Поиск уязвимостей - безопасно ли?

[maniak]

Вот решил, предположим, Вася Пупкин поискать уязвимости на наших саитах, ну в общем поискал - сделал выводы для себя, намеревался на следующий день сообщить админам об уязвимостях, но какова вероятность, что админы сайта не уловят в его действиях корыстный мотив и не станут копать глубже, дабы засадить нашего Васю на срок от 3 до 5? Что нужно сделать - кроме проксей, что бы администраторы частных сайтов не подняли бы шухер во время мирного поиска уязвимостей с дальнейшей передачей данных админам сайта?

[Eldar Ishimbaev]

Сообщение от maniak

Вот решил, предположим, Вася Пупкин поискать уязвимости на наших саитах, ну в общем поискал - сделал выводы для себя, намеревался на следующий день сообщить админам об уязвимостях, но какова вероятность, что админы сайта не уловят в его действиях корыстный мотив и не станут копать глубже, дабы засадить нашего Васю на срок от 3 до 5? Что нужно сделать - кроме проксей, что бы администраторы частных сайтов не подняли бы шухер во время мирного поиска уязвимостей с дальнейшей передачей данных админам сайта?

Об инциденте или уязвимости можно сообщить Службе UZ-CERT. Мирным поиском уязвимостей можете заниматься, если вы соответствующий орган. А вопросы взломов здесь не обсуждаются. Считайте это предупреждением. В дальнейшем последует бан.

[maniak]

Касательно вопросов взлома - меня здесь ничего не интересует.
Меня интересует сам метод уведомления об уязвимостях на сайтах, были случаи, когда при мирном уведомлении о уязвимостях, админ обижался на весь мир и был крайне возбужден, доходило чуть-ли не до разбирательств.

Мне надо конкретно знать, нашел я уязвимость - пишу значит вам - дальше на ваше усмотрение, или же?

[Vitaliy Fioktistov]

Оп, а я в другой теме тот же вопрос поднимаю.

Хорошо, а можно узнать что считается взломом?
Ввод в форму: l/p:admin/123, сканирование портов, изучение веб-страниц и т.д. и т.п.???

Насколько я знаю, в мировой практике понятия взлома сильно разнятся от законодательства к законодательству.

[Eldar Ishimbaev]

Сообщение от maniak

Меня интересует сам метод уведомления об уязвимостях на сайтах, были случаи, когда при мирном уведомлении о уязвимостях, админ обижался на весь мир и был крайне возбужден, доходило чуть-ли не до разбирательств.

Мне надо конкретно знать, нашел я уязвимость - пишу значит вам - дальше на ваше усмотрение, или же?

"Сообщить об этом Службе реагирования на компьютерные инциденты UZ-CERT".
Служба проанализирует найденную уявимость и выдаст соответствующие рекомендации соответствующим админам соответствующего ресурса. А дальше все на усмотрение владельцев и админов данного ресурса. Устранят они уязвимость или нет - мы не контролируем.

[Eldar Ishimbaev]

Сообщение от VITUS

Оп, а я в другой теме тот же вопрос поднимаю.

Хорошо, а можно узнать что считается взломом?
Ввод в форму: l/p:admin/123, сканирование портов, изучение веб-страниц и т.д. и т.п.???

Насколько я знаю, в мировой практике понятия взлома сильно разнятся от законодательства к законодательству.

Получили доступ на чужой сервер или вебсайт, залили туда свое ПО, удалили информацию, слили данные, сделали дефейс, внедрили вирус или троян, использовали ресурс как плацдарм для атаки на другие ресурсы - все это взлом.

[Evgeniy Sklyarevskiy]

Сообщение от Eldar Ishimbaev

Получили доступ на чужой сервер или вебсайт, залили туда свое ПО, удалили информацию, слили данные, сделали дефейс, внедрили вирус или троян, использовали ресурс как плацдарм для атаки на другие ресурсы - все это взлом.

дефейс обычно просто предупреждение админу, что что-то не так с защитой - невинная шалость. Дефейснутые сайты гордятся такими акциями - всякую мелочь не будут проверять...

[maniak]

Хех, что за чушь - "дефейснутые сайты гордятся этим". Представь вот, кому-либо на лбу напишут "Ты Олень" - что он будет гордится этим? Дефейс - это удар по репутации сайта, по безопасности юзеров в конце концов.

[Dengiz]

Сообщение от maniak

Хех, что за чушь - "дефейснутые сайты гордятся этим". Представь вот, кому-либо на лбу напишут "Ты Олень" - что он будет гордится этим? Дефейс - это удар по репутации сайта, по безопасности юзеров в конце концов.

Польностью согласна!

[Eldar Ishimbaev]

Сообщение от Cкляревский Е. С.

Дефейснутые сайты гордятся такими акциями - всякую мелочь не будут проверять...

Это не значит, что задефейсенный сайт представлял какую-либо ценность. Это значит, что там просто обнаружили уязвимость.