Re: 新手剛入職就發現有SQL injection漏洞 該回報嗎
看板Soft_Job作者pichubaby (Pichu Chen)時間1年前 (2023/05/03 23:45)推噓27(27推 0噓 156→)留言183則, 26人參與討論串2/2 (看更多)
不好意思認真回一下
簽約前和簽約後做法不一樣,簽約後會有保密義務,雖然聽起來是公開程式碼但是
簽約後你不能把這個漏洞拿去 hitcon zeroday 換好寶寶章。
簽約前你可以拿去 hitcon zeroday,或者是回報給他們老闆,然後按碼錶,看多久會修
決定要不要待。
然後更好的做法是你可以打聽看看這個程式碼有哪些客戶使用,例如某公部門、某銀行、
某上市公司,之後直接打電話進該公司的資安主管部門和他們驗證,經驗上這樣會修的比
較快。
寫出漏洞不一定是問題,因為漏洞不一定會被發掘,有可能因為沒有人力Review或是價值
過低所以存放兩年都沒發現,CVE-2014-0160 Heartbeat 漏洞就是這類型的漏洞,你要說
OpenSSL 開發者不懂資安嗎? 嗯?
所以我的建議就是直接附上 POC 然後回報給他們老闆,我遇過的案例是老闆直接轉給客
服,由客服一步一步告訴我要怎麼做,最後我是我回報給他們客戶,附上POC,然後他們
也很有誠意的當晚漏夜把漏洞修掉。
那你從這個過程就會可以側面觀察出來你接下來是不是那個負責要漏夜把漏洞修掉的人。
以及這間公司對於漏洞回報的SOP到底是什麼,有沒有制度化,還是隕石雨的正在進行式?
原則上漏洞回報到公開,通常會有大概三個月左右的時間,即使是矽谷大手公司也是這樣
你道義上不能回報後24小時馬上就把漏洞細節公開,除非他和你說「這東西不是漏洞」
那你才可以直接公開。
為什麼會有這樣空窗期?因為照正常軟體開發流程,程式碼合併之前還是要做Review以及
測試,同時要確定同類型的漏洞(git blame)有同時修掉,所以如果他馬上就修掉發新版
本,很有可能代表他們沒有Review流程以及測試流程,接不接受見仁見智。
在空窗期營運團隊也不是什麼都不做首先是第一時間的修補以及查詢,常見的做法
是將有疑慮的功能先下架再說,這部部分通常是營運團隊要做的,但是也有可能規模
過小營運=開發=Devops,所以來不及反應。這部分你可以從幾點開始你沒辦法 Query
到資料庫來知道營運團隊目前反應速度如何。
再來是通知義務
個資法第十二條規定
公務機關或非公務機關違反本法規定,致個人資料被竊取、洩漏、竄改或其他侵害者,應
查明後以適當方式通知當事人。
雖然我看目前上市的PC某和現在不知道球踢到哪裡的OO部好像還不曾通知過個資洩漏事件
所以這部分如果該公司有做,說明這個企業主對於社會責任是很重視的。
只是有沒有通知這件事情如果他只做2B,應該不好觀察。
另外還有一個有趣的東西可以觀察,該公司文化會不會懲處寫出Bug的工程師。
我有聽說過有些公司會,這種千萬不要待,一點意義都沒有。
--
此篇文章以 CC BY-SA 4.0 發表。
咖啡是一種豆漿,
茶是一種蔬菜湯。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 150.117.165.81 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Soft_Job/M.1683128723.A.12E.html
推
05/03 23:53,
1年前
, 1F
05/03 23:53, 1F
推
05/04 00:53,
1年前
, 2F
05/04 00:53, 2F
推
05/04 05:18,
1年前
, 3F
05/04 05:18, 3F
→
05/04 05:38,
1年前
, 4F
05/04 05:38, 4F
→
05/04 05:40,
1年前
, 5F
05/04 05:40, 5F
→
05/04 05:51,
1年前
, 6F
05/04 05:51, 6F
→
05/04 06:08,
1年前
, 7F
05/04 06:08, 7F
推
05/04 07:26,
1年前
, 8F
05/04 07:26, 8F
→
05/04 07:26,
1年前
, 9F
05/04 07:26, 9F
→
05/04 07:26,
1年前
, 10F
05/04 07:26, 10F
推
05/04 08:38,
1年前
, 11F
05/04 08:38, 11F
推
05/04 09:03,
1年前
, 12F
05/04 09:03, 12F
→
05/04 09:41,
1年前
, 13F
05/04 09:41, 13F
→
05/04 09:42,
1年前
, 14F
05/04 09:42, 14F
→
05/04 09:43,
1年前
, 15F
05/04 09:43, 15F
→
05/04 09:44,
1年前
, 16F
05/04 09:44, 16F
→
05/04 09:45,
1年前
, 17F
05/04 09:45, 17F
→
05/04 09:45,
1年前
, 18F
05/04 09:45, 18F
→
05/04 09:46,
1年前
, 19F
05/04 09:46, 19F
→
05/04 09:48,
1年前
, 20F
05/04 09:48, 20F
→
05/04 09:48,
1年前
, 21F
05/04 09:48, 21F
→
05/04 09:48,
1年前
, 22F
05/04 09:48, 22F
→
05/04 09:49,
1年前
, 23F
05/04 09:49, 23F
→
05/04 09:49,
1年前
, 24F
05/04 09:49, 24F
→
05/04 09:50,
1年前
, 25F
05/04 09:50, 25F
→
05/04 09:50,
1年前
, 26F
05/04 09:50, 26F
→
05/04 09:51,
1年前
, 27F
05/04 09:51, 27F
→
05/04 09:51,
1年前
, 28F
05/04 09:51, 28F
→
05/04 09:51,
1年前
, 29F
05/04 09:51, 29F
→
05/04 09:52,
1年前
, 30F
05/04 09:52, 30F
→
05/04 09:52,
1年前
, 31F
05/04 09:52, 31F
→
05/04 09:52,
1年前
, 32F
05/04 09:52, 32F
→
05/04 09:58,
1年前
, 33F
05/04 09:58, 33F
→
05/04 10:00,
1年前
, 34F
05/04 10:00, 34F
→
05/04 10:02,
1年前
, 35F
05/04 10:02, 35F
→
05/04 10:04,
1年前
, 36F
05/04 10:04, 36F
→
05/04 10:06,
1年前
, 37F
05/04 10:06, 37F
→
05/04 10:06,
1年前
, 38F
05/04 10:06, 38F
→
05/04 10:06,
1年前
, 39F
05/04 10:06, 39F
還有 104 則推文
→
05/04 18:19,
1年前
, 144F
05/04 18:19, 144F
→
05/04 18:21,
1年前
, 145F
05/04 18:21, 145F
→
05/04 18:27,
1年前
, 146F
05/04 18:27, 146F
→
05/04 18:28,
1年前
, 147F
05/04 18:28, 147F
→
05/04 18:39,
1年前
, 148F
05/04 18:39, 148F
推
05/04 18:56,
1年前
, 149F
05/04 18:56, 149F
→
05/04 19:01,
1年前
, 150F
05/04 19:01, 150F
→
05/04 19:02,
1年前
, 151F
05/04 19:02, 151F
推
05/04 19:13,
1年前
, 152F
05/04 19:13, 152F
→
05/04 19:19,
1年前
, 153F
05/04 19:19, 153F
推
05/04 19:26,
1年前
, 154F
05/04 19:26, 154F
→
05/04 19:27,
1年前
, 155F
05/04 19:27, 155F
→
05/04 19:42,
1年前
, 156F
05/04 19:42, 156F
→
05/04 19:48,
1年前
, 157F
05/04 19:48, 157F
推
05/04 21:07,
1年前
, 158F
05/04 21:07, 158F
→
05/04 21:08,
1年前
, 159F
05/04 21:08, 159F
→
05/04 21:08,
1年前
, 160F
05/04 21:08, 160F
→
05/04 21:31,
1年前
, 161F
05/04 21:31, 161F
→
05/04 21:34,
1年前
, 162F
05/04 21:34, 162F
→
05/04 21:41,
1年前
, 163F
05/04 21:41, 163F
→
05/04 23:35,
1年前
, 164F
05/04 23:35, 164F
→
05/04 23:35,
1年前
, 165F
05/04 23:35, 165F
→
05/04 23:35,
1年前
, 166F
05/04 23:35, 166F
→
05/04 23:35,
1年前
, 167F
05/04 23:35, 167F
→
05/04 23:35,
1年前
, 168F
05/04 23:35, 168F
→
05/04 23:35,
1年前
, 169F
05/04 23:35, 169F
→
05/04 23:35,
1年前
, 170F
05/04 23:35, 170F
推
05/04 23:55,
1年前
, 171F
05/04 23:55, 171F
→
05/04 23:55,
1年前
, 172F
05/04 23:55, 172F
→
05/04 23:55,
1年前
, 173F
05/04 23:55, 173F
→
05/04 23:55,
1年前
, 174F
05/04 23:55, 174F
→
05/05 01:35,
1年前
, 175F
05/05 01:35, 175F
→
05/05 01:38,
1年前
, 176F
05/05 01:38, 176F
→
05/05 01:40,
1年前
, 177F
05/05 01:40, 177F
→
05/05 01:41,
1年前
, 178F
05/05 01:41, 178F
→
05/05 01:46,
1年前
, 179F
05/05 01:46, 179F
→
05/05 01:58,
1年前
, 180F
05/05 01:58, 180F
推
05/05 02:45,
1年前
, 181F
05/05 02:45, 181F
→
05/05 03:05,
1年前
, 182F
05/05 03:05, 182F
→
05/05 03:07,
1年前
, 183F
05/05 03:07, 183F
討論串 (同標題文章)
完整討論串 (本文為第 2 之 2 篇):