V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
v2nika
V2EX  ›  程序员

老是有人发 Bug bounty 邮件要求给奖金怎么搞啊?

  •  
  •   v2nika · 2023-09-18 15:08:58 +08:00 · 3235 次点击
    这是一个创建于 429 天前的主题,其中的信息可能已经有所发展或是发生改变。

    我司有在运营一个海外业务, 年收入大概 $10M, 做了大概 3 年多. 从去年开始, 断断续续一直有人在发邮件说找到了我们系统的 bug 问有没有 bug bounty program 要求给奖金. 一开始没管, 但是现在这个业务越做越大, 不得不开始考虑这个问题了. 不知道大家有遇到过这类问题没?

    21 条回复    2023-09-19 16:12:12 +08:00
    keaidian
        1
    keaidian  
       2023-09-18 15:13:00 +08:00
    可以参考苹果的,https://security.apple.com/bounty
    v2nika
        2
    v2nika  
    OP
       2023-09-18 15:25:45 +08:00
    @keaidian 还没有 Apple 这么财大气粗, 这个项目虽然有现金流, 但是基本不赚钱.
    laozhoubuluo
        3
    laozhoubuluo  
       2023-09-18 15:43:40 +08:00 via Android
    一般这种要求给钱但给不出任何细节的基本都是诈骗。
    Bug bounty 可以搞,但一般规则都是先交漏洞后给钱,给多少钱以厂商计算为准。
    hanssx
        4
    hanssx  
       2023-09-18 16:06:17 +08:00
    1000 万刀?如果漏洞属实,是建议给的,参考 h1
    hanssx
        5
    hanssx  
       2023-09-18 16:06:40 +08:00
    最好走平台,比如 h1
    villa2935
        6
    villa2935  
       2023-09-18 16:08:37 +08:00 via Android
    这很正常,公司发薪的员工没找到 bug ,别人帮忙找到了,不得多给点嘛。
    corcre
        7
    corcre  
       2023-09-18 16:33:33 +08:00
    我司老板前不久也收到了一封, 连夜找 IT 老大让他找人给全公司的系统做一个渗透测试...
    (给没给钱不知道
    vangjing
        8
    vangjing  
       2023-09-18 16:45:25 +08:00
    可以让他提交 CVE ,价格可以参考 微软( https://www.microsoft.com/en-us/msrc/bounty) 或者一楼提到的苹果。
    v2nika
        9
    v2nika  
    OP
       2023-09-18 17:52:21 +08:00
    @corcre 测试结果怎么样?
    sunshower
        10
    sunshower  
       2023-09-18 18:10:38 +08:00
    跟上面老板讲咯,做不做他的事,难不成你有决定权吗
    patrickyoung
        11
    patrickyoung  
       2023-09-18 18:13:14 +08:00 via iPhone
    托管给 hackerone
    v2nika
        12
    v2nika  
    OP
       2023-09-18 18:30:10 +08:00
    @sunshower 上面的老板就是大 boss 了, 并不了解技术问题
    corcre
        13
    corcre  
       2023-09-18 22:56:14 +08:00 via Android
    @v2nika 系统安全性稀烂但是网络安全性挺好,不过反正大部分都是内网系统,所以只要进不来内网我就当他安全🌝
    (实际上后面要给一个买回来的系统擦屁股,所有的 api 都有 sql 注入的问题😹
    brsyrockss
        14
    brsyrockss  
       2023-09-18 23:37:53 +08:00
    一年一千万刀流水结果还不赚钱?
    django88888
        15
    django88888  
       2023-09-19 07:07:04 +08:00 via iPhone
    同问,1000 万刀还不赚钱?
    v2nika
        16
    v2nika  
    OP
       2023-09-19 09:27:27 +08:00
    @corcre 你们内网是用的啥 vpn 啊? 深信服说是不支持 aws, 我们机器在 aws 上. 剩下的就得选 cisco 了?
    v2nika
        17
    v2nika  
    OP
       2023-09-19 09:27:53 +08:00
    @brsyrockss 不赚, 还在扩大规模阶段.
    corcre
        18
    corcre  
       2023-09-19 09:51:06 +08:00
    @v2nika 我们公司放了两个小机房, vpn 都是连我们自己服务器的, 所以没有这个问题...
    v2nika
        19
    v2nika  
    OP
       2023-09-19 15:56:44 +08:00
    @corcre 厉害
    v2nika
        20
    v2nika  
    OP
       2023-09-19 15:57:35 +08:00
    @corcre 所以你们有用啥 VPN 软件么? 我理解这个是必需的?
    corcre
        21
    corcre  
       2023-09-19 16:12:12 +08:00
    @v2nika checkpoint 吧, 好像防火墙也是搭配的 checkpoint 的?
    VPN 软件的话好像一般都是买的软件服务, 可能比较安全?(我不是做运维和网安这一块的所以其实并没有很了解)
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   5391 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 31ms · UTC 08:44 · PVG 16:44 · LAX 00:44 · JFK 03:44
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.