Il mese scorso ho segnalato un problema di sicurezza ad Adobe tramite una e-mail crittografata con PGP. Ho ricevuto l'email di conferma, ma nessuna risposta oltre. Ho controllato la pagina " Avvisaci " e ho detto che devi inviare un documento di prova del concetto. Nella mia email, ho appena detto cosa non andava e come arrivare all'exploit. L'ho segnalato nel modo sbagliato?
Un PoC o Proof of Concept fornisce un esempio di lavoro della vulnerabilità sfruttata. I PoC sono forniti per fornire esempi concreti di, beh, il concetto. Ad esempio, posso dire di avere XSS su un'applicazione web, posso puntare al parametro che viene passato nell'URL, ma il PoC fornisce un esempio di lavoro dell'XSS.
Questo è importante per alcuni motivi. Uno, fornisce credibilità alle affermazioni sulla sicurezza. Secondo, fornisce a quegli sviluppatori che devono trovare e risolvere il problema un caso di test in modo che possano rintracciare il problema e convalidare la correzione. Tre, è un buon uso del tempo di tutti, il tuo e il loro, di avere un PoC.
Una cosa da tenere a mente sui PoC è che non sono exploit completi, ma un esempio di ciò che può essere fatto. Nell'XSS sopra, un PoC sarebbe alert(document.domain) per mostrare che ho il controllo sul DOM. In buffer overflow, un PoC avrebbe ottenuto EIP per puntare a 41414141.
Did I report it the wrong way? Following the link you mentioned, it lead me to here. So I rather feel you did this:
When submitting a vulnerability, please provide concise steps to reproduce that are easily understood.
Hai spiegato la vulnerabilità ma una spiegazione chiara e precisa non è sufficiente in quanto puoi leggere il secondo elemento del tuo link :
Submit the report with a proof-of-concept file to [email protected] (PGP key available here).
La definizione di un POC su Wikipedia è imprecisa, quindi prendo quella di Wikiversity :
Evidence that demonstrates that a business model or idea is feasible
Questa prova può essere un programma che sviluppi per eseguire i passaggi che hai illustrato mostrando la vulnerabilità. Winzapper è un software gratuito sviluppato come POC.
In parole semplici: puoi spiegare che è possibile cuocere una torta dolce seguendo un certo metodo. In tal caso, un POC consisterà nel cuocere da solo una (o più) torta seguendo il metodo che hai descritto.
Leggi altre domande sui tag incident-response