Bug bounty po polsku, czyli proponujemy pakiet Eurogąbek

dodał 16 października 2013 o 20:34 w kategorii Wpadki  z tagami: • • •
Bug bounty po polsku, czyli proponujemy pakiet Eurogąbek

Od kilku lat duża część największych firm internetowych oferuje nagrody za odkrycie błędów w ich serwisach. W Polsce zwyczaj ten do tej pory się nie przyjął, a osoby zgłaszające błędy otrzymują czasem dość zabawne propozycje.

Niedawno media obiegła historia Yahoo, które zaproponowało odkrywcy dwóch błędów typu XSS kupon na zakupy we własnym sklepiku z gadżetami. Kupon o wartości 25 dolarów, po 12,5 za jeden błąd. Odkrywca błędów mógł zatem nabyć koszulkę lub skarpetki z logo firmy – oraz samodzielnie zapłacić kilkadziesiąt dolarów za ich wysyłkę. Yahoo szybko zorientowało się, że popełniło błąd i ogłosiło nowy program wypłat – ze znacznie większymi kwotami. Jak wygląda taki proces w Polsce?

Nasz Czytelnik Denis przesłał nam ciekawą historię. Trzy dni temu odnalazł on dwa błędy typu „persistent XSS” w serwisie Naszej Klasy. Umożliwiały one wstrzyknięcie dowolnego kodu JavaScript do strony i jego wykonanie na komputerach innych osób, które tę stronę odwiedzą. Błędy były dość poważne, ponieważ znajdowały się w miejscach umożliwiających przeprowadzenie ataków o dużej skali.

Pierwszy błąd zlokalizowany był w funkcjonalności Śledzika, a konkretnie w dodawaniu własnego linka. Jedno z pól formularza było podatne na wstrzyknięcie kodu JavaScript – poniżej możecie zobaczyć demonstrację tego błędu.

Wstrzyknięty kod wyświetlał się wszystkim użytkownikom, obserwującym daną osobę, zatem zaatakować można było wszystkich swoich znajomych (lub w przypadku popularnych profili kilkanaście tysięcy osób). Prawdopodobnie możliwe było również stworzenie robaka XSS, który mógł przenosić się z profilu na profil i w krótkim czasie zarazić większość użytkowników.

Drugi błąd występował w formularzu dodawania komentarzy do uruchomionej właśnie usługi „Kino NK”. Każdy użytkownik ma możliwość skomentowania dowolnego filmu, a komentarze wyświetlają się wszystkim osobom, które wejdą na stronę danego filmu, zatem potencjalny zasięg wstrzykniętego kodu mógł obejmować tysiące użytkowników.

Persistent XSS w nk.pl

Persistent XSS w nk.pl

Jak pisze nasz Czytelnik, kiedy po trzech dniach od zgłoszenia błędu nie otrzymał ciągle odpowiedzi, zaczął rozsyłać wiadomości na wszystkie adresy nk.pl, jakie znalazł. Wkrótce otrzymał podziękowanie za zgłoszone błędy. Kiedy jednak zapytał, czy firma przewiduje jakieś wynagrodzenie za przekazane informacje, otrzymał taką oto odpowiedź:

Bug bounty w Eurogąbkach

Bug bounty w Eurogąbkach

Tak, NK.pl zaproponowała wypłatę nagrody w Eurogąbkach. Niestety nie dowiedzieliśmy się, ile Eurogąbek firma chciała zaoferować, ponieważ Denis nie skorzystał z tej hojnej propozycji. Pewnie sporo, skoro utrudnienia w dostępie do serwisu mogą kosztować nawet 60 mln PLN. Ocenę atrakcyjności propozycji zostawiamy Czytelnikom. Zawsze mogli też, wzorem Interii, wcale nie odpisać…

Po przesłaniu przez nas kilku pytań do Naszej Klasy, Denis otrzymał kolejną propozycję – tym razem prawdopodobnie otrzyma jakiś gadżety. Poniżej zamieszczamy odpowiedzi  na nasze pytania autorstwa Piotra Młynarczyka, Head of Product w Naszej Klasie Sp.  z o.o..

1.      Czy nk.pl prowadzi formalny lub nieformalny program typu bug bounty

NK nie prowadzi programu typu „bug bounty” ani w sposób formalny, ani nieformalny. Jednak chętnie przyjmujemy wszystkie zgłoszenia dotyczące bug’ów i „dziur” w naszym serwisie. Każde tego typu zgłoszenie doceniamy, a ich autorom staramy się odwdzięczać w najprostszy z możliwych sposobów, a zatem za pośrednictwem naszych produktów.

2.      Jeśli nie, to czy planuje taki uruchomić

W najbliższym czasie nie planujemy uruchomienia programu typu „bug bounty”. Jednak zawsze reagujemy na zgłoszenia, które do nas trafiają.

3.      Jakie zazwyczaj formy wynagrodzenia proponuje badaczom zgłaszającym błędy

Najpowszechniejszą formą wynagrodzenia w tym przypadku jest nasza wirtualna waluta – Eurogąbki, które Użytkownicy mogą wykorzystać na portalu NK, na przykład aby obejrzeć filmy z platformy Kino NK, na zakup produktów i aplikacji płatnych, a także na funkcjonalności w grach.

4.      Ile eurogąbek wart jest błąd typu persistent xss

W związku z tym, że nie mamy programu typu „bug bounty”, nie definiujemy też polityki w tym zakresie. Każdy przypadek, dotyczący zgłoszenia błędu w funkcjonowaniu portalu, rozpatrujemy indywidualnie. Nie jesteśmy w stanie przeliczyć błędu ani na naszą wirtualną walutę, ani na inne dobra. To wszystko zależy od wielu uwarunkowań.

5.      Czy nk uważa, że warto współpracować z niezależnymi odkrywcami zgłaszającymi błędy

Oczywiście. Naszym zdaniem warto współpracować z niezależnymi osobami zgłaszającymi tzw. bugi lub problemy z funkcjonowaniem portalu. Szczególnie wtedy, gdy mimo bieżącego nadzoru i prowadzonych przez wewnętrzny zespół specjalistów testów i kontroli jakości, nie zawsze jesteśmy w stanie zauważyć i zidentyfikować wszystkie błędy w odpowiednio krótkim czasie.

6.      Jak szybko poprawione zostały zgłoszone w tym wypadku błędy

W przypadku ostatniego zgłoszonego błędu, został on naprawiony tego samego dnia, w którym informacja o nim trafiła do naszych specjalistów.

Zapraszamy też do dzielenia się własnymi przykładami atrakcyjnych krajowych programów bug bounty.

Podobne wpisy