Как грамотно уведомить владельца сайта о наличии уязвимости?

Question

[fatalick]

Добрый день! Занимаюсь пентестом, периодически тестирую случайные сайты и нахожу там уязвимости. Результат разный: бывает, есть возможность слить базу с персональными данными. По факту получается несанкционированный доступ к конфиденциальной информации (хотя и без разглашения или дальнейшего использования в корыстных целях). В соответствии с законодательством РФ, сам факт неправомерного доступа к КИ с использованием нештатных средств АИС является нарушением. Отсюда вопрос: как грамотно с юридической точки зрения сообщить о дыре владельцу сайта, чтоб не выставили потом злодеем? Пока мысль такая: просто сообщать о наличии уязвимости и о ПОТЕНЦИАЛЬНОЙ возможности ее эксплуатации, в результате чего ВОЗМОЖЕН НСД к КИ.

UPD Задача сделать максимально открыто, официально.

UPD2 Сайт достаточно крупный, реализует масштабные проекты, поэтому и появился интерес к сотрудничеству с ними. Написал им на почту. Пока ответа нет. Если будет что-то интересное, напишу здесь.

Comments

[alex maslakoff]

не знаю как правильно. но, оно вам надо?

[lukoie]

teke teke: естественно - он так клиентов находит. но если там пеликаны - то еще чего доброго стуканут на него "куда надо".

Answer 1

[laxikodeje]

Важно:

1. Не сойти за спамера. Обращение должно быть очень индивидуальным.
2. Не сойти за шантажиста.

Я бы подробно расписал по какому поводу вы пишете.

Потому что иначе:

Мне буквально вчера показывали письмо такого "уведомлятора об язвимостях". Сильно смахивало на фантастику (простому люду непонятно что и их сайт может быть взят под чужой контроль, они об этом только в новостях читают) и на шантаж (звучало типа так: ну и что мы будем с этим делать).

Менеджер, получившись письма ответил просто - "не интересует". Не довел ни до руководства ни до админа.

А вообще это большая проблема.
ЛИЧНО знаком с владельцами сайта. ПОЛГОДА долблю их об уязвимости. Там и спамеры уже поселилилсь, на их сайте. А им хоть бы хны - впрочем нет: спросили сколько примерно стоит починить. Стоимость ответа видимо не устроила, решили, что тупо хочу денег. Думаю, пока их кто-то не дефейснит - не спохватятся.

Answer 2

[alex stephen]

Левый email через проксю. Если есть возможность, руководителя проекта ставить в копию. Если владельцы сайта сами не объявили премию за найденные уязвимости, то пытаться заработать на этом не стоит - можно столкнуться с неадекватами и действительно уйти по 272-й.

Comments

[АртемЪ]

Ну почему же с неадекватами?
Если кто-то присылает уведомления об уязвимостях, вполне адекватной реакцией владельца сайта будет привлечение слуг закона к этому делу.

[d-stream]

АртемЪ:

Если кто-то присылает уведомления об уязвимостях, вполне адекватной реакцией владельца сайта будет привлечение слуг закона к этому делу.

Но вот позиция этого доброжелателя может варьироваться от свидетеля до подозреваемого в глазах слуг закона...

Answer 3

[ser-storchak Сергей]

Поиск уязвимостей на сторонних веб-ресурсах без договора может быть чреват уголовным наказанием независимо от того, благую вы преследовали цель или нет.
Представьте ситуация, что в ваш дом вошли люди, потому что увидели незапертую дверь, полазили в нем, а потом уведомили вас о том, что обнаружили в доме места, где лежат ценные вещи, в связи с чем предложили предпринять необходимые меры. А раз вы уже залезли без спроса в "чужой дом", найдите электронный адрес службы безопасности, администраторов веб-ресурса либо службы техподдержки и сообщите об уязвимости, чтобы смягчить вашу участь в случае возбуждения против вас уголовного дела.
Для повышение своих навыков лучше используйте специальные тестовые полигоны www.securitylab.ru/blog/personal/Informacionnaya_b...

Comments

[ser-storchak Сергей]

Тут тоже рассуждают на эту тему. Думаю, Вам будет интересно.

Answer 4

[Максим Гришин]

Слать на саппорт@домен или контактам сайта письмо, что вот мол есть проблема. Если стремно спалить email, используйте псевдо-одноразовый адрес. По мне, должно хватить.

Comments

[fatalick]

Уточню, нет задачи скрываться и анонимничать, хотелось бы иметь фидбэк с владельцем, для дальнейшего сотрудничества:)

[Максим Гришин]

Дык, вам же нужен SYN/ACK вначале, потом только отправлять clienthello с сертификатом для идентификации. А если ваш трафик на этапе TCP handshake попадет на MitM?

(типа аналогия такая)

Т.е. вы сначала должны удостовериться, во-первых, в том, что попали на владельца ресурса, а во-вторых, в его адекватности, и только потом отдаете достаточно данных, чтобы можно было начать сотрудничество.

[Роман Молчанов]

Контакты владельца домена можно узнать через Whois, не обязательно он будет совпадать с контактами указанными на сайте.
ИМХО, лучше соблюдать анонимность: один администратор будет рад, что ему сообщили об уязвимости, второй - благодарен, третий - забьёт на сообщение, а четвёртый - попытается привлечь за неправомерный доступ и свалит на благодетеля какие-нибудь известные проблемы и утечки. Так что есть вероятность получить неприятный разговор с каким-нибудь следователем.

Даже бэтмэн носит маску.

Answer 5

[dvlprjv15]

Чтобы абсолютно юридически грамотно, то попросить разрешение на проведение пентеста до проведения пентеста. В письме можно указать, что необходимо для курсовой работы, или дипломного проекта, или научных исследований и владельцу сайта это обойдется бесплатно. А можно и запугать, что мол ставлю в известность ради благих целей, а вот настоящие хакеры спрашивать не будут, унесут втихаря всю жирную инфу еще и поглумятся и выставят на позор владельца сайта. А так он узнает дыры и своевременно их закроет.

Answer 6

[АртемЪ]

Как грамотно уведомить владельца сайта о наличии уязвимости?

Просто берете и уведомляете. Уведомлять не запрещено.

Просто не ждите что вас поблагодарят, хотя возможно и такое, и будьте готовы к негативной реакции владельца сайта. А так же в возможных обвинениях.

Правда непонятно зачем оно вам надо...

Comments

[Arris]

Правда непонятно зачем оно вам надо...

Ну, некоторые люди считают, что этот мир надо сделать лучше. Это один из путей ;-)

[АртемЪ]

Мне непонятно чем это сделает мир лучше.

[Максим Корольский]

АртемЪ денег хочет заработать, это один из путей

Answer 7

[CityCat4]

Если у конторы есть официальный (-ые) адрес(а) - слать на все оповещения о том, что бла-бла-бла. Но реакция будет разной :) в зависимости от того, что за контора и от ее толщины.

Answer 8

[Егор Казанцев]

Не знаю как сейчас а 15 лет назад даже ныне крупные конторы страдали от багов , надо было сделать очень мерзкий дефейс чтоб начали прям ловить. Я так устроится работать пытался =)

Comments

[Максим Кудрявцев]

У Вас эта идея выгорела? Я имею ввиду взломав N-е количество сайтов Вы устроились куда-либо? Буду признателен, если укажите в какой стране Вы работу искали таким образом :-)

[Егор Казанцев]

Максим Кудрявцев: Страна Россия , это было самое начало 2000. Всем было пофиг на безопасность. Кто тому же я только закончил школу .... в результате я забил поучился и устроился кодить на php - потом бросал почти 10 лет это чертово php.

Answer 9

[Сергей]

Напиши владельцу сайта что-то вроде

Привет, тебе интересно проверить свой на уязвимости? Выявление ошибок будет бесплатно, если я найду их, то помогу в исправлении на платной основе

Answer 10

[Дмитрий]

Аналогично искал ответ на похожий свой вопрос... Отправлял со "своего" темного e-mail. Но даже "Спасибо" многие не пишут обратно... И естественно многие даже баги не правят! )) Что иностранцы, что свои...

Comments

[fatalick]

dlneo: А как быть с утечкой конфиденциальной ининформации?