Зәгыйфьлекләр һәм бүләкләр

Без табылган зәгыйфьлекләр яки куркынычсызлык белән бәйле мәсьәләләр өчен бүләк түлибез. Түләү алу өчен түбәндәге шартлар үтәлергә тиеш.

#1 Зәгыйфьлек уникаль булырга тиеш 
Әгәр безгә берничә хәбәр килсә, беренче хәбәр итүче бүләк ала. Без, үз карарыбыз буенча, киләчәктә табуларны дәртләндерү өчен икенче хәбәр итүчегә билгеле бер символик сумма түли алабыз.

#2 Зәгыйфьлекне кабатлап булырга тиеш
Без кабатлап булмый торган зәгыйфьлекләр өчен түләмибез. Кабатлап булмый торган зәгыйфьлекне күрсәтүче YouTube видеолары өчен дә бүләк түләмибез.

#3 Һөҗүм сценарие булырга тиеш
Һөҗүм безнең системалар аша таратыла алырга тиеш. Зинһар, таратылу мөмкинлеген аңлатыгыз. Мәсәлән, безнең API-ны кулланып, аннары зарарлы скриптлар язу исәпкә алынмый, чөнки бу зарарлы скриптлы битне үзең язудан аерылмый.
 

Бүләк күләме ничек билгеләнә

Өстәге һәр категориянең түләү диапазоны бар. Дөрес хәбәрнең диапазон эчендә кайда урнашуы өч факторга бәйле:

Эксплуатацияләү өчен кирәкле привилегия. Аутентификациясез эксплуатацияләнә торган хаталар диапазонның югары очына туры килә. Аутентификацияләнгән кулланучы таләп итүче хаталар урталыкка туры килә. Привилегияле контекст (команда администраторы, команда хужасы, түләүле план, эчке хезмәткәрләр) таләп итүче хаталар түбән очка туры килә.

Тәэсир ярсуы. Һәр кулланучыга яки һәр картага тәэсир итүче зәгыйфьлекләр, һөҗүмчегә инде караган бер аккаунтка яки бер командага гына тәэсир итүчеләргә караганда күбрәк түләнә.

Кире кайтарылучанлык. Тәэсир ителгән кулланучы гадәти эш процесслары аша (мәсәлән, парольне торгызу) төзәтә алган зыян азрак түләнә, ә саклана торган яки төзәтү өчен безнең катнашу таләп ителгән зыян күбрәк түләнә.

Хәбәрнең сыйфаты да исәпкә алына. Эшләүче proof of concept, төп сәбәпне анализлау һәм төзәтү тәкъдимнәре булган ачык тасвирлама, техник йогынты гына урталыкка туры килсә дә, диапазонның югары очына ирешә ала. Ашыгыч язылган яки фаразга нигезләнгән хәбәрләр түбән очка ирешергә мөмкин.

Чикләр ягыннан читтә

Түбәндәгеләр бүләккә лаеклы түгел:

Аноним җәмгыять карталары. Хужасы булмаган һәм теләсә кем үзгәртә алган карталар — күптәнге җәмгыять мөмкинлеге. Аноним картаны өстәп саклау зәгыйфьлек түгел.

Исемлеккә кертелмәгән (URL — таныклык буларак) карталар. LockView булмаган карталар, исемлеккә кертелмәгән YouTube видеосына охшаш рәвештә, URL-ны белгән һәркем өчен ихтыярый рәвештә ачык. Картаның кодын белеп аңа керү яки аны саклау — проект буенча шулай уйланылган.

Без урнаштыра, ләкин тоткарламый торган өченче як программалары. Безнең хезмәтләр белән янәшә урнаштырылган GeoServer, Tomcat яки башка өченче як стеклары мәсьәләләре. Зинһар, моны тиешле төп тоткаручыларга хәбәр итегез.

Конкрет һөҗүм сценарийсыз югалган куркынычсызлык башлыклары. CSP, X-Frame-Options, HSTS һ.б. турындагы хәбәрләр, эшләүче эксплойтсыз, бүләккә лаеклы түгел.

Аерым алынган rate limiting. Rate limiting куркынычсызлык өчен мөһим булмаган endpoint'ларда, күрсәтелгән начар куллану сценарийсыз, аның булмавы.

AI куллану

Без башлангыч тикшерү өчен AI кулланабыз. Ул кайвакыт хаталана, без һәрберсен кеше белән дә карап чыгабыз, шулай да, әгәр AI башта зур хата ясады дип саныйсыз икән, хәбәргә өстәмә контекст һ.б. белән язма өстәгез.

Burp куллану / Endpoint'лар

Без тиз тикшерүләр өчен burp кебек коралларны кулланабыз. Гадәттә бу тикшерүләрне безгә каршы үткәрмәвегезне өстенрәк күрәбез, чөнки меңләгән соратулар серверларыбызга кирәкмәгән йөк төшерә. 

Вакытыгызны янәшә калдыру өчен кайбер endpoint'лар: 

https://www.scribblemaps.com/ 
(Әгәр тикшерү үткәрсәгез, /maps/ юлын блоклагыз, чөнки бу сканерларны чиксез эзләнүгә алып китә) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Түләүләр

Түләү вакытларына гарантияләр юк. Без айлык бюджет билгелибез, җитди мәсьәләләр һәрвакыт беренче булып түләнә. Без түләүләрне wise яки paypal аша гына башкарабыз.
 

Бүләктән мәхрүм итү

Хәбәрне тикшерү яки кабул итү бүләккә лаеклылык тудыра, ләкин аны шартсыз алу хокукы тудырмый. Тикшерүченең гамәлләре бу шартларны яки яхшы ният белән координацияләнгән ачу принципларын бозса, ScribbleMaps бүләкне тулысынча яки өлешчә киметергә яки тотып калырга мөмкин. Мәхрүм итү ScribbleMaps карары буенча башкарыла; сәбәбе хәбәрдә теркәлә һәм тикшерүчегә җиткерелә.

Башкача түләнергә тиеш булган бүләк түбәндәгеләрнең берсе өчен дә тотып калынырга мөмкин:

1. Вакытыннан алда яки куркыту белән җәмәгатьчелеккә ачу. ScribbleMaps мәсьәләне бетермичә һәм ачуны рөхсәт итмичә торып, зәгыйфьлекне җәмәгатьчелеккә, өченче затларга яисә матбугат/социаль челтәрләр аша ачу яки аны ачу белән куркыту. Координацияләнгән ачу — программаның шарты.
2. Мәҗбүр итү, шантаж яки дорфа кыланыш. Ачмау шартын түләүгә бәйләү; хезмәткәрләрне куркыту яки басым ясау; түләү таләп итү өчен ярдәм, түләү яки хәбәр итүче каналларын кабат-кабат яки мыскыллап куллану. Бүләк статусы турындагы сорауларны бүләк порталы аша бирергә кирәк, ScribbleMaps аларга җавап бирәчәк.
3. Берничә яки кабатланучы шәхесләр. Берничә тикшерүче аккаунты тоту яисә хәбәрләр күләмен яки бүләкләрне арттыру өчен аерым аккаунтлар бүләген уртак түләү адресына җибәрү.
4. Сүзгә килү яки ясалма табышлар. Аккаунтлар арасында хәбәрләрне килештерү, proof of concept'та башка катнашучының аккаунтын яки карталарын «корбан» итеп куллану, яисә продукт тудыра алмаган мәгълүмат хәлен ясап, аннары килеп чыккан мәгълүматны агып чыгу итеп күрсәтү.
5. Түбән көч куелган яки автоматлаштырылган спам. Автоматлаштырылган сканер нәтиҗәләрен, искергән китапханәләр/CVE исемлекләрен яки билгеле чикләрдән читтәге пунктларны (Чикләр ягыннан читтә бүлеген карагыз) ScribbleMaps өчен махсус күрсәтелгән эксплойтсыз күпләп җибәрү.
6. Зыянлы яисә законсыз тикшерү. Мәсьәләне күрсәтү өчен кирәк булган минимумнан артык башка кулланучыларның мәгълүматларына керү, аларны үзгәртү яисә алып чыгу; хезмәтне начарайту яки туктату; хезмәткәрләрне яки кулланучыларны социаль инженерия белән алдау; яисә программа даирәсе яки гамәлдәге закон тыйган теләсә нинди эшчәнлек.
7. Ялгыш күрсәтү яки алдау. Кабатлау адымнарын, дәлилләрне, ачу датасын яки шәхесне ялганлау.

Искәрмәләр.

• Мәхрүм итү өлешчә (киметелгән бүләк) яисә тулы ($0) булырга мөмкин.
• Дөрес дип танылган, ләкин тәртип бозу өчен бүләкләнмәгән хәбәр шул ук табыш өчен кабат бүләккә лаеклы түгел.
• Бу шартлар хәбәр җибәрелгән мизгелдән үк гамәлдә һәм хәбәр кабул ителгәндә җибәрелә торган кабул итү хәбәрендә кабатлана.

Хәбәр җибәрү өчен

Зинһар, керегез: https://api.scribblemaps.com/vulnerabilities

Сайтта шулай ук хәбәрләрне AI аша җибәрү буенча күрсәтмәләр бар. Хәбәр җибәрү өчен системага керергә кирәк.

Хокукый мәсьәләләр

Без санкция исемлекләрендәге шәхесләргә яисә санкция исемлекләрендәге илләрдә (мәсәлән, Куба, Иран, Төньяк Корея, Судан һәм Сүрия) яшәүчеләргә бүләк бирә алмыйбыз. Яшәү һәм гражданлык иленә бәйле рәвештә салым нәтиҗәләре өчен үзегез җаваплы. Җирле законыгызга карап, катнашу мөмкинлегегезгә өстәмә чикләүләр булырга мөмкин.

Бу ярыш түгел, ә тәҗрибә характерындагы һәм үз карарыбыз буенча бирелә торган бүләк программасы. Без программаны теләсә кайсы вакытта туктата алуыбызны, ә бүләк түләү-түләмәү турындагы карарның тулысынча безнең иркебездә булуын аңларга тиешсез.

Әлбәттә, сезнең тикшерүегез беркайсы законны да бозмаска, һәм үзегезнеке булмаган мәгълүматларны өзмәскә яки куркыныч астына куймаска тиеш.