Reportar sitios vulnerables

Comience leyendo las respuestas a estas preguntas:

• ¿Cómo divulgar una vulnerabilidad de seguridad de una manera ética?
• ¿Cómo debo escalar ...

Comience por intentarlo de nuevo, posiblemente con una dirección de correo electrónico diferente (a menos que haya recibido una confirmación personal, no puede estar seguro de que alguien haya leído su correo electrónico).

Si eso no funciona, diría que depende:

• Si es un sitio grande y famoso con alta visibilidad, hay sitios para publicar esto en ( enlace listas algunos, pero no estoy completamente cómodo con eso.)
• Si es un sitio desconocido más pequeño - no hay razón para publicitar el vulnerabilidad, solo atraerá a los atacantes que de otra manera no lo harían incluso saber o molestarse con ellos.

Realmente no hay mucho más que hacer: ya cumpliste con tu deber cívico.

En realidad, este es un problema generalizado. Y no importa si este es un sitio web pequeño o grande, sucede que no recibe comentarios debido a muchas razones: no hay un correo electrónico de contacto válido, nadie está dispuesto a arreglarlo, alguien simplemente no siente que sea su deber.

Por lo general, debe haber muchos correos electrónicos de contacto con la persona que de alguna manera es responsable de la administración del sitio web. Los Pentesters intentan algo como admin @ ..., security @ ..., y etc. Otra posibilidad de recibir correo electrónico es de DNS whois. Eso fue sobre el caso de cómo encontrar contacto.

Si recibió respuesta, pero nadie corrige la vulnerabilidad durante algún tiempo, intente enviar un segundo correo. No hagas spam hasta la muerte, pero recuerda amablemente el problema.

Si nadie responde y no hay posibilidad de ponerse en contacto con los representantes del sitio web, entonces hay tres formas de hacerlo. Mala señal, pero ese es un problema del propietario del sitio web, ¿realmente les importa? Entonces, en este punto puedes:

1. haga una divulgación completa, por ejemplo, publique en enlace ;
2. deja la vulnerabilidad en paz;
3. parchese usted mismo - sí, interrumpa y arregle la vulnerabilidad.

Los puntos 1 y 3 son de alguna manera riesgosos, especialmente 3, pero si realmente te importa, las cosas pueden ser peores. Supongo que eso es todo.

Puede consultar la pregunta muy idéntica hecha en StackOverflow pirateando y explotando - ¿Cómo lidiar con cualquier agujero de seguridad que encuentre?

Hay algunas respuestas buenas en las que se discute lo que debe hacerse con ética, lo que debe hacer legalmente y más.