cracking - 黑客/破解义务论

Question

已关闭。这个问题是 off-topic 。目前不接受答案。

---

想要改进这个问题吗？ Update the question所以它是on-topic用于堆栈溢出。

已关闭11 年前。

Improve this question

假设您最近在几个网站中发现了一些重大漏洞，这些网站主要在您所在的国家/地区运行，并且在其市场上非常强大。我所说的漏洞就像让我以 super 管理员权限浏览管理界面一样糟糕。

你现在会做什么？我在想这样的事情:

1. 向公司报告问题。
2. 公开宣布这些应用程序存在安全漏洞，但不披露实际的漏洞。
3. 给公司时间解决问题。 (多少钱？)
4. 问题得到修复或修复宽限期过后(以先到者为准)，全面披露该漏洞。

大家觉得怎么样？您有一些关于这方面的 Material 可以阅读或可以分享经验吗？

Answer 1

谈话。到。 A.律师。

这可能会变得棘手，具体取决于公司。通过说“在我宣布该漏洞之前，您有 xx 天的时间来解决此问题”，您基本上是在说“按照我的预期行事，否则我会给您带来很多悲伤”。

另一个问题是，你是如何发现这一点的？您是否“正常”使用该网站，或者您是否看到了该漏洞的潜力并决定看看它是否有效？记住这一点非常重要，特别是如果您正在考虑设置时间限制来解决问题。我不确定您居住的地方的法律有何规定，因此请与有此规定的人交谈。

您最终可能会得到他们的感谢、一些签署保密协议(protocol)的现金(毕竟您确实浏览了管理界面)，并且您可能会在安全行业获得一些荣誉。但是，要非常非常小心，并尝试寻求律师的建议。