Snabbanteckning : det här svaret förutsätter att du har behörighet att köra skannrar mot webbplatsen. Att köra skannrar mot en webbplats är olagligt i alla jurisdiktioner, så om du gör det är mitt enda förslag: "STOP!".

Vad du inte borde göra

Du ska aldrig skicka en sårbarhetsrapport från en skanner till ett företag. 90% av tiden är de värdelösa av sig själva och kommer sannolikt att ignoreras av något kompetent säkerhetsteam. Anledningen är att skannrar kan ha valfritt antal falska positiva, så en positiv från en sårbarhetsskanner betyder inte att det finns en sårbarhet. Det är dock vanligt att nya bug bounty-testare helt enkelt skickar sårbarhetsrapporter från skannrar till företag utan någon förståelse för vad rapporten säger, om den är korrekt eller om den till och med är tillämplig. Som ett resultat ignorerar säkerhetslag ofta bara en rapport som kom direkt från en skanner. De flesta bug bounty-program anger detta specifikt.

Vad du ska göra

I stället bör du ta dig tid att själv skapa en sårbarhetsrapport, vilket innebär att du beskriver sårbarhetens natur, åtgärder de kan vidta för att bekräfta dina resultat, risken som sårbarheten skapar för företaget och eventuellt även åtgärder de kan vidta för att mildra faran. Det är vad du ska skicka till företaget, och att skicka något liknande är nästan alltid en bra idé.

Om det här är ett företag som inte har ett offentligt bug-bounty-program är det ännu mindre troligt att de kan förstå en rapport från en skanner, så det blir så mycket viktigare för dig att ta tiden och ge en faktiskt sårbarhetsrapport som beskriver sårbarheten, påverkan på verksamheten, en uppskattning av hur allvarlig den är och föreslagna åtgärdssteg. Uppenbarligen är det dock inte den situationen du befinner dig i, eftersom det är olagligt att köra automatiska säkerhetsskanningar på en webbplats utan uttryckligt godkännande i de flesta jurisdiktioner och en dålig idé i allmänhet ...

tl / dr:

Ska du skicka resultaten från din skanner till ett företag? Nej , för det är ofta värdelöst. Vad du ska göra är att verifiera att skannern inte rapporterar falskt positivt och sedan skicka en rapport som beskriver sårbarheten, vad de kan göra för att reproducera den, en förklaring av dess inverkan och föreslagna åtgärdssteg. Du ska självklart inte "hacka" in i systemet under några omständigheter.

Regel en om sårbarhetsskanning eller annan aktivitet som eventuellt kan tolkas som fientlig: få först skriftligt tillstånd som undertecknats av ledningen. En oönskad "sårbarhetsskanning" kan inte skiljas från ett hackningsförsök - och om du använde ett vanligt verktyg och de har någon smart övervakning pågår kommer de att ha upptäckt den genomsökningen och loggat din IP-adress. Och en dåligt formulerad rapport om en sårbarhet som du har upptäckt skiljer sig inte från ett hot. Om du har tur kan förekomsten av ett vanligt fel på deras webbplats innebära att de inte har bra övervakning. Det är dock troligt att ett sådant företag mer kommer att ringa polisen om de tror, ​​hur fel som helst, att du hotar att hacka dem.

Tänk på det här: en slumpmässig främling säger en dag att du lämnade dina fönster olåsta. Han eller hon svär att de inte gick in i ditt hus. Skulle du vara tacksam eller undrar du varför den här personen testade dina fönster?

Det är sorgligt att säga, men detta är verkligheten i världen idag - ditt mest förnuftiga alternativ är att göra ingenting. Tänk på att du har lärt dig något om sårbarhetsskanning idag och fortsätt.

Vill du vara vit eller svart? Svaret kan också bero på vilka lagar som gäller baserat på vilket land du befinner dig i, vilket land företaget befinner sig i.

Saker som alltid är ok

Använd en ansvarsfull avslöjandeprocess för att avslöja upptäckten till företaget.

Se om företaget har en sårbarhetsrapporteringsprocess. Ett bra ställe att börja är att se om de har en https://company.com/.well-known/security.txt . Om inte, sök sedan runt och se om de har en säkerhets-e-postadress för att rapportera saker som detta.

Ett annat alternativ om du inte kan eller inte vill hantera företaget direkt är att rapportera via en mellanman som US Cert.

Det bör också anges här att om du vill att företaget ska ta dig på allvar måste du tydligt beskriva problemet, steg för att reproducera, beskriv hur genomgripande det är i deras applikation, vilken skada och angripare kan orsaka med det och vad de ska göra för att åtgärda det. Om du bara skickar rapporten från en skanner kommer de troligen att ignorera dig, eller värre skicka en advokat efter dig (se nedan).

Saker som ibland är ok

Ibland är det ok att publicera resultatet utan att informera företaget (till exempel genom att lämna in en CVE, eller skriva ett blogginlägg, github repo).

Beroende på typ och svårighetsgrad av sårbarheten kan detta sluta göra mer skada än nytta om människor hackas innan företaget har tid att fixa det.

"Saker som ibland är ok" kan inkludera att köra skannern i första hand. Om du inte anställs för att göra det eller om det finns ett bug-bounty-program kan det tolkas som ett hackningsförsök. (Tack @EsaJokinen). En snabb google-sökning visar att när du gör "säkerhetsundersökningar" utan tillstånd får du lika sannolikt ledning till fängelsetid som att få ett tack:

• Feds Expand Säkerhetsforskares förmåga att hacka utan att gå i fängelse
• Säkerhetsforskare arresterad för att avslöja amerikanska valwebbplatsers sårbarheter
• Arresterad säkerhetsforskares fall tar en tur
• När cybersäkerhetsforskning leder till fängelsetid
• Skydda White Hat Hackers som bara gör sina jobb

Slå någon annans webbplats med en säkerhetsskanner kan hamna i stora problem, så se till att du förstår de juridiska konsekvenserna innan du gör det!

Saker som aldrig är ok

Hacka webbplatsen själv.

Detta är utan tvekan olagligt i alla länder som har lagar om detta.

Var mycket försiktig med att använda detta tillvägagångssätt eftersom du kan förlora mycket, och jag är inte säker på att du får något minst ur ett perspektiv med vit hatt).