Где Вы публикуете найденные XSS?

Question

[Дмитрий]

Иногда я пишу специально админам и разработчикам сайтов о найденных XSS. Но иногда нет времени писать отдельные письма, хочется опубликовать на сайте списком найденные XSS и баги... А где и как Вы публикуете найденные XSS и другие уязвимости?

Answer 1

[sim3x]

https://hackerone.com/

Для сайтов "особенных" стран, стоит публиковаться анонимно или, лучше, не работать с ними, тк, чаще всего, денег от них не получишь

Comments

[Дмитрий]

Давно на HackerOne зарегистрирован, но китайцы опережают постоянно :)
Иногда и денег не надо... Просто чтобы спасибо сказали и все! :)

[sim3x]

Дмитрий: для того чтоб получить спасибо иногда нужно сесть в машину времени и переместиться на 50-100 лет

[Дмитрий]

sim3x: назад или в будущее? :) В прошлом вместо bugbounty могли и по шапке дать... И не один раз...

[sim3x]

Дмитрий: машина времени работает только вперед

Answer 2

[АртемЪ]

Публикация надйденных уязвимостей является фактически подтверждением правонарушения.
Какой смысл самого себя под уголовное дело подводить?
Разве что на очень специфических ресурсах и шифруясь, если вам это сильно надо.

Answer 3

[private_tm]

Так в письме и проще и быстрей. А потом уже когда пофиксят в своем блоге или на хабр для пиара))

Answer 4

[Mnab]

А вас админы сайтов просят искать уязвимости на их сайтах? Если нет - я бы 100 раз подумал, прежде чем писать о уязвимости админу, на вас и заявление могут написать

Comments

[Дмитрий]

Иногда не просят... Но просто пройти мимо и не помочь я тоже не могу ;-)

[plartem]

Если только нашел(а не нашел и потестил на ком-то/слил куда-то/требуешь денег за информацию), то все должно быть норм

[Дмитрий]

plartem: исключительно случайно нашел и оповестил админов...