Primero, lo haría de forma semi-anónima si es posible. Las leyes contra la piratería a menudo son amplias y sus acciones podrían interpretarse como 'piratería' por un equipo legal paranoico / tipos de negocios que están más molestos con tener que gastar más en el desarrollo de sitios web que tener algo seguro.
En segundo lugar, no exploraría el alcance de la vulnerabilidad debido a problemas legales. Por ejemplo, ¿puedo obtener hashes de contraseña? ¿Puedo obtener datos de usuario, etc.?
En tercer lugar, no revela la vulnerabilidad o amenaza con hacerlo a alguien que no esté en su empresa; puede tomar semanas / meses para que un diseñador arregle sensiblemente su código existente. (Por ejemplo, el desarrollador solitario está de vacaciones / incompetente / etc).
Cuarto, intentaría verificar si existen las direcciones de correo electrónico del administrador / desarrollador y contactarlos directamente. La página contact-us podría dirigirse a un departamento de marketing que no comprende qué significa la inyección de SQL e ignoró ese correo electrónico. ¿Las páginas html tienen algún autor / compañía listado en el código fuente con contacto por correo electrónico? ¿O puede ejecutar un whois en el dominio y encontrar un contacto técnico?
whois stackexchange.com
...
TECHNICAL CONTACT INFO
Stack Exchange, Inc.
Sysadmin Team
1 Exchange Plaza
Floor 26
New York
NY
10006
US
Phone: +1.2122328280
Email Address: [email protected]
También puedes probar algunos de los correos electrónicos estándar para un dominio (por ejemplo, [email protected] )
Finalmente, si nada de eso funciona, envíe otro mensaje a través de "contáctenos" que enlaza con los artículos que presentan qué es la inyección SQL, qué peligros probablemente representa para su organización, por qué notó que su sitio probablemente era vulnerable a ella. (la misma razón por la cual los tipos nefarios se darán cuenta), y qué deben hacer para que su sitio esté protegido contra este ataque específico.