TL; DR : ser profesional y humilde recorrerá un largo camino. Ser secreto, orgulloso o malicioso obviamente no terminará tan bien. Si trabajas con ellos con calma y en privado, es probable que hagan lo mismo.
Esto suena casi cortado y pegado a cómo empecé a encontrar problemas con la seguridad de mi universidad. Mi universidad estaba colocando la identificación del estudiante en una cookie y así es como te conectaste. Si manipuló la cookie, inició sesión como quien quisiera. Fue el descubrimiento lo que me llevó a profundizar en su seguridad. También tenían un servidor de correo inseguro que retransmitiría cualquier cosa sin autenticación. Los nombres de archivo de las imágenes en el directorio de la escuela eran simplemente una codificación extraña de la identificación de ese estudiante . En un momento, podría buscar un SSN y obtener el nombre de un estudiante.
Encontré estos errores poco a poco. Comenzó con un sentido de "Mi información debe estar segura y no lo está", y señalaría la última falla que descubrí a TI. Después de la tercera vez que informé algo, comencé a sentirme enfadado y superior al departamento. Cada dos semanas me encontraba en la oficina del Vicepresidente de Tecnologías y señalaba una nueva forma de obtener los SSN o los registros financieros de los estudiantes desde 1995 o alguna técnica de acosador para determinar el horario completo de la clase de alguien (incluida la calificación de letras en esa clase). ). El vicepresidente también comenzó a ponerse hostil conmigo. Admito que es posible que no haya tenido la mejor actitud después de los 6 meses. En un momento dado, me expulsaron durante aproximadamente 3 semanas cuando se enteraron de que intentaba realizar una ingeniería inversa de su codificación (enlace arriba). Quería mostrarles qué agujeros eran vulnerables cuando una persona no estaba trabajando con ellos y estaban en la oscuridad. Eventualmente lo resolvimos, pero hubo una gran cantidad de ira, papeleo y ego en el entretanto en ambos lados.
El punto que trato de señalar es que el departamento de TI trabajó conmigo a pesar de que soy un imbécil. Arreglaron los problemas y la escuela está mejor por eso. Mientras yo fuera directo con mis intenciones y abierto acerca de lo que estaba haciendo, no me amenazaban ni me obstaculizaban. No fue hasta que estuve trabajando en secreto que tomaron medidas disciplinarias. Estaba por todo el tablero con cosas que absolutamente podrían considerarse piratería, incluidos ataques de inyección, ingeniería social, ingeniería inversa, rastreo de paquetes, escaneo de puertos, vulnerabilidades de software personalizadas y más. Ya que nunca cambié nada y siempre (bueno ... generalmente) informé a mis hallazgos en silencio y directamente a ellos, trabajaron conmigo. No tengo ninguna duda de que si no fuera un asno, no habría sido expulsado temporalmente.