security - 黑客攻击和利用 - 您如何处理发现的安全漏洞？

Question

如今，在线安全是一个非常重要的因素。许多企业完全基于在线，并且只有使用网络浏览器才能查看大量敏感数据。

寻求知识来保护我自己的应用程序我发现我经常测试其他应用程序的漏洞和安全漏洞，也许只是出于好奇。通过测试自己的应用程序、阅读零日漏洞以及阅读本书 The Web Application Hacker's Handbook: Discovering and Exploiting Security Flaws，我在该领域的知识得到了扩展。 ，我开始意识到大多数在线 Web 应用程序确实存在很多安全漏洞。

那你做什么呢？我无意破坏或破坏任何东西，但我在黑客方面最大的“突破”是我决定向该页面的管理员发出警报。我的询问立即被忽略，安全漏洞尚未修复。他们为什么不想修复它？多久之后，会有不怀好意的人闯入旅馆并选择摧毁一切？

我想知道为什么现在没有更多地关注这一点，而且我认为实际上提供测试 Web 应用程序的安全缺陷会有很多商机。是只有我好奇心太大还是其他人也有同样的经历？在挪威，尝试闯入网页将受到法律惩罚，即使您只是检查源代码并找到其中的“隐藏密码”，并使用它进行登录，您已经违法了。

Answer 1

我曾经报告过一家在线有声读物商店存在严重的身份验证漏洞，该漏洞允许您在登录后切换帐户。我也很担心是否应该报告此问题。因为在德国，法律也禁止黑客行为。所以我匿名报告了该漏洞。

答案是，虽然他们无法自己检查这个漏洞，因为该软件是由母公司维护的，但他们很高兴看到我的报告。

后来我得到回复，他们确认了该漏洞的危险性，并且现已修复。他们想再次感谢我的这份安全报告，并向我赠送了 iPod 和有声读物积分作为礼物。

所以我确信报告漏洞是正确的方法。