La settimana scorsa, mentre leggevo un articolo su un sito web, l'URL che terminava in .php?id=1 ha semplicemente chiesto di essere testato per SQLi. Quando ho confermato che era vulnerabile, ho anche scoperto che non c'era alcun filtro per l'input dell'utente e che era possibile un semplice "<script>alert(1)</script> .
Quando cerchi un'email di contatto per segnalare la vulnerabilità, ho trovato solo indirizzi per reparti specifici, come [email protected].
Poiché non volevo semplicemente inviare il rapporto di vulnerabilità in modo casuale, ho chiamato l'azienda, spiegando che ho trovato un problema nel loro sito Web e che sarebbe stata una buona idea correggerlo. Ho spiegato che mi piacerebbe entrare in contatto con qualcuno dell'IT o qualcuno che abbia qualche relazione con le persone che gestiscono il sito web.
La persona al telefono è diventata piuttosto aggressiva, mi ha detto di fare una passeggiata (usato un linguaggio un po 'meno amichevole) e mi ha detto che non avevo niente a che fare con il loro dipartimento IT del sito web.
Come posso convincere le persone dell'importanza di una vulnerabilità e della divulgazione quando non hanno familiarità con l'IT? Soprattutto quando nessun contatto e-mail è possibile?
Per tua informazione, credo di essere stato molto gentile e calmo al telefono.