4lemon12 фев 2014 в 10:59

Триста девяносто четыре доллара

13 мин

33K

Информационная безопасность *

Из песочницы

+67

Комментарии 20

Pashkevich 12 фев 2014 в 11:04

Хорошее исследование.
Еще раз лишнее подтверждение того, что ничто не может быть в полной безопасности.

Zibx 12 фев 2014 в 11:06

— У нас дыра в безопасности!
— Ну хоть что-то у нас в безопасности.

НЛО прилетело и опубликовало эту надпись здесь

I3Lack_CaT 12 фев 2014 в 12:16

Весьма увлекательно, буду ждать продолжения о тех уязвимостях которые пока не закрыты, спасибо=)
Если что ввиду имелось это:

Остальные ещё не закрыты или в процессе финального рассмотрения.

Homakov 12 фев 2014 в 12:22

$394 общая награда? Спасибо за описание, теперь буду знать с чьими баунтями не связываться. А вот уж SQLi в finance особенно подозрительно закрылся. Даже если кто то другой зарепортил, можно было бы принять такое.

forgotten 12 фев 2014 в 13:18

Т.е. контора, которая схантила топа из из гугла, через год уволила его и заплатила неустойку в 100 миллионов долларов (пруф), заплатила за эту пачку уязвимостей меньше 400 долларов?

Кажется, организации, которые так относятся к пониманию, что для них ключевая компетенция, плохо заканчивают (см. печальную историю Nokia).

sebres 12 фев 2014 в 13:23

Один мой знакомый, наученый горьким опытом, делал так: Находится дыра, составляется research review, но не отправляется, а дыра «используется» пару раз для предоставления инфо в качестве доказательства, и вместе с честной оценкой сколько стоило ее искать (ака pro-forma invoice statement) со ссылкой на bounty программу делается скидка (10-20%) и подпись внизу «basis for negotiation» все это отправляется «изготовителю». Предварительно обговаривается со знакомым юристом, который советует приписать пару пунктиков, если перевезти с юридического что-то типа «ни в коем случае не рассматривать предложение как шантаж» и т.д.
Обязательно внизу приписать что в случае отказа, информация о дыре не предоставляется, но и НЕ планируется НИКАКОЕ ее использование, и все будет удалено в течении N дней.

Homakov 12 фев 2014 в 14:24

о, надо больше инфы! я тоже так буду

sebres 12 фев 2014 в 14:39

Тут пришла идея, а что если research review запаковать с длиннющим ключем (что-нибудь типа эллиптических кривых) и приложить к pro-forma invoice? Ключ по факту…
Или даже, если возможно, в два куска — первый открыть после аванса (главное как можно меньше информации), второй после полной оплаты…

sebres 12 фев 2014 в 14:48

надо больше инфы

«Корова не моя» (тм). Переговорю с ним, если даст добро,… :)

4lemon 12 фев 2014 в 14:39

Да, было бы интересно узнать подробности. Ладно деньги, частенько не то что спасибо не говорят, а даже не исправляют. Шлёшь им от чистого сердца во имя мировой справедливости, а они…

4lemon 12 фев 2014 в 14:02

По сумме ответил тут.

4lemon 12 фев 2014 в 14:18

Егор, SQLi в finance — это моя печаль. Действительно, странно. Тем более, что это был ajax-запрос — вещь гораздо менее очевидная, чем обычные урлы. И скриншот был, и следы проверок файловых привилегий на сервере остались, но апеллировать, на мой взгляд, было бесполезно. Бог им судья. Хотя я всё-равно остался вполне доволен. Тем более, что ещё не по всем уязвимостям вынесено финальное решение. Надеюсь на сумму порядка 15к.

Homakov 12 фев 2014 в 14:25

Тогда норм. 10к это даже много. Надо почекать их )

4lemon 12 фев 2014 в 14:33

Там уже индусы с пакистанцами своими мелкими партиями по полтора миллиона человек прошлись). Хотя вроде с неделю назад там очередное RCE накопали. Моё личное мнение, приятный сердцу и кошельку фарш можно раскопать в азиатских локалях — Тайвань, Гонг-Конг. Сам там неплохо порезвился.

Fooog 12 фев 2014 в 12:54

И всё же сумма в 394$ от такой компании, за подобные уязвимости, это оскорбление. При правильной эксплуатации, подобные баги могли бы yahoo очень навредить и тогда компания, понесла бы значительно большие потери.