Segnalazione di siti vulnerabili

Inizia leggendo le risposte a queste domande:

• Come divulgare una vulnerabilità della sicurezza in modo etico?
• Come dovrei eseguire l'escalation ...

Inizia provando ancora, possibilmente con un indirizzo email diverso (a meno che tu non abbia ricevuto una conferma personale, non puoi essere sicuro che qualcuno abbia effettivamente letto la tua email).

Se ciò non funziona, direi che dipende:

• Se si tratta di un sito grande e famoso con alta visibilità, ci sono siti a cui rivolgersi pubblica questo a. ( link elenchi alcuni, ma non mi sento del tutto a mio agio.)
• Se è a più piccolo sito sconosciuto - non c'è motivo di pubblicizzare il vulnerabilità, attirerà solo attaccanti che altrimenti non lo farebbero anche sapere o disturbare con loro.

Non c'è davvero molto altro da fare: hai già compiuto il tuo dovere civico.

In realtà, questo è un problema molto diffuso. E non importa se questo è un sito piccolo o grande, capita di non ricevere feedback a causa di molte ragioni: nessuna e-mail di contatto valida, nessuno è disposto a sistemare, qualcuno semplicemente non ha la sensazione che sia suo dovere.

Di solito, ci dovrebbero essere molte e-mail per il contatto con una persona che è in qualche modo responsabile della gestione del sito web. I pentestori provano qualcosa come admin @ ..., security @ ..., e così via. Altre possibilità di ricevere e-mail sono DNS whois. Si trattava di caso come trovare un contatto.

Se hai una risposta, ma nessuno corregge la vulnerabilità nel tempo, prova a inviare la seconda posta. Non inviare spam fino alla morte, ma ricorda gentilmente il problema.

Se nessuno risponde e non c'è la possibilità di entrare in contatto con i rappresentanti del sito web, beh, allora ci sono ancora tre modi per fare ciò che puoi fare. Cattivo segno, ma questo è un problema del proprietario del sito Web: a loro importa davvero? Quindi, a questo punto puoi:

1. vai alla divulgazione completa - ad esempio, postare link ;
2. lascia la vulnerabilità da sola;
3. correggi te stesso - sì, irrompe e correggi la vulnerabilità.

I punti 1 e 3 sono in qualche modo rischiosi, specialmente 3, ma se ti interessa davvero, le cose possono andare peggio. Suppongo, questo è tutto.

Puoi verificare la domanda identica a StackOverflow Hacking e exploiting - Come gestisci eventuali buchi di sicurezza che trovi?

Ci sono alcune buone risposte che scusano la cosa etica da fare, la cosa legale che dovresti fare e altro ancora.