Melden van injections
Jullie hebben het vast allemaal wel eens meegemaakt, je komt een website tegen waar het barst van de lekken.
Hoe zou je het beste dan dat bedrijf op de hoogte kunnen stellen? Ik heb geen kwaad in de zin, maar ik wil ook niet dat ze mij gaan vervolgen wegens "hacken".
Heeft iemand een idee hoe hiermee om gegaan moet worden?
groeten
Michel, ik zou een mailtje sturen en daarin het gewoon goed, rustig en uitgebreid uitleggen. Ze zullen het dan hopelijk wel begrijpen.
Klokkenluiders worden meestal wel beschermd.
Dit heb ik ook eens gedaan toen ik merkte dat ik via SQL-injection de site van een regionale omroep binnen kon komen. Ik had een screenshot gemaakt van de database structuur (niet de items), en direct gebeld. ICT-beheer belde me 20 minuten later terug, en per mail heb ik het bewijs en de stappen uitgelegd hoe ik dit heb gedaan.
De beste meneer was erg blij dat ik dit gemeld had waarna ik gepast werd beloond.
Dus, niks aanpassen en niet teveel data binnenhalen, dat wekt de beste vertrouwen op, mochten ze later de logs eens bekijken. Als je de databasestructuur al kan zien is de kans aannemelijk dat je ook de data op kan halen, en dat boeide me niet.
Verder kan je altijd zeggen dat je gewoon programmeur bent, wat je tenslotte ook bent. Zeg nou niet dat je 'hacker' bent... ;-)
Gewijzigd op 29/03/2012 22:29:25 door - Ariën -
Dan nu weer tot de orde: ik zou gewoon even het bedrijf contacteren via mail - wie weet, krijg je nog wel een beloning.
Een brief vind ik dat weer te riskant omdat die ook overal behalve op het juiste adres aan kan komen.. :(
Beste is om direct te bellen en te vragen naar afdeling systeembeheer. Anders zit je bij een miep die het door zal geven waarna het op een grote stapel komt.
Hoe sneller hoe beter....
Is dat niet mogelijk, vraag even of de beste miep direct even hun wil vragen om hen met spoed naar jouw terug te laten bellen.
Als er niet gereageerd wordt, tja, dan is het een ander verhaal. Dan zou ik wel even de feiten onder de neus laten drukken bij de verantwoordelijke en zeggen dat je anders toch even naar de media stapt. Tweakers en Webwereld smullen er wel van....
Gewijzigd op 29/03/2012 22:35:20 door - Ariën -