ድኽመታትን ሽልማታትን

ብዛዕባ ዝተረኽቡ ድኽመታት ወይ ምስ ድሕነት ዝተታሓሓዙ ጸገማት ሽልማት ንኸፍል ኢና። ክንኸፍል እንተደሊና እዞም ዝስዕቡ ክማላእ ኣለዎም።

#1 እቲ ድኽመት ፍሉይ ክኸውን ኣለዎ 
ብዙሕ rapportታት እንተ ተቐቢልና፡ ቀዳማይ ዝጸንሐ ሽልማት ይወስድ። ንናይ ዝመጽእ ምርካብ ንምትብባዕ ብፍቓድና ንኣሽተይ ሳልሳይ ናይ ምሕባር ክፍሊት ክንኸፍል ንኽእል ኢና።

#2 እቲ ድኽመት ዳግማይ ክፍጠር ዝከኣል ክኸውን ኣለዎ
ዳግማይ ክፍጠር ዘይክእል ዝኾነ ድኽመት ኣይንኸፍልን ኢና። ዳግማይ ክፍጠር ዘይክእል ድኽመት ዘርእዩ ናይ YouTube ቪድዮታት ሽልማት ኣይንኸፍሎምን ኢና።

#3 ናይ መጥቃዕቲ ሁነት ክህሉ ኣለዎ
እቲ መጥቃዕቲ ብናትና ሲስተማት ናይ ምዕዋት ዓቕሚ ክህልዎ ኣለዎ። በይዘኦም ናይ ምዕዋት ዓቕሚ በጃኹም ግለጹ። ንኣብነት፡ API ናትና ተጠቒምካ ክፉእ scripts ምጽሓፍ ከም ዘይቑጸር እዩ፡ ምኽንያቱ ምስ ክፉእ scripts ዘለዎ ገጽ ምጽሓፍ ኣይፈሊን።
 

ናይ ሽልማት መጠን ከመይ ይውሰን

ነፍሲ ወከፍ ኣብ ላዕሊ ዘሎ ምድብ ናይ ክፍሊት ደረጃ ኣለዎ። ቅኑዕ rapport ኣብ ውሽጢ እቲ ደረጃ ኣበይ ከም ዝወድቕ ኣብ ሰለስተ ነገራት ይምርኮስ፡

ንምጥቃም ዘድሊ መሰል። ዘይተረጋገጸ (unauthenticated) ጌጋታት ኣብ ላዕለዋይ ናይ እቲ ደረጃ ይወድቑ። ዝተረጋገጸ ተጠቃሚ ዘድልዮም ጌጋታት ኣብ ማእከል ይወድቑ። ዝተፈለየ መሰል ዘድልዮም (team admin፡ team owner፡ paid plan፡ ውሽጣዊ ሰራሕተኛ) ኣብ ታሕተዋይ ይወድቑ።

ናይ ጉዳእ ወሰን። ንኹሎም ተጠቀምቲ ወይ ንኹሎም maps ዝጸልዉ ድኽመታት ነቲ ኣብ ሓደ ኣካውንት ወይ እቲ መጥቃዕቲ ዝገብር ሰብ ድሮ ኣባል ዝኾነሉ ሓደ team ጥራይ ዝጸልዉ ድኽመታት ንላዕሊ ይኽፈሉ።

ምምላስ ዝከኣል። እቲ ዝተጸልአ ተጠቃሚ ብስሩዕ መስርሓት (ንኣብነት password reset) ክመልሶ ዝኽእል ጉዳእ ትሕቲ ይኽፈል፡ ዝጸንሕ ወይ ናትና ኣእታውነት ዝደልየ ጉዳእ ድማ ልዕሊ ይኽፈል።

ጽሬት ናይ rapport እውን ይተሓሳሰብ። ንጹር ጽሑፍ ምስ ዝሰርሕ proof of concept፡ ትንተና ናይ ምንጪ ምኽንያት፡ ከምኡ እውን ናይ ምጽጋን ርእይቶ ዘለዎ ምዃኑ ቴክኒካዊ ጽልዋ ጥራይ ኣብ ማእከል እንተ ወደቐ እውን ላዕለዋይ ደረጃ ክረክብ ይኽእል። ዘይጽሩይ ወይ ግምታዊ rapportታት ታሕተዋይ ክረኽቡ ይኽእሉ።

ካብ ወሰን ወጻኢ

እዞም ዝስዕቡ ንሽልማት ኣይበቑዑን፡

ስም ዘይብሎም ናይ ኮምዩኒቲ maps። ዋንኡ ዘይብሎምን ብኹሉ ሰብ ክኣረሙ ዝኽእሉን maps ነዊሕ ዝጸንሐ ናይ ኮምዩኒቲ ባህሪ እዮም። ልዕሊ ስም ዘይብሉ map ምምዝጋብ ድኽመት ኣይኮነን።

ዘይተዘርዘሩ (URL-as-credential) maps። LockView ዘይብሎም maps URL ንዝፈልጥ ዝኾነ ሰብ ብዕላማ ክርከቡ ይከኣሉ፡ ከም ዘይተዘርዘረ YouTube ቪድዮ። ናይ map code ብምፍላጥ ከምዚ ዝበለ map ምእታው ወይ ምምዝጋብ ብዕላማ እዩ።

ንሕና ዘይንሕልዎ ግን ዘቐመጥናዮ ናይ ሳልሳይ ወገን software። ኣብ GeoServer፡ Tomcat፡ ወይ ምስ ኣገልግሎታትና ዝተዘርጋሕ ካልእ ናይ ሳልሳይ ወገን stacks ዘለዉ ጸገማት። በጃኹም ነዞም ንዝምልከቶም ናይ ላዕሊ ምንጪ ሓለውቲ ሓቡሩ።

ኣተሓሳሳቢ ናይ መጥቃዕቲ ሁነት ዘይብሉ ዝጎደለ ናይ ድሕነት headers። ብዛዕባ CSP፡ X-Frame-Options፡ HSTS፡ ወዘተ ዝሰርሕ exploit ዘይብሎም rapportታት ኣይበቑዑን።

ብፍሉይ ዝተወሰደ Rate limiting። Rate limiting ናይ ድሕነት ወሳኒ ዘይኮነሉ endpoints ዘለዎ ጉድለት፡ ዝተርኣየ ናይ ግዕዝይና ሁነት ከይህሉ።

ናይ AI ኣጠቓቕማ

ንናይ መጀመርታ ምርግጋጽ ንምድላይ AI ንጥቀም ኢና። ሓደ ሓደ ግዜ ጌጋ ይገብር፡ ንነፍሲ ወከፍ ብሰብ ንገምግም ኢና፡ ግናኸ እቲ AI ኣብ መጀመርታ ዓቢ ጌጋ ከም ዝገበረ እንተ ሓሲብኩም፡ ተወሳኺ ኣፍራይ ዘለዎ መዘኻኸሪ ኣብቲ ምልክታ ወስኹ..compromise any

Burp ኣጠቓቕማ / Endpoints

ንቅልጡፍ scans ከም burp ዝበሉ መሳርሒታት ንጥቀም ኢና። ብሺሕታት ዝቑጸሩ ሕቶታት ኣብ ሰርቨራትና ዘየድልዩ ጸቕጢ ስለ ዝገብር ነዞም scans ኣብ ልዕልና ዘይትገብሩ ንመርጽ ኢና። 

ግዜኹም ንምቑጣብ ገለ endpoints ኣብዚ ኣሎ፡ 

https://www.scribblemaps.com/ 
(scan እንተ ገበርኩም ነቲ /maps/ መንገዲ ዕጸዉ፡ ምኽንያቱ ንscanners ናብ ዘይውዳእ መንገዲ ይልእኾም) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

ክፍሊታት

ብዛዕባ ግዜ ክፍሊት ዋስትና የለን። ወርሓዊ በጀት ንመድብ፡ ከቢድ ጸገማት ኩሉ ግዜ ቀዳሞት ይኽፈሉ። ክፍሊት ብwise ወይ paypal ጥራይ ንገብር።
 

ሽልማት ምስኣን

rapport ምርግጋጽ ወይ ምቕባል ንሽልማት ብቕዓት ይምስርት እምበር ብዘይ ቅድመ ኩነት ዝወሃብ መሰል ኣይኮነን። ናይ ተመራማሪ ጠባይ ነዞም ውዕላት ወይ ናይ ሰናይ ቅንዕና ዝተሓባበረ ምግላጽ መትከላት እንተ ጥሒሱ፡ ScribbleMaps ሽልማት ብምሉእ ወይ ብከፊል ክንእስ ወይ ክሓብእ ይኽእል። ምስኣን ብፍቓድ ScribbleMaps እዩ፡ ምኽንያቱ ኣብ rapport ይምዝገብን ንተመራማሪ ይሕበርን።

ብኻልእ መንገዲ ክኽፈል ዝነበሮ ሽልማት ብዝስዕቡ ዝኾነ ምኽንያት ክስእን ይኽእል፡

1. ቅድሚ ግዜኡ ወይ ዝተፈራራሕ ህዝባዊ ምግላጽ። ScribbleMaps እቲ ጸገም ከይጸገነን ምግላጽ ከይፈቀደን ቅድሚ ምግላጹ፡ ንድኽመት ብህዝቢ፡ ንሳልሳይ ወገናት፡ ወይ ብሜድያ/ማሕበራዊ መገናኛታት ምግላጽ — ወይ ምፍራሕ። ዝተሓባበረ ምግላጽ ናይ ፕሮግራም ሕጊ እዩ።
2. ምጭቋን፡ extortion፡ ወይ ምጥቃዕ። ዘይምግላጽ ብክፍሊት ምስራዕ፤ ሰራሕተኛታት ምፍራሕ ወይ ምጭቋን፤ ወይ ክፍሊት ደጋጊምካ ወይ ብዘይ ስነ ሥርዓት ንምሕታት ናይ support፡ billing፡ ወይ ናይ ሓባሪ መንገድታት ምጥቃም። ናይ ሽልማት ኩነታት ሕቶታት ብናይ bounty portal ክለዓሉ ይግባእ፡ ScribbleMaps ከኣ ክምልሶ እዩ።
3. ብዙሕ ወይ ዝደገመ መንነት። ልዕሊ ሓደ ናይ ተመራማሪ ኣካውንት ምስራሕ፡ ወይ ናይ ዝተፈላለዩ ኣካውንትታት ሽልማት ናብ ሓደ ዝሓባበር ናይ ክፍሊት ኣድራሻ ምስዳድ፡ ብዝሒ ናይ ምልክታ ወይ ሽልማት ንምዕባይ።
4. ምትሕብባር ወይ ዝተሰርሐ ርኽበታት። ኣብ ዝተፈላለዩ ኣካውንትታት ምልክታታት ምውድዳብ፡ ናይ ካልእ ተሳታፊ ኣካውንት ወይ maps ከም “ተጠቃዒ” ኣብ proof of concept ምጥቃም፡ ወይ እቲ ፕሮዳክት ክፈጥሮ ዘይክእል ኩነታት ዳታ ምፍጣር ድሕሪኡ እቲ ዝመጸ ዳታ ከም ምፍሳስ ምጥቃስ።
5. ትሑት ጻዕሪ ወይ ሓሳዊ ስፓም። ናይ ሓሳዊ scanner ውጽኢታት፡ ዝሓለፉ ላይብረሪ/CVE ዝርዝራት፡ ወይ ፍሉያት ካብ ወሰን ወጻኢ ዝኾኑ ነገራት (ርኣዩ ካብ ወሰን ወጻኢ) ዝተርኣየ፡ ንScribbleMaps ዝተፈልየ exploit ከይህሉ ብብዝሒ ምልክታ።
6. ጎዳኢ ወይ ዘይሕጋዊ ፍተሻ። ንምርኣይ ኣብ ዘድሊ ትሑት ልዕሊ ዝኾነ ናይ ካልኦት ተጠቀምቲ ዳታ ምእታው፡ ምቕያር፡ ወይ ምውጻእ፤ ኣገልግሎት ምብላሽ ወይ ምኽልካል፤ ንሰራሕተኛታት ወይ ተጠቀምቲ social-engineering ምግባር፤ ወይ ብናይ ፕሮግራም ወሰን ወይ ተፈጻሚ ሕጊ ዝተኸልከለ ዝኾነ ንጥፈት።
7. ሓሶት ምቕራብ ወይ ጥራዝ። ናይ ምፍጣር ደረጃታት፡ ምስክርነት፡ ናይ ምርካብ ዕለታት፡ ወይ መንነት ምጥርናፍ።

መዘኻኸሪታት።

• ምስኣን ከፊል (ዝተንከሰ ሽልማት) ወይ ምሉእ ($0) ክኸውን ይኽእል።
• ብሰንኪ ጌጋ ጠባይ ዝስእን ቅኑዕ rapport ንሓደ ርኽበት ዳግም ብቑዕ ኣይኮነን።
• እዞም ውዕላት ካብ ግዜ ምልክታ ጀሚሮም ይሰርሑ፡ rapport ክቕበል ከሎ ኣብ ዝልኣኽ ናይ ምቕባል ሓበሬታ እውን ይደገሙ።

rapport ንምቕራብ

በጃኹም ብጻሕ፡ https://api.scribblemaps.com/vulnerabilities

እቲ ሳይት ብAI rapportታት ከመይ ከም ዝቐርቡ ዝገልጽ መምርሒታት እውን ኣለዎ። rapport ንምቕራብ ክትኣትዉ ኣለኩም።

ሕጋዊ ነጥብታት

ኣብ ናይ ማእቶት ዝርዝራት ንዘለዉ ወይ ኣብ ናይ ማእቶት ዝርዝራት ዘለዋ ሃገራት (ንኣብነት ኩባ፡ ኢራን፡ ሰሜን ኮርያ፡ ሱዳንን ሶርያን) ንዘለዉ ሰባት ሽልማት ክንህብ ኣይንኽእልን ኢና። ብመሰረት ሃገር መንበሪኹምን ዜግነትኹምን ንዝኾነ ናይ ግብሪ ሳዕቤን ተሓታትነቱ ናትኩም እዩ። ብመሰረት ከባቢያዊ ሕግኹም ንምስታፍኩም ተወሳኺ ገደባት ክህሉ ይኽእል።

እዚ ውድድር ኣይኮነን፡ ግናኸ ኣብ ፍተሻ ዝተመርኮሰ ብፍቓድ ዝካየድ ናይ ሽልማት ፕሮግራም እዩ። ነዚ ፕሮግራም ብዝኾነ ግዜ ክንሰርዞ ከም እንኽእል ክትርድኡ ኣለኩም፡ ሽልማት ክንኸፍል ወይ ከይንኸፍል ዝወሰነ ውሳኔ ድማ ምሉእ ብምሉእ ብፍቓድና እዩ።

ዳርጋ፡ ፍተሻኹም ዝኾነ ሕጊ ክጥሕስ፡ ወይ ናትኩም ዘይኮነ ዝኾነ ዳታ ክዓክል ወይ ክጎድእ የብሉን።