Оцените уязвимость в крупном проекте

to Т.С. - Кыш отседава, глюк.. У вас 0 сообщений на данном форуме и репутация 10 😂

Я шутю, а то ещё поломаете мне компутер, вон, форум уже поломали, теперь forumSE вам должен деньги за уязвимость, вы о ней говорили? :)

Теперь по теме: Вы создали тему - "Оцените уязвимость" - ну и где уязвимость то? Показывайте, мы все будем её оценивать...

ТС, ты ЧО, ставь код сапы скорея!! Бизнес же!

Ну вот представь себе что кто-то проходя мимо твоего офиса где ты занимаешься бизнесом... (далее по тексту)

Тогда да, я бы отблагодарил посильно этого человека.

И если бы какой-нибудь человек указал на возможность краха и попросил символическую цену, я бы также его отблагодарил, как и любой благодарный адекватный человек, разве не так?

Думаю все-таки, символическая плата - это разумное решение.

Всё зависит от проекта и от типа (вида) уязвимости.

Т.е. уязвимость цениться тем, чем она более убийственная.

Как пример — даже простейшая XSS-ина в ЖЖ может натворить много бед.

И даже если эта XSS-ина пассивная...

Также не забывайте — как только вы админам упомяните о найденной уязвимости, они разу полезут смотреть логи.

Самое разумное решение в этой ситуции, просто сообщить о дырке и дать свои координаты.

Почему самое разумное, долго объяснять, время нет. Но делайте именно так, если это действительно серьезный сайт.

Хакер-импотент. дырку нашел, но у него не стоит.

А если серьезно - получите моральное удовлетворение от своей крутости и молчите.

Аргументы: продать владельцам портала не получится. Продать сторонним "заинтересованным лицам" аморально и еще опаснее, чем использовать самому. Сообщить бесплатно владельцам - можно нарваться на неадекватное отношение. Сообщить в компанию занимающуюся поиском уязвимостей бесполезно если ваша профессия не относится к безопасности и опять-таки есть шанс нарваться на неадекватность.

Просто держите в запасе. Может когда-то вдруг эта дырка вам понадобится для личных надобностей - тогда и используете.

покажите проект, что оценивать?

Обычно сообщаю админу, что могу продемонстрировать уязвимость, позволяющую сделать то-то то-то, и помочь в её устранении за определённую плату.

Последний раз получил $70 с админа putana.nu - символическая плата для такого проекта, но всё же не так и плохо за часик работы (основное время ушло на консультацию).

огласите проект