Deleted⁠⁠

Предоплаты не было, договора не было, а ты правда фрилансер?

Сколько стоит протестить сайт? Хочу узнать че я на говнокодил)

Кажется, это всё-таки мне комментарий был =)

Полагаю, еще больше толку было бы от публикации в сообществе http://pikabu.ru/community/ibc

Ну да ладно, надеюсь, у вас в любом случае получится решить эту проблему, ибо подобная приверженность белому хакингу определенно должна поощряться)

Вы можете выложить информацию об уязвимости в общий доступ, при чём не выкладывая детали, а лишь показывая клиентам, что она есть, тем самым подпортив деловую репутацию данной системы. Опять-таки в случае выкладывания всего бага платёжная система получит море геморроя и изольёт тонну ненависти на такого нехорошего программёра, коий их баги выявляет.

Сколько стоит протестить сайт? Хочу узнать че я на говнокодил)

Так ты не жалуйся на хабре, а запили как пентестил )

и под шумок уже, расскажи об реакции регистратора.

Зы: думаю, что ктото потыбрил твой бонус.

Успехов) Сначала, пожалуй, есть все же смысл черкнуть в поддержку https://geektimes.ru/feedback/ , ибо в правилах вроде как есть пункт, не одобряющий жалобы, но ваш случай все же особый. По-хорошему решить проблему попытались, не вышло, теперь есть смысл предупредить коллег о бесперспективности сотрудничества с данной компанией.

Ну, все-таки они ответили на ваш пост , извинились, а не устроили кофейню, кальянную с жуками и бандерольку )

Думаю там примерно ##.00 WMZ
:)

Да как бы прямым текстом) Вы все же подумайте насчет публикации по возможности, компании не любят огласки подобных ситуаций.

Ситуация, безусловно, неприятная, но не практичней было бы это дело разместить на условном хабре, где и аудитория в среднем более подходящая, и, возможно, представители компании водятся?

Серьезно? 10 баксов?)

Устал, плохо покушал, день хреновый, отвлекся.

А может непривычно решать проблемы связанные с людями, а не с дырками в коде :)

GT? Может, меня пробил склероз, но почему-то явно помню, как время от времени встречал статьи с описанием подобного кидалова.
UPD: вот, например https://geektimes.ru/post/278744/

хз за что минусят, плюсик тебе

А может и зря.

Рег.ру — те ещё пидорасы. Мне так однажды спам пришел на рабочую, нигде не засвеченную почту, о том, что надо оплатить какую-то фигню, и инвойс к письму приложен. Всё бы ничего, но адрес в инвойсе был с опечаткой, две буквы в названии улицы местами перепутаны. Именно так, с опечаткой, был указан мой адрес то ли в личном кабинете рег.ру, то ли при регистрации домена (со скрытыми данными для whois, естественно). То есть, или спамеры как-то сперли эти данные у Рег.ру, или Рег.ру сами слили данные своих пользователей. А еще у меня каким-то образом появился подключенный у них хостинг, услуги которого сам я не покупал (зачем мне виртуальный хостинг при наличии "дедика" в хорошем дата-центре?), и за который пусть за один месяц, но деньги они с меня снять успели (ну не буду же я чарджбек из за 10 баксов делать, при нем карту перевыпускать надо). В общем, теперь я эту компанию обхожу за километр.

Так называемые "белые хакеры", вместо того, чтобы работу работать, ищут лазят где что у кого плохо в надежде срубить баблишка. А если баблишка не дают, то они в своем благородстве спешат обнародовать указанные недостатки чужих проектов. Ибо обидно им, что баблишка не дали.

Можно ситуацию продемонстрировать на автомобилях:

По парковке ходит сервисмен и предлагает каждому автовладельцу выкупить инфу о том, где у него колодци подстерты, протектор уже лысоват итд. А если водитель не хочет отдавать денег, то доблестный и благородный сервисмен сразу бежит и стучит гаишникам =)

Как то до давно я увидел пост о парне который спалил что в Google Domains продается домен Google.com, отправил тикет и получил вознаграждение.

Недолго думая захожу я на Reg.ru, и ввожу рандомно в поиск небезызвестный сайт Twitter.com. И чудо, он висит в продаже, недолго думая закинул его в корзинку и забыл об этом. Каково было мое недоумение, когда через неделю мне пришло сообщение о том что в моей корзине все еще находится домен Twitter.com, а еще через неделю со мной связался менеджер и поинтересовался о состоянии моего заказа. К сожалению письма удалил, за то остался скрин из корзинки.

Лед 5 назад в офис рег ру пришел обычный человек, сказав что хочет перенести домен на себя, и рег ру как полагается не спросили какие то документы подтверждающие личность успешно перенесли домен на другое лицо, так один дорогой красивый 3 буквенный домен уехал куда то в даль (В кабинете не было инфы о паспортных данных), после этого новый владелец этого домена привязал домен на свой сайт и накидал туда алярмов(мобильные смс приложения которые шлют платные смс, это был wap сайт), не помню уже вернули ли домен но на сайте началась быстро падать посещаемость.

@Coderast, может быть сможете посоветовать, что почитать и в каком направлении копать начать, чтобы углубиться в тему уязвимостей и всякого такого? :)

значит надо выложить уязвимости на какой-нибудь хакерский форум, чтоб им жизнь подпортить

Дочитал до того момента что о домене dojki ничего не будет. Не стал читать, но + поставил
Потому что много букафф.

а почему скрыли сумму вознаграждения ?

на Хабр выложи, думаю найдутся желающие обсудить более детально и пристально:)

Декабрь 2010 https://web.archive.org/web/20101220050748/http://wab.ru/

waplog на время того как страница сохранена уже 75к уникальных посетителей.

Апрель 2011 https://web.archive.org/web/20110429192948/http://wab.ru/ и уже стоит прямо с главной редирект на чужой сайт "http://getwap.ru/?not_wab="

Вот тут подробно http://searchengines.guru/showthread.php?t=519729 и еще

старые темы на форуме http://2yxa.ru/dobro2/?wab_ru2= https://visavi.net/forum/topic.php?tid=10902&start=200 http://searchengines.guru/showthread.php?t=729612

Там пишут только что паспорт был поддельный, с этим ошибся.

Сейчас эта лазейка исключена, сменить администратора после смены регистратора возможно только через 30 суток, если регистратор сменит администратора после приема домена, это уже нарушение.

Уже можно :)

Все твое? Прям все-все? Ручаешься? А если я скину ЦП в комменты, посадят тоже тебя?

А какая самая крупная компания уязвимость которой вы находили?

С дырками тоже бывает сложно

А qiwi как вознаграждает кто вкурсе?

Какие последствия могли быть у обнаруженной вами дыры?

Twitch хоть вознаградила?) очень уж интересно)
И какая самая ценная\наибольшая награда у вас была?

Друг, а возможно как то с тобой связаться. Квип там, или скайп. У меня к тебе не совсем адекватная просьба. или 264364@mail.ru

Я нашел багу в linkedin.com когда писал парсер, собственно суть в том что можно получить платные данные контактов не платя им деньги. По данному вопросу создал тикет у них, и спросил если у них вознаграждение за найденные баги, на что они ответили вопросом "В чем заключается баг?" Повторив вопрос о вознаграждении, они закрыли тикет. Так что даже крупные компании "кладут болт" на такие вещи. Кстати уязвимости уже 6 месяцев и она по прежнему есть (6 месяцев я о ней знаю и пользуюсь ней)

А можешь сделать пост где ты рассказываешь путь - как ты начал тестировать, с чего начинал и до чего дошел?

хостится в России, значит сайт российский (по территориальному признаку)

хы, ну проверь.

увы просто водка была... и немного пережитого

Есть что-то конкретное по ним? Или можно брать любую книжку/статью?)

Привет)
надеюсь увидишь мой коммент)
Если я хочу заняться тестированием веб. Что стоит конкретного подучить? По тестированию читал только савина. И где можно набраться опыта?
спасибо, если найдешь время ответить)

Скорее всего сообщение об уязвимости передали программистам, они все быстро исправили, а отчитались что никакой уязвимости не было, иначе бы их премии лишили

Можно вопрос ? А если бы у них не было вознаграждения за найденные баги, вы бы не прислали им Вами найденную уязвимость?

поиск уязвимостей на российских ресурсах в любом случае уголовно наказуемое деяние.
не нужно этого делать. им не нужно, тебе тем более,
как это ни печально.

А почему ты сразу не собрал доказательства, видео и фото о том что уязвимость есть?

Вполне вероятно, что ваши письма про уязвимость в рег.ру видели только исполнители или руководители "низшего звена", то есть лица, не заинтересованные или не способные решить вопрос о вознаграждении вам.
На вашем месте я бы сходил к ним в офис поцентральней и описал бы ситуацию руководству повыше. Если нет такой возможности - написал бы письмо или e-mail по такому же принципу.