Cenueshmëritë dhe shpërblimet

Ne paguajmë shpërblime për cenueshmëritë e zbuluara ose problemet që lidhen me sigurinë. Për të marrë pagesë, duhet të plotësohen kushtet e mëposhtme.

#1 Cenueshmëria duhet të jetë unike 
Nëse marrim raporte të shumta, i pari që raporton do të marrë shpërblimin. Ne mund të paguajmë, sipas gjykimit tonë, tarifa nominale njoftimi dytësor për të inkurajuar zbulimet e ardhshme.

#2 Cenueshmëria duhet të jetë e riprodhueshme
Ne nuk do të paguajmë për asnjë cenueshmëri që nuk mund të riprodhohet. Ne nuk do të paguajmë shpërblime për video në YouTube që demonstrojnë një cenueshmëri që nuk mund të riprodhohet.

#3 Duhet të ketë një skenar sulmi
Sulmi duhet të ketë aftësi shpërndarjeje përmes sistemeve tona. Ju lutemi shpjegoni aftësinë e shpërndarjes. Për shembull, shfrytëzimi i API-t tonë dhe më pas shkrimi i skripteve keqdashëse nuk do të llogaritet, pasi kjo nuk do të ishte ndryshe nga thjesht shkrimi i një faqeje me skripte keqdashëse.
 

Si përcaktohen shumat e shpërblimeve

Çdo kategori më sipër ka një interval pagese. Se ku bie një raport i vlefshëm brenda intervalit të vet varet nga tre faktorë:

Privilegji i nevojshëm për shfrytëzim. Defektet pa autentikim bien në majën e intervalit. Defektet që kërkojnë një përdorues të autentikuar bien në mes. Defektet që kërkojnë një kontekst të privilegjuar (administrator ekipi, pronar ekipi, plan me pagesë, staf i brendshëm) bien në fund.

Rrezja e ndikimit. Cenueshmëritë që prekin çdo përdorues ose çdo hartë paguhen më shumë se cenueshmëritë që prekin një llogari të vetme ose një ekip të vetëm në të cilin sulmuesi tashmë bën pjesë.

Kthyeshmëria. Dëmi që përdoruesi i prekur mund ta zhbëjë përmes rrjedhave normale të punës (për shembull, rivendosja e fjalëkalimit) paguhet më pak se dëmi që vazhdon ose që kërkon ndërhyrjen tonë për t'u zhbërë.

Cilësia e raportit ka gjithashtu peshë. Një përshkrim i qartë me një provë funksionale të konceptit, analizë të shkakut rrënjësor dhe një sugjerim për ndreqjen mund të fitojë majën e intervalit edhe kur ndikimi teknik vetëm do të binte në mes. Raportet e pakujdesshme ose spekulative mund të fitojnë fundin.

Jashtë fushëveprimit

Sa vijon nuk kualifikohet për shpërblim:

Hartat anonime të komunitetit. Hartat pa pronar që mund të redaktohen nga kushdo janë një veçori e vjetër e komunitetit. Ruajtja mbi një hartë anonime nuk është cenueshmëri.

Hartat e palistuara (URL-ja si kredencial). Hartat pa LockView janë qëllimisht të aksesueshme për këdo që e di URL-në, ngjashëm me një video të palistuar në YouTube. Qasja ose ruajtja e një harte të tillë duke ditur kodin e hartës është sipas dizajnit.

Softuer i palëve të treta që e strehojmë por nuk e mirëmbajmë. Probleme në GeoServer, Tomcat ose stiva të tjera të palëve të treta të vendosura pranë shërbimeve tona. Ju lutemi raportojini te mirëmbajtësit përkatës.

Mungesa e header-ave të sigurisë pa një skenar konkret sulmi. Raportet për CSP, X-Frame-Options, HSTS, etj. pa një shfrytëzim funksional nuk kualifikohen.

Kufizimi i shpejtësisë në izolim. Mungesa e kufizimit të shpejtësisë në endpoint-e ku ai nuk është kritik për sigurinë, pa një skenar të demonstruar abuzimi.

Përdorimi i AI-së

Ne shfrytëzojmë AI-në për të bërë vlerësimin fillestar për triazhin. Ndonjëherë bën gabime; ne bëjmë rishikime njerëzore për secilin, megjithatë, nëse mendoni se AI-ja ka bërë një gabim të madh fillimisht, shtoni një shënim te dorëzimi me kontekst të mëtejshëm, etj..compromise any

Përdorimi i Burp / Endpoint-et

Ne përdorim mjete si Burp për skanime të shpejta. Në përgjithësi preferojmë që të mos i bëni këto skanime mbi ne, pasi godasja me mijëra kërkesa vetëm ngarkon pa nevojë serverat tanë. 

Për t'ju kursyer kohë, ja disa endpoint-e: 

https://www.scribblemaps.com/ 
(Nëse bëni një skanim, bllokoni shtegun /maps/ pasi kjo i çon skanerët në një labirint pa dalje) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pagesat

Nuk ka garanci për afatet e pagesës. Ne ndajmë një buxhet mujor, dhe problemet e rënda paguhen gjithmonë të parat. Pagesat i bëjmë vetëm përmes Wise ose PayPal.
 

Humbja e shpërblimit

Vlerësimi ose pranimi i një raporti krijon përshtatshmëri për një shpërblim, jo një të drejtë të pakushtëzuar për të. ScribbleMaps mund të reduktojë ose ndalojë një shpërblim tërësisht ose pjesërisht kur sjellja e një studiuesi shkel këto kushte ose parimet e zbulimit të koordinuar në mirëbesim. Humbja e shpërblimit është sipas gjykimit të ScribbleMaps; arsyeja regjistrohet te raporti dhe i komunikohet studiuesit.

Një shpërblim që përndryshe do të ishte i pagueshëm mund të humbet për ndonjë nga arsyet e mëposhtme:

1. Zbulim publik i parakohshëm ose i kërcënuar. Zbulimi i cenueshmërisë — ose kërcënimi për ta zbuluar — publikisht, te palët e treta, ose përmes kanaleve mediatike/sociale përpara se ScribbleMaps ta ketë ndrequr problemin dhe të ketë autorizuar zbulimin. Zbulimi i koordinuar është kusht i programit.
2. Shtrëngim, shantazh ose ngacmim. Kushtëzimi i moszbulimit me pagesë; kërcënimi ose presioni mbi stafin; ose përdorimi i kanaleve të mbështetjes, faturimit ose raportuesit për të kërkuar pagesë në mënyrë të përsëritur ose abuzive. Pyetjet për statusin e shpërblimit duhet të ngrihen përmes portalit të shpërblimeve, të cilat ScribbleMaps do t'i përgjigjet.
3. Identitete të shumta ose të dyfishta. Operimi i më shumë se një llogarie studiuesi, ose drejtimi i shpërblimeve të llogarive të ndara te një adresë e përbashkët pagese, për të fryrë vëllimin e dorëzimeve ose shpërblimet.
4. Marrëveshje e fshehtë ose gjetje të fabrikuara. Koordinimi i dorëzimeve mes llogarive, përdorimi i llogarisë ose hartave të një pjesëmarrësi tjetër si “viktimë” në një provë koncepti, ose fabrikimi i një gjendjeje të dhënash që produkti nuk mund ta prodhojë dhe më pas citimi i të dhënave rezultuese si rrjedhje.
5. Spam me përpjekje të ulët ose i automatizuar. Dorëzime Në masë të rezultateve të automatizuara të skanerëve, listave të bibliotekave të vjetruara/CVE, ose gjërave të njohura jashtë fushëveprimit (shih Jashtë fushëveprimit) pa një shfrytëzim të demonstruar, specifik për ScribbleMaps.
6. Testim i dëmshëm ose i paligjshëm. Qasja, ndryshimi ose nxjerrja e të dhënave të përdoruesve të tjerë përtej minimumit të nevojshëm për të demonstruar problemin; degradimi ose mohimi i shërbimit; inxhinieria sociale ndaj stafit ose përdoruesve; ose çdo aktivitet i ndaluar nga fushëveprimi i programit ose ligji i zbatueshëm.
7. Shtrembërim ose mashtrim. Falsifikimi i hapave të riprodhimit, provave, datave të zbulimit ose identitetit.

Shënime.

• Humbja e shpërblimit mund të jetë pjesore (një shpërblim i reduktuar) ose e plotë ($0).
• Një raport i vlerësuar që humbet shpërblimin për shkak të sjelljes së papërshtatshme nuk është më i përshtatshëm për të njëjtën gjetje.
• Këto kushte zbatohen nga momenti i dorëzimit dhe rithuhen në njoftimin e pranimit që dërgohet kur pranohet një raport.

Për të dorëzuar një raport

Ju lutemi vizitoni: https://api.scribblemaps.com/vulnerabilities

Faqja përfshin gjithashtu udhëzime se si të dorëzoni raporte përmes AI-së. Duhet të identifikoheni për të dorëzuar një raport.

Pika ligjore

Ne nuk mund t'u japim shpërblime individëve që janë në lista sanksionesh, ose që gjenden në vende (p.sh. Kuba, Iran, Koreja e Veriut, Sudani dhe Siria) që janë në lista sanksionesh. Ju jeni përgjegjës për çdo implikim tatimor në varësi të vendit tuaj të banimit dhe shtetësisë. Mund të ketë kufizime shtesë në aftësinë tuaj për të marrë pjesë në varësi të ligjit tuaj vendor.

Ky nuk është një konkurs, por një program shpërblimesh eksperimental dhe diskrecional. Duhet të kuptoni se ne mund ta anulojmë programin në çdo kohë, dhe vendimi nëse do të paguhet apo jo një shpërblim duhet të jetë tërësisht sipas gjykimit tonë.

Natyrisht, testimi juaj nuk duhet të shkelë asnjë ligj, as të prishë ose komprometojë të dhëna që nuk janë tuajat.