ช่องโหว่และรางวัลค่าตอบแทน
เราจ่ายรางวัลสำหรับช่องโหว่หรือปัญหาที่เกี่ยวข้องกับความปลอดภัยที่ค้นพบ เพื่อให้ได้รับรางวัล ต้องเป็นไปตามเงื่อนไขต่อไปนี้
#1 ช่องโหว่ต้องไม่ซ้ำกับที่มีผู้รายงานแล้ว
หากเราได้รับรายงานหลายฉบับ ผู้ที่รายงานเป็นคนแรกจะได้รับรางวัล เราอาจจ่ายค่าตอบแทนรองสำหรับการแจ้งเตือนในจำนวนเล็กน้อยตามดุลยพินิจของเรา เพื่อส่งเสริมให้เกิดการค้นพบในอนาคต
#2 ช่องโหว่ต้องสามารถทำซ้ำได้
เราจะไม่จ่ายรางวัลสำหรับช่องโหว่ที่ไม่สามารถทำซ้ำได้ เราจะไม่จ่ายรางวัลสำหรับวิดีโอ YouTube ที่สาธิตช่องโหว่ซึ่งไม่สามารถทำซ้ำได้
#3 ต้องมีสถานการณ์การโจมตี
การโจมตีต้องสามารถแพร่กระจายผ่านระบบของเราได้ โปรดอธิบายความสามารถในการแพร่กระจาย ตัวอย่างเช่น การใช้ API ของเราแล้วเขียนสคริปต์อันตรายจะไม่นับ เพราะไม่ต่างจากการเขียนหน้าเว็บที่มีสคริปต์อันตรายเอง
| หมวดหมู่ | ตัวอย่าง | รางวัล |
| การเรียกใช้โค้ดจากระยะไกล | การแทรกคำสั่ง (Command injection) ข้อบกพร่องด้านการดีซีเรียลไลซ์ การหลุดออกจากแซนด์บ็อกซ์ | $200 – $800 |
| การเข้าถึงระบบไฟล์หรือฐานข้อมูลโดยไม่มีข้อจำกัด | SQL injection การอ่าน/เขียนไฟล์ตามอำเภอใจ | $500 – $2,000 |
| ข้อบกพร่องด้านตรรกะที่ทำให้ข้อมูลรั่วไหลหรือข้ามการควบคุมความปลอดภัยที่สำคัญ | การอ้างอิงออบเจ็กต์โดยตรง การยกระดับสิทธิ์ การปลอมแปลงตัวตนผู้ใช้จากระยะไกล การยึดบัญชี | $200 – $1,000 |
| ช่องโหว่ด้านความปลอดภัยของแผนที่ | การเปิดเผยแผนที่อย่างไม่เหมาะสม ข้อมูลรั่วไหลจากแผนที่ที่มีการรักษาความปลอดภัย | $100 – $500 |
| การเรียกใช้โค้ดบนฝั่งไคลเอนต์ | Stored XSS, reflected XSS | $100 – $500 |
| ช่องโหว่ด้านความปลอดภัยอื่นๆ ที่ถูกต้อง | CSRF, clickjacking, การเปิดเผยข้อมูล, open redirect | $25 – $200 |
วิธีกำหนดจำนวนรางวัล
แต่ละหมวดหมู่ข้างต้นมีช่วงจำนวนเงินรางวัล รายงานที่ถูกต้องจะอยู่ตำแหน่งใดในช่วงนั้นขึ้นอยู่กับปัจจัยสามประการ:
สิทธิ์ที่ต้องมีเพื่อใช้ประโยชน์จากช่องโหว่ ข้อบกพร่องที่ไม่ต้องยืนยันตัวตนจะอยู่ที่ระดับสูงสุดของช่วง ข้อบกพร่องที่ต้องเป็นผู้ใช้ที่ยืนยันตัวตนแล้วจะอยู่ระดับกลาง ข้อบกพร่องที่ต้องมีบริบทที่มีสิทธิ์พิเศษ (ผู้ดูแลทีม เจ้าของทีม แพ็กเกจแบบชำระเงิน พนักงานภายใน) จะอยู่ระดับต่ำสุด
ขอบเขตของผลกระทบ ช่องโหว่ที่ส่งผลต่อผู้ใช้ทุกคนหรือแผนที่ทุกแผนที่จะได้รับรางวัลมากกว่าช่องโหว่ที่ส่งผลต่อบัญชีเดียวหรือทีมเดียวที่ผู้โจมตีเป็นสมาชิกอยู่แล้ว
ความสามารถในการย้อนกลับ ความเสียหายที่ผู้ใช้ที่ได้รับผลกระทบสามารถแก้ไขได้ด้วยขั้นตอนปกติ (เช่น การรีเซ็ตรหัสผ่าน) จะได้รับรางวัลน้อยกว่าความเสียหายที่คงอยู่หรือต้องให้เราเข้าแทรกแซงเพื่อแก้ไข
คุณภาพของรายงานก็มีผลเช่นกัน รายงานที่เขียนชัดเจนพร้อม proof of concept ที่ใช้งานได้ การวิเคราะห์สาเหตุหลัก และข้อเสนอแนะในการแก้ไข อาจได้รับรางวัลในระดับสูงสุดของช่วง แม้ว่าผลกระทบทางเทคนิคเพียงอย่างเดียวจะอยู่ในระดับกลางก็ตาม รายงานที่หละหลวมหรือเป็นเพียงการคาดเดาอาจได้รับรางวัลในระดับต่ำสุด
นอกขอบเขต
สิ่งต่อไปนี้ไม่มีสิทธิ์ได้รับรางวัล:
แผนที่ชุมชนแบบไม่ระบุตัวตน แผนที่ที่ไม่มีเจ้าของและทุกคนสามารถแก้ไขได้เป็นฟีเจอร์ของชุมชนที่มีมานาน การบันทึกทับแผนที่แบบไม่ระบุตัวตนไม่ถือเป็นช่องโหว่
แผนที่แบบไม่แสดงในรายการ (ใช้ URL เป็นข้อมูลรับรอง) แผนที่ที่ไม่มี LockView ได้รับการออกแบบให้ทุกคนที่รู้ URL เข้าถึงได้ คล้ายกับวิดีโอ YouTube ที่ไม่แสดงในรายการ การเข้าถึงหรือบันทึกแผนที่ดังกล่าวโดยรู้รหัสแผนที่ถือเป็นการทำงานตามที่ออกแบบไว้
ซอฟต์แวร์ของบุคคลที่สามที่เราโฮสต์แต่ไม่ได้ดูแล ปัญหาใน GeoServer, Tomcat หรือสแต็กของบุคคลที่สามอื่นๆ ที่ติดตั้งควบคู่กับบริการของเรา โปรดรายงานปัญหาเหล่านี้ไปยังผู้ดูแลต้นทางที่เกี่ยวข้อง
การขาดส่วนหัวด้านความปลอดภัยโดยไม่มีสถานการณ์การโจมตีที่ชัดเจน รายงานเกี่ยวกับ CSP, X-Frame-Options, HSTS ฯลฯ โดยไม่มีการโจมตีที่ใช้งานได้จริงไม่มีสิทธิ์ได้รับรางวัล
การจำกัดอัตราคำขอโดยลำพัง การไม่มีการจำกัดอัตราคำขอบนเอนด์พอยต์ที่การจำกัดอัตราคำขอไม่สำคัญต่อความปลอดภัย โดยไม่มีการสาธิตสถานการณ์การละเมิด
การใช้ AI
เราใช้ AI ในการตรวจสอบเบื้องต้นเพื่อคัดแยกรายงาน บางครั้งอาจเกิดข้อผิดพลาดขึ้น เรามีการตรวจสอบโดยมนุษย์ในทุกรายงาน อย่างไรก็ตาม หากคุณคิดว่า AI ตัดสินผิดพลาดอย่างมากในตอนแรก ให้เพิ่มหมายเหตุในการส่งรายงานพร้อมบริบทเพิ่มเติม ฯลฯ..compromise any
การใช้ Burp / เอนด์พอยต์
เราใช้เครื่องมืออย่าง Burp สำหรับการสแกนอย่างรวดเร็ว โดยทั่วไปเราขอให้คุณไม่สแกนระบบของเรา เพราะการส่งคำขอนับพันครั้งเข้ามาจะสร้างภาระที่ไม่จำเป็นให้กับเซิร์ฟเวอร์ของเรา
เพื่อประหยัดเวลาของคุณ นี่คือเอนด์พอยต์ต่างๆ:
https://www.scribblemaps.com/
(หากคุณทำการสแกน ให้บล็อกเส้นทาง /maps/ เพราะจะทำให้เครื่องมือสแกนติดอยู่ในวงวนที่ไม่รู้จบ)
https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com
การชำระเงิน
เราไม่รับประกันกำหนดเวลาในการชำระเงิน เราจัดสรรงบประมาณรายเดือน โดยปัญหาที่ร้ายแรงจะได้รับการจ่ายก่อนเสมอ เราชำระเงินผ่าน Wise หรือ PayPal เท่านั้น
การริบรางวัล
การตรวจสอบหรือรับรายงานเป็นเพียงการกำหนดสิทธิ์ในการได้รับรางวัล ไม่ใช่สิทธิ์ที่ได้รับโดยปราศจากเงื่อนไข ScribbleMaps อาจลดหรือระงับรางวัลทั้งหมดหรือบางส่วนเมื่อพฤติกรรมของนักวิจัยละเมิดข้อกำหนดเหล่านี้หรือหลักการของการเปิดเผยข้อมูลแบบประสานงานด้วยความสุจริต การริบรางวัลเป็นดุลยพินิจของ ScribbleMaps โดยเหตุผลจะถูกบันทึกไว้ในรายงานและแจ้งให้นักวิจัยทราบ
รางวัลที่ควรจะได้รับอาจถูกริบด้วยเหตุผลใดเหตุผลหนึ่งดังต่อไปนี้:
- การเปิดเผยต่อสาธารณะก่อนกำหนดหรือการขู่ว่าจะเปิดเผย การเปิดเผยช่องโหว่ หรือขู่ว่าจะเปิดเผย ต่อสาธารณะ ต่อบุคคลที่สาม หรือผ่านช่องทางสื่อ/โซเชียลมีเดีย ก่อนที่ ScribbleMaps จะแก้ไขปัญหาและอนุญาตให้เปิดเผย การเปิดเผยข้อมูลแบบประสานงานเป็นเงื่อนไขของโปรแกรม
- การบีบบังคับ การขู่กรรโชก หรือการคุกคาม การตั้งเงื่อนไขว่าจะไม่เปิดเผยหากมีการจ่ายเงิน การข่มขู่หรือกดดันเจ้าหน้าที่ หรือการใช้ช่องทางฝ่ายสนับสนุน การเรียกเก็บเงิน หรือช่องทางของผู้รายงานเพื่อเรียกร้องการชำระเงินซ้ำๆ หรือในลักษณะที่ไม่เหมาะสม ควรสอบถามสถานะรางวัลผ่านพอร์ทัลรางวัล ซึ่ง ScribbleMaps จะตอบกลับ
- ตัวตนหลายตัวหรือซ้ำซ้อน การใช้บัญชีนักวิจัยมากกว่าหนึ่งบัญชี หรือการส่งรางวัลของหลายบัญชีไปยังที่อยู่การชำระเงินเดียวกัน เพื่อเพิ่มจำนวนรายงานหรือรางวัล
- การสมรู้ร่วมคิดหรือการสร้างผลการค้นพบขึ้นมาเอง การประสานงานการส่งรายงานข้ามบัญชี การใช้บัญชีหรือแผนที่ของผู้เข้าร่วมรายอื่นเป็น "เหยื่อ" ใน proof of concept หรือการสร้างสถานะข้อมูลที่ผลิตภัณฑ์ไม่สามารถสร้างได้ แล้วอ้างข้อมูลที่ได้ว่าเป็นการรั่วไหล
- สแปมที่ใช้ความพยายามน้อยหรือแบบอัตโนมัติ การส่งรายงานจำนวนมากที่เป็นผลลัพธ์จากเครื่องมือสแกนอัตโนมัติ รายการไลบรารีที่ล้าสมัย/CVE หรือรายการที่ทราบว่าอยู่นอกขอบเขต (ดูนอกขอบเขต) โดยไม่มีการสาธิตการโจมตีที่เฉพาะเจาะจงกับ ScribbleMaps
- การทดสอบที่เป็นอันตรายหรือผิดกฎหมาย การเข้าถึง แก้ไข หรือดึงข้อมูลของผู้ใช้รายอื่นเกินกว่าที่จำเป็นขั้นต่ำเพื่อสาธิตปัญหา การทำให้บริการเสื่อมประสิทธิภาพหรือถูกปฏิเสธ การใช้วิศวกรรมสังคมกับเจ้าหน้าที่หรือผู้ใช้ หรือกิจกรรมใดๆ ที่ต้องห้ามตามขอบเขตของโปรแกรมหรือกฎหมายที่เกี่ยวข้อง
- การบิดเบือนข้อเท็จจริงหรือการฉ้อโกง การปลอมแปลงขั้นตอนการทำซ้ำ หลักฐาน วันที่ค้นพบ หรือตัวตน
หมายเหตุ
- การริบรางวัลอาจเป็นบางส่วน (ลดรางวัล) หรือทั้งหมด ($0)
- รายงานที่ผ่านการตรวจสอบแล้วแต่ถูกริบรางวัลเนื่องจากความประพฤติมิชอบจะไม่มีสิทธิ์ได้รับรางวัลอีกสำหรับการค้นพบเดียวกัน
- ข้อกำหนดเหล่านี้มีผลตั้งแต่ช่วงเวลาที่ส่งรายงาน และจะระบุซ้ำอีกครั้งในประกาศการรับรายงานที่ส่งเมื่อรายงานได้รับการยอมรับ
วิธีส่งรายงาน
โปรดไปที่: https://api.scribblemaps.com/vulnerabilities
เว็บไซต์ยังมีคำแนะนำเกี่ยวกับวิธีส่งรายงานผ่าน AI คุณต้องเข้าสู่ระบบเพื่อส่งรายงาน
ประเด็นทางกฎหมาย
เราไม่สามารถมอบรางวัลให้กับบุคคลที่อยู่ในรายชื่อการคว่ำบาตร หรืออยู่ในประเทศ (เช่น คิวบา อิหร่าน เกาหลีเหนือ ซูดาน และซีเรีย) ที่อยู่ในรายชื่อการคว่ำบาตร คุณต้องรับผิดชอบต่อผลกระทบทางภาษีใดๆ ตามประเทศที่คุณพำนักและสัญชาติของคุณ อาจมีข้อจำกัดเพิ่มเติมเกี่ยวกับความสามารถในการเข้าร่วมของคุณตามกฎหมายท้องถิ่น
นี่ไม่ใช่การแข่งขัน แต่เป็นโปรแกรมรางวัลเชิงทดลองที่เป็นไปตามดุลยพินิจ คุณควรเข้าใจว่าเราสามารถยกเลิกโปรแกรมได้ทุกเมื่อ และการตัดสินใจว่าจะจ่ายรางวัลหรือไม่นั้นเป็นดุลยพินิจของเราโดยสมบูรณ์
แน่นอนว่าการทดสอบของคุณต้องไม่ละเมิดกฎหมายใดๆ หรือรบกวนหรือทำให้ข้อมูลที่ไม่ใช่ของคุณเองเสียหาย
อัปเดตล่าสุด