dim88 Apr 18 2009 at 10:33

Стоит ли платить хакерам за поиск багов?

3 min

Lumber room

Translation

+32

Comments 22

Smorpy Apr 18 2009 at 11:01

Найдите 10 уникальных багов на нашем сайте и получи $100!
Вот это правильный подход :)

dab512 Apr 19 2009 at 05:30

Это подход типа: перекопай огород в 10 соток за 100 рублей

Имхо должно быть: 100$ за небольшой баг с объяснением как защититься
1000$ за критический баг связанный с безопасностью паролей и учетных записей

Vertex Apr 19 2009 at 09:09

а зачем еще нужны проститутки? :)

jeje Apr 18 2009 at 11:10

Было дело недавно, нашел уязвимость в Moneybookers(платежной системе). Написал — хоть бы как-то отреагировали.

Odes Apr 18 2009 at 11:19

Добавили бы копию в вебмани в письме отреагировали мгновенно =)

jeje Apr 18 2009 at 11:20

Вебмани не конкурент манибукерсу ;)

nekt Apr 18 2009 at 19:38

Согласен — зачастую компании не то что не готовы платить за найденные баги… они просто не хотят тратить ресурсы на устранение уже существующих…

skazkin Apr 18 2009 at 11:16

Сколько я ни находил багов на сайтах (в другом как-то не ищутся они :D ) — крайне редко их использовал в чёрных целях — всегда сдавал их владельцам сайтов или же разработчикам тех цмсок.

В итоге за всё время только один (!) человек удосужился мне ответить добрым словом, и попросил проверить новую версию сайта на уязвимости — по доброте душевной сдал ему сразу всё что нашёл за бесплатно)

Все остальные или игнорировали, или тупо ничего не делали.

lacki Apr 18 2009 at 11:43

На одном почтовом сервере зарегистрировал себе ящик root@example.com, ну и всё ошибки крона сыпались мне в почту… а там пароли, пути. В общем написал я им с этого ящика письмо про это, так они не только спасибо не сказали, но ещё и пароль у ящика сменили :(

А вобще да, мне спасибо тоже небольше 2-3 раз говорили :(

Raz0r Apr 18 2009 at 11:24

Обнаружение эксплоитов — тяжелая работа

да не особо сложная… вот к примеру тут их легко обнаружить: milw0rm.com/ ;)

EiZeRR Apr 18 2009 at 11:31

«обнаружение эксплоитов», простите, у меня когнитивный диссонанс, это как эксплоиты можно обнаруживать?

А что — хакеры все законно делают, работа тестеров ведь оплачивается.