¿Qué información debo proporcionar al enviar un informe de vulnerabilidad a un programa de recompensas?

ZDI y otros programas similares NO HARÁN nada sin informar sobre la vulnerabilidad total. No hay datos de desinfección. O confías en ellos, o no lo haces. El ejemplo se aplica a todos los programas enumerados en BugCrowd . Con ZDI, esto es lo que encontré que ha funcionado mejor para minimizar la cantidad de tiempo que necesitarías esperar:

1. Informe detallado completo del error
2. Prueba de concepto
3. Solución de problemas (guía paso a paso para explotar, incluida la depuración)

Lo que ZDI y otros hacen, es echar un vistazo a lo que estás enviando y pasar por el proceso de validación de esto. No se requiere la Prueba de concepto, ya que su personal puede hacer sus propias PoC pero minimiza la cantidad de tiempo de espera.

La solución de problemas de salida (por ejemplo, WinDBG, OllyDBG, ImmunityDBG) les ayuda a ver qué está afectado (EIP, EBX, ECX, etc.) cuando algo se desborda, por ejemplo. Aísla el espacio de direcciones, o ilustra lo que hiciste para algo como nopsledding, etc.

Ahora deduzco que le preocupa que envíe algo, ofrecerá un mínimo, dirá que lo olvide, y continuará informándolo / repararlo / etc. de todos modos. Este no es el caso, por lo tanto, usted firma un acuerdo de no divulgación con ellos. Así que de nuevo:

• Vulnerabilidad: necesaria para determinar el alcance del daño potencial si X ocurrió
• PoC: no es necesario pero ayuda a probar la explotación contra un aplicación
• Datos de depuración / solución de problemas: ayuda a ilustrar qué, cómo y por qué algo fue explotado

No hay una presentación "parcial" ya que gastarán DINERO (tiempo, recursos) para averiguar cuál es el problema (si lo hay). No hay posibilidad de teorías. La cantidad de dinero que ofrecen, se basa en qué tan extendida está la aplicación en uso (por ejemplo, las explotaciones de Microsoft generan grandes cantidades de dinero en comparación con, por ejemplo, MyRandomApplication.exe).

En general, con los programas de recompensas, cuanta más información pueda proporcionar, más probable será que paguen la recompensa. Desafortunadamente, la calidad de muchas de las vulnerabilidades presentadas puede ser muy baja; por ejemplo, conozco un programa de recompensas para un sitio web que con frecuencia recibe advertencias de que javascript estaba visible en el navegador web del usuario.

Por lo tanto, el mejor consejo si no tiene motivos para mantener en secreto la vulnerabilidad, envíe el PoC y tanta información como sea posible para maximizar la posibilidad de pago.

EDIT agregaré, si su interés es maximizar la ganancia, no necesariamente la divulgación, podría ser lo mejor para acercarse a la compañía directamente, pero realmente estos programas están diseñados para fomentar la divulgación responsable, no hacer rico a cualquiera.