Я люблю лавэ! Опыт участия в программах по поиску with help

Кто платит? BlackHatы Вендоры «Брокеры» Правительство?

Зачем платит? BlackHatы - no comments Вендоры- аутсорс тестирование (ну и PR) «Брокеры»- перепродажа, например в виде virtual patch Правительство?- кибер война и все такое…

ZDI HP Tipping Point IPS - в базе 0дэеи, которые ей продали исследователи => позволяет определять атаку до выхода патча, и до его установки.

ZDI Другой плюс: баланс сил. Чем больше багов найдено и продано ZDI, тем больше их закроют до обнаружения китайскими ресерчерами 8)

ZDI Какую багу нужно найти? RCE (FileFormat too) Популярный продукт В конфигурации по умолчанию В последней версии продукта DoS

ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$?

ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$? Как долго разбираются? Месяц Два… Три, если твой менеджер попал в аварию 8(

ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$? Как долго разбираются? Месяц Два… Три, если твой менеджер попал в аварию 8( Как долго ждать денег? Неделю-две (перевод на долларовый счет в Россию)

ZDI Сколько платят? 2500$ 3000$ 5000$ 6000$ 10000$? Как долго разбираются? Месяц Два… Три, если твой менеджер попал в аварию 8( Как долго ждать денег? Неделю-две (перевод на долларовый счет в Россию) Итого: два месяца от отсылки уязвимости до снятия кэша Все общение - по Нужен скан паспорта Сумма приходит без «искажений» Бонусные очки! Премии и билеты на BlackHat и Defcon в Лас-Вегасе

ZDI

УК РФ Hack: 273 ст. - говорит нам про некое вредоносное ПО. Анализ уязвимости с описанием проблемы и возможным вектором эксплуатации - ни разу не ПО =) PoC запускающий калькулятор - не наносит «вред» ZDI контора вендора (HP), занимающаяся ИБ. Нет состава преступления. Фактически я внес вклад в безопасность. Налоги? Заплати! Открой счет в не Русском банке на имя друга 8)

ZDI

Fight!

За что дают? *.google.com *.youtube.com *.blogger.com *.orkut.com

За что дают $? *.google.com *.youtube.com *.blogger.com *.orkut.com

За что дают $? Cross-site scripting (XSS) Cross-site request forgery (XSRF) Clickjacking Flaws in user authentication or authorization mechanisms Server side code execution or command injection HTTP response splitting ….

За что не дают $? Соц. Инженерия Физческие атаки DOS НЕ веб баги Баги в клиентских приложениях SEO техники Не гугловые баги

Так сколько $? Базовая сумма вознаграждения $500 Максимальная сумма вознаграждения $3,133.7 Возможны вариации: Баги по $100 Несколько багов на $500

Я белый. Не нужны $$ ? Можно отказаться и просто отрепортить гуглу о баге Можно попросить гугл перевести деньги на благотворительность Имя в зале славы Google:

Не забываем про...

Готов получать $$ Запущу-ка я свой мега фаззер: Q) How far should I go to demonstrate a vulnerability? A) Please, only ever target your own account or a test account. Never attempt to access anyone else's data. Do not engage in any activity that bombards Google services with large numbers of requests or large volumes of data.

Пришел к успеху

Google Documents

Хмм, а что с этим можно сделать? Кавычки Скрипталерты ААААААААААААААААААААААААААААААА %0d%0a /etc/passwd

Google Documents Это же Exсel Засунем =A1+B1

Google Documents Засунем %08=A1+B1 Yaaahooo!!

Вектор? Слава Excel формулам! Ура, гугл функциям!

Вектор! В ячейку A20 помещаем критичную пользовательскую инфу, получаемую по URL В ячейку А21 вставляем формулу которая сделает GET запросик Profit !!

Profit

Необходимо заполнить громадную форму с инфой…

Profit …и не одну

Profit Респонз на уязвимость в течении недели Закрыли уязвимость в течении 3 недель Парочка месяцев недопонимания со стороны индусских работников Google 1337$ на азартные игры и блудниц Респекты в зале славы Google

Hey! What about U? :) PWNED

? tnx

Moooooaaaaaar?