුම් සඳහා ත්‍යාග හවුල් ගෙවීම් ලිපිනයකට යොමු කිරීම.
- කුමන්ත්‍රණය හෝ මවා පෑ සොයාගැනීම්. ගිණුම් හරහා submissions සම්බන්ධීකරණය කිරීම, proof of concept එකක “victim” ලෙස වෙනත් සහභාගිකයෙකුගේ ගිණුම හෝ සිතියම් භාවිත කිරීම, හෝ නිෂ්පාදනයට නිපදවිය නොහැකි දත්ත තත්ත්වයක් මවා ඉන් පසු ලැබෙන දත්ත කාන්දුවක් ලෙස දක්වා සඳහන් කිරීම.
- අඩු උත්සාහයෙන් හෝ ස්වයංක්‍රීය spam. ස්වයංක්‍රීය scanner ප්‍රතිදානය, ගතවූ library/CVE ලැයිස්තු, හෝ ප්‍රදර්ශනය කළ ScribbleMaps-විශේෂිත exploit එකක් නොමැතිව දන්නා විෂය පථයෙන් පිටත අයිතම (විෂය පථයෙන් පිටත බලන්න) තොග වශයෙන් submit කිරීම.
- හානිකර හෝ නීති විරෝධී පරීක්ෂා කිරීම. ගැටළුව ප්‍රදර්ශනය කිරීමට අවශ්‍ය අවම ප්‍රමාණයට වඩා අනෙක් පරිශීලකයින්ගේ දත්තවලට ප්‍රවේශ වීම, වෙනස් කිරීම, හෝ බැහැර ගෙන යාම; සේවාව පිරිහීම හෝ ප්‍රතික්ෂේප කිරීම; කාර්ය මණ්ඩලයට හෝ පරිශීලකයින්ට එරෙහිව social-engineering කිරීම; නැතහොත් වැඩසටහන් විෂය පථය හෝ අදාළ නීතිය මගින් තහනම් කර ඇති ඕනෑම ක්‍රියාකාරකමක්.
- වැරදි ලෙස නියෝජනය කිරීම හෝ වංචාව. ප්‍රතිනිෂ්පාදන පියවර, සාක්ෂි, සොයාගත් දිනයන්, හෝ අනන්‍යතාව ව්‍යාජ ලෙස සැකසීම.
සටහන්.
- අහිමි කිරීම අර්ධ (අඩු කළ ත්‍යාගයක්) හෝ සම්පූර්ණ ($0) විය හැකියි.
- අනිසි හැසිරීම නිසා අහිමි කළ වලංගු වාර්තාවක් එම සොයාගැනීමටම නැවත සුදුසුකම් ලබන්නේ නැහැ.
- මෙම නියමයන් submission කරන මොහොතේ සිටම අදාළ වන අතර, වාර්තාවක් පිළිගත් විට එවන පිළිගැනීමේ දැනුම්දීමේ නැවත සඳහන් කෙරේ.
වාර්තාවක් ඉදිරිපත් කිරීමට
කරුණාකර පිවිසෙන්න: https://api.scribblemaps.com/vulnerabilities
AI හරහා වාර්තා ඉදිරිපත් කරන ආකාරය පිළිබඳ උපදෙස්ද අඩවියේ ඇතුළත් වේ. වාර්තාවක් ඉදිරිපත් කිරීමට ඔබ log in විය යුතුයි.
නීතිමය කරුණු
සම්බාධක ලැයිස්තුවල සිටින පුද්ගලයින්ට, හෝ සම්බාධක ලැයිස්තුවල ඇති රටවල (උදා. Cuba, Iran, North Korea, Sudan සහ Syria) සිටින අයට ත්‍යාග නිකුත් කිරීමට අපට නොහැකියි. ඔබේ පදිංචි රට සහ පුරවැසිභාවය අනුව ඕනෑම බදු බලපෑමක් සඳහා ඔබ වගකිව යුතුයි. ඔබේ දේශීය නීතිය අනුව ඇතුළු වීමට ඔබට ඇති හැකියාව මත අමතර සීමාවන් තිබිය හැකියි.
මෙය තරඟයක් නොව, පරීක්ෂණාත්මක සහ අභිමතය පරිදි ක්‍රියාත්මක වන ත්‍යාග වැඩසටහනකි. අපට ඕනෑම වේලාවක වැඩසටහන අවලංගු කළ හැකි බවත්, ත්‍යාගයක් ගෙවිය යුතුද නැද්ද යන්න පිළිබඳ තීරණය සම්පූර්ණයෙන්ම අපගේ අභිමතය පරිදි විය යුතු බවත් ඔබ තේරුම් ගත යුතුයි.
ඇත්තෙන්ම, ඔබේ පරීක්ෂාව කිසිදු නීතියක් උල්ලංඝනය නොකළ යුතු අතර, ඔබේම නොවන කිසිදු දත්තයක් කඩාකප්පල් නොකළ යුතු හෝ අවදානමට ලක් නොකළ යුතුයි.
Last updated