Кому продавать баги и уязвимости?

Question

[Имя Фамилия]

Здравствуйте,
Довольно длительное время занимаюсь безопасностью веб приложения (В основном поиск багов и уязвимостей).
Всегда старался быть от части альтруистом и даже если компании отказывались отправлять $Пасибо сообщал им о найденных багах и уязвимостях бесплатно.

Но время идет, а "жадность" растет (Когда крупные платежная система платит 1000 USD за уязвимости позволяющие просматирвать информацию о чужих транзакциях или крупный платежный агрегатор платит 100 USD за информацию о десятках багов и уязвимостей - я думаю не только у меня бы появился вопрос "А кому это собственно надо")...
Заинтересовал вопрос - а кому и где можно быстро продавать баги и уязвимости (В основном XSS уязвимости) крупных русскоязычных сайтов не имея каких либо связей?

P. S. Более менее легальные способы и места продажи. Именно конкретные "места" пожалуйста...

Comments

[senseninja]

Кинул запрос в скайп. Есть предложение.

Answer 1

[#алгоптимизируй #отботизируй]

Я правильно понимаю , ваш труд не оценили, вы ищете тех, кто оценит, последствия этого -использования уязвимостей в ущерб каким-то людям, которые вообще не при делах? А где тут альтруизм-то....

Comments

[Имя Фамилия]

Не совсем верно, я не хочу что бы ими воспользовались. Я хочу что бы эти биржи или люди сами искали пути предоставления информации об этих уязвимостях компаниям т. к. разговор с тех. по в большинстве случаев не приводит не к чему.

[#алгоптимизируй #отботизируй]

IvanDanilov: Вы лукавите. Работайте в компаниях, занимающихся поисков уязвимостей получайте за полезную работу деньги

[#алгоптимизируй #отботизируй]

Опечатки....

[Имя Фамилия]

С Sharp: меня более чем устраивает моя нынешняя работа.

[#алгоптимизируй #отботизируй]

IvanDanilov: Ну так называйте вещи своими именами, хотите баблишко наварить с учетом возможного ущерба, да я сам не святой , ничего страшного.

[Имя Фамилия]

С Sharp: +- Просто грубо говоря хочется и подработать и быть в какой-то безопасности... Т. к. работая с webmoney, xsolla, interkassa и многими другими компаниями ты начинаешь осознавать то что люди не ценят свою безопасность, а объяснять им на пальцах то что например активная xss уязвимость на главной страницы это не гуд и вряд ли $Пасибо в 100$ это трезво.

[#алгоптимизируй #отботизируй]

IvanDanilov: Так пишите в соц сетях представителям публично, что есть уъязвимость, во сколько они оценивают ее.Вы по почте с тех поддержкой общаетесь?

[Имя Фамилия]

С Sharp: обычно по почте т. к. других контактов собственно и нету.

[#алгоптимизируй #отботизируй]

IvanDanilov: писать в соц сети нужно, там пусть они отвечают, сто ценят безопасть юзеров в 100 баксов. Вконтакте вроде есть они, вам деньги, им по шапке.

[#алгоптимизируй #отботизируй]

Что

[Имя Фамилия]

С Sharp: попробую, спасибо за совет ;)

[#алгоптимизируй #отботизируй]

IvanDanilov: Пожалуйста)

[Дмитрий]

Да, было бы хорошо размещать на "бирже уязвимостей", и всю переписку и т.п. переложить на их плечи. А то даже и простое спасибо многие не говорят... ((

[#алгоптимизируй #отботизируй]

Дмитрий: это для них проблема, а не помощь в решении, все логично.

[Дмитрий]

С Sharp: я конечно понимаю, что им не хочется признавать ошибки, но все же... Можно и просто спасибо сказать! А то один доказывал, что я не прав и ошибки не влияют на безопасность )))

[#алгоптимизируй #отботизируй]

Дмитрий: у меня с Яндексом была обычная история, мне лень было объяснять подробности я забил.

[#алгоптимизируй #отботизируй]

И я забил.

[#алгоптимизируй #отботизируй]

Дмитрий: лень было показывать xss за спс в действии, техподдержка сама разбираться не стала.

[Имя Фамилия]

С Sharp: вы меня своей перепиской разбудили)))

[Имя Фамилия]

С Sharp: было дело яше слил xss шку у них - они даже спасибо не сказали :)

[#алгоптимизируй #отботизируй]

IvanDanilov: )))

[Дмитрий]

IvanDanilov: ну уж Яндексу вообще стыдно такое допускать... Хотя бы поблагодарили и на доску почета разместили бы... Может потом изменится ситуация, хотя бы в сторону признания

[#алгоптимизируй #отботизируй]

Дмитрий: за пред xss мне даже спс не сказали

[#алгоптимизируй #отботизируй]

Причем она была признана.

[Имя Фамилия]

Дмитрий: ну хз... Меня вебмани год назад убили... Слил им около 15 xss уязвимостей, пару багов (1 из которых был связан с просмотром списка транзакций других пользователей)... Они мне 1К USD заплатили... И как бы не скажу что сумма маленькая, но и не скажу что за такой объем большая)))

[Имя Фамилия]

С Sharp: плохие они))) На доску кстати просился - сказали что это невозможно... Вообще обидно.

Answer 2

[di23]

Рискуете вы связаться "не с теми людьми". Я конечно может вмешиваюсь не в свое дело., но может вам попробовать не в русском сегменте работать?

Comments

[Имя Фамилия]

Я живу не в СНГ и работать с Европой слишком много гемороя

[di23]

IvanDanilov: Ваша фраза про крупные российские сайты, говорит о том что вы именно там и ищите баги. Не важно где вы живете. Именно русские сайты не хотят платить, значится меняйте целевую страну. Не обязательно Европа, есть США, есть еще куча стран.
И думаете продавая баги левым людям вы меньше себе гемора заработаете? Отнюдь.