Dies ist sicherlich keine Standardpraxis . Selbst wenn diese Person ein legitimes Problem auf Ihrer Website gefunden hat, handelt es sich um eine Form der Erpressung.

Es gibt eine ordnungsgemäße "verantwortungsvolle Offenlegung", und professionelle "Sicherheitsforscher" fragen zunächst nicht nach Bargeld. Bug-Bounty-Programme gibt es aus einem bestimmten Grund.

Das Problem ist, dass Sie nicht wissen, ob die Sicherheitsanfälligkeit für Sie 100 US-Dollar wert ist.

Dies ist sehr, sehr wahrscheinlich ein Betrug , aber wenn Sie nicht mit einem legitimen Fachmann mit schlechten Kommunikationsfähigkeiten zu tun haben, können Sie nach Details fragen, z. B. wo Das Problem ist ("Infrastruktur" - das ist seltsam für eine Website) und alle Details darüber, wer sie sind und ein Beweis für ihre professionelle Arbeit in der Sicherheitsforschung.

Wenn sie die Emotionen verstärken oder die Erpressung verlängern, wissen Sie, dass es sich um einen Betrug handelt. Installieren oder öffnen Sie keine Dateien, die Sie erhalten. Wenn sie legitim sind, werden sie mit Ihnen zusammenarbeiten.

Um Ihnen eine Idee zu geben, bin ich kein professioneller Tester und mache keine Bug Bounties. Aber hin und wieder entdecke ich eine Sicherheitslücke in einer Site. Ich wende mich zuerst an das Unternehmen und frage nach der Person, die die Sicherheitslücken auf der Website mit einem 1-Satz-Überblick über das allgemeine Problem behandeln würde. Ich mache dies, um sicherzustellen, dass ich mit einer verantwortlichen Person sprechen kann und nicht mit einer nicht autorisierten Person, die die Informationen, die ich ihnen geben werde, missbrauchen oder misshandeln (oder nicht verstehen) könnte. Ich gebe ihnen auch den Beweis, wer ich bin, damit ich nicht als Betrüger rüberkomme.

Wenn ich mit der besten Person spreche, die ich kann, gebe ich die vollständige Aufschlüsselung mit meinem Prozess, um das Problem, URLs, Parameter usw. zu wiederholen, und den Grund, warum ich denke, dass es ein ist Besorgnis, Sorge. Ich beantworte alle Fragen, die sie stellen, aber ich erwecke niemals den Eindruck, dass ich brauche oder möchte, dass sie etwas mit Dringlichkeit tun. Ich lasse sie ihre Risikobewertung ausarbeiten. Das ist ihre Aufgabe. Es ist ihre Seite.

Ich bitte auch nicht um Geld, aber wenn ich es tun würde, wäre es, nachdem ich so viel wie möglich getan habe, um ihrem Team bei der Lösung zu helfen. Und ich würde nicht erwarten, Geld oder irgendeine Form von Belohnung zu bekommen, selbst wenn ich danach fragen würde.

Entweder hat die Site ein Bug-Bounty-Programm, das die Erwartungen und Beziehungen für alle Beteiligten definiert, oder die Site nicht, und ich helfe nur aus und hole vielleicht etwas daraus heraus oder nicht.

So würde sich ein Fachmann einer Site mit einer von ihm entdeckten Sicherheitslücke nähern.

Ich bin mir nicht sicher, ob ich mich überhaupt mit dieser Person beschäftigen würde. Das klingt nach fischiger und grenzwertiger Erpressung. Es ist sogar denkbar, dass der Fehler nicht einmal existiert, aber er möchte Ihnen einen "Patch" senden, der eine Hintertür auf Ihrem Server installiert.

Bevor Sie sich mit dieser Person in Verbindung setzen (wenn Sie sich dazu entscheiden) Versuchen Sie, die Sicherheitsanfälligkeit selbst zu finden, indem Sie die Protokolle von Ihrem Webserver lesen und nach verdächtigen Aktivitäten wie Spuren von SQL-Injektionen suchen, die möglicherweise in den URLs angezeigt werden. Das wird langweilig. Ich würde also in den wenigen Stunden vor dem Senden dieser E-Mail nachsehen.

Wenn Sie über einige Skriptfähigkeiten verfügen, können Sie diese zum Parsen der Protokolldatei verwenden. Nützliche Bash-Befehle wären cut , awk und dergleichen, kombiniert mit sort und uniq (zum Beispiel zum Erstellen eines Liste eindeutiger URLs). Ich würde mich auch auf 401- oder 403-Fehler konzentrieren, die auf Versuche hinweisen, auf nicht zugelassene Seiten zuzugreifen. 500 Fehler auch.

Stellen Sie außerdem sicher, dass auf Ihrem Serverlike keine verdächtigen Dateien wie eine Web-Shell vorhanden sind.

Wenn Sie eine solche Datei finden, können Sie sie als Kriterium für verwenden Filtern Sie die Protokolle (sehen Sie sich die IP-Adresse an, die die Anforderung in derselben Zeile gestellt hat).

Obwohl dies eine Google Mail-Adresse ist, hat die andere Partei die Nachricht möglicherweise von zu Hause aus mit ihrem eigenen E-Mail-Client gesendet. Dann besteht die Möglichkeit, dass Sie die ursprüngliche IP-Adresse in den Mail-Headern finden.

Diese Person versteckt sich wahrscheinlich hinter einem Proxy oder VPN, aber einige Leute sind nur lieblos, faul und ungeschickt. Wenn Sie also die IP-Adresse erhalten, können Sie damit Ihre Protokolle filtern und ihren Spuren folgen.

Wenn er sagt "Ich habe versehentlich einige Schwachstellen in Ihrer Infrastruktur gefunden", ist das durchaus möglich. Wenn Ihre Website eine Verzeichnisliste zulässt, hat er möglicherweise vertrauliche Dateien gefunden, die nur durch Ausschneiden der URL herumliegen. Dann besteht die 'Lösung' darin, die Dateien herauszuziehen und Ihren Server besser zu konfigurieren. Suchmaschinen indizieren auf diese Weise viele Dateien, Dateien, die eigentlich nicht verfügbar gemacht werden sollten. Es gibt einige Abfragen, die Sie ausführen können, um sie zu finden. Sie werden als Dorks bezeichnet. Vielleicht ist der 'Sicherheitsforscher' (oder Skript-Kiddie) tatsächlich auf Ihre Website gestoßen, nachdem er einen Trottel ausgeführt hat, und er sucht nur nach schnellem und faulem Geld.

Versuchen Sie, sich selbst zu dumm zu machen. Geben Sie dies in Google ein: site: yoursite.com . Und prüfen Sie, ob in Google Seiten indiziert sind. Dies sollte nicht der Fall sein.

Dies kann Spam sein oder auch nicht (oder sogar Erpressung, wie einige Antworten behaupten), aber es klingt sicherlich auch nicht nach viel. Schauen wir uns die Fakten an:

• Die Person gibt absolut keinen Hinweis darauf, dass tatsächlich ein Sicherheitsproblem vorliegt oder dass Sie sich darum kümmern würden, wenn es eines gäbe (nicht jedes theoretische Sicherheitsproblem ist ein praktisches Problem für jede Website), noch dass ihre Korrektur korrekt ist. In gewissem Sinne ist dieses "Angebot" analog zu jemandem, der Ihnen eine E-Mail sendet "Ich biete Dienste in der Domäne X an, sende mir 100 $ und ich werde Ihnen sagen, was diese Dienste sind" . Ich vermute, dass Sie in einer anderen Domäne eine solche Aufforderung innerhalb von Sekunden in den Papierkorb verschieben würden.
• Der Betrag, den sie verlangen, ist Erdnüsse . Dies, zusammen mit der Tatsache, dass sie Ihnen nicht sagen, was das Problem ist, deutet stark darauf hin, dass alles, was sie "gefunden" haben, so trivial sein wird, dass niemand dafür bezahlen würde, wenn sie es Ihnen im Voraus sagen würden. Was Sie erhalten würden (wenn überhaupt - denken Sie daran, es kann auch einfach Spam sein und Sie hören nach dem Bezahlen nie mehr von ihnen), wäre wahrscheinlich ein Bericht über einen automatisierten Sicherheitsscanner und eine Handvoll allgemeiner Links. Nichts, wofür Sie normalerweise Geld bezahlen würden. Wenn sie ein ernstes Problem fanden und nicht triviale Informationen zur Behebung hatten, sagten sie Ihnen, um welches Problem es sich handelt, und boten an, es auf vertraglicher Basis zu beheben (und forderten natürlich viel mehr als 100 $). .
• Unter der Annahme, dass dies in der Tat ein kleines Problem mit einer offensichtlichen Lösung ist, würde Ihnen jeder mir bekannte Sicherheitsforscher, der sich selbst respektiert, nur sagen (insbesondere, wenn Sie entweder eine Privatperson sind oder ein kleines Unternehmen vertreten, von dem ich annehme). Wiederum sind 100 $ Erdnüsse, was die Auftragnehmerpreise angeht, und sicherlich nicht genug Geld, um einen zwielichtig aussehenden Deal wie diesen abzuschließen. Wenn ich mir die E-Mail-Vorlage anschaue, gehe ich davon aus, dass nur automatisierte Scans von Websites ausgeführt werden und eine solche E-Mail generiert wird, wenn diese Tools irgendetwas melden. Wahrscheinlich weiß zu diesem Zeitpunkt noch nicht einmal der E-Mail-Absender selbst, ob dies etwas ist, über das sich tatsächlich jemand Sorgen machen würde.
• Und dann gibt es natürlich einige der üblichen Anzeichen für Spam - unaufgefordertes Angebot, generisches Google Mail Adresse, wichtig klingende, aber generische Ansprüche, Nutzung nicht traditioneller Zahlungsdienste (und keine Erwähnung von Verträgen, Rechnungen usw.), Vorauszahlung von Geld usw.

Alles in allem: Ignorieren Sie die E-Mail.

Zusätzlich zu all den Anzeichen von "Betrug", die Sie bemerkt haben, ist es unwahrscheinlich, dass die Ergebnisse von Wert sind, auch wenn dieses Angebot legitim ist (wenn auch mit zwielichtigen bis illegalen Marketingmethoden). Für 100 US-Dollar erhalten Sie wahrscheinlich die Ergebnisse eines automatisierten Port-Scans, bei dem die Protokollantwortzeichenfolgen nur mit Mustern auf mögliche Schwachstellen abgestimmt werden, ohne dass tatsächliche Tests durchgeführt werden.

Zum Beispiel ließ ich einmal einen Kunden deutlich mehr als 100 US-Dollar für einen "professionellen" Scan bezahlen, der absurde Ergebnisse enthielt. Meine Antwort beinhaltete

Ihr Sicherheitsanalyst hat Ihnen mitgeteilt, dass das Konto 'foo' ein bekanntes Standardkennwort hat. Auf dem System befindet sich kein Konto "foo".

Ihr Sicherheitsanalyst hat Ihnen mitgeteilt, dass Ihr "Bar" -Dienst für die Verwendung einer schwachen Verschlüsselungsmethode konfiguriert wurde. Wir haben diese Verschlüsselungsmethode vor zwei Versionen entfernt.

Möchten Sie, dass ich die verbleibenden Elemente im Sicherheitsbericht weiter durchführe, oder reicht dies aus, um Ihre Bedenken auszuräumen?

Der ursprüngliche Beitrag enthielt dieses wichtige Element:

Ich bin ein Sicherheitsforscher, der einen Dienst zur Identifizierung von Sicherheitslücken für eine kleine Gruppe privater Clients ausführt, und habe versehentlich einige Sicherheitslücken in Ihrer Infrastruktur gefunden.

Es ist also theoretisch möglich, dass sie beim Scannen eines Problems von einer Entität, mit der Sie Geschäfte machen, ein Problem auf Ihrem System gefunden haben. In diesem Fall wäre es durchaus sinnvoll, den Kunden, mit dem die Sicherheitsfirma zusammengearbeitet hat, um eine Überweisung zu bitten.

Alles, was man wissen muss, ist whoever@gmail.com . Dies ist also keine registrierte Firma oder Domain. Dieser Typ kann es sich nicht einmal leisten, eine Domain zu registrieren und einen Mailserver zu betreiben, sondern spielt den "Sicherheitsforscher", der nicht möchte, dass seine Anmeldeinformationen überprüft werden, offensichtlich aus "Sicherheitsgründen".

"innerhalb von 48 Stunden "bedeutet im Allgemeinen, dass dies ein" zeitlich begrenztes Angebot "ist; Ein ziemlich billiger Marketing-Trick.

Viele Betrügereien spielen mit den Ängsten der Menschen. Sehen Sie einfach, was derzeit in der realen Welt vor sich geht ... und es gibt auch Betrug, der die Vorstellungskraft, die Erwartungen und die unerfüllten Wünsche der Menschen beeinflusst.

Die Lösung für das nicht existierende Problem: Als Spam markieren & melde dich bei PayPal.
Alternativ kannst du ihn auch ein wenig spielen. z.B. Sagen Sie Betrügern einfach OK.

Diese Frage passt wahrscheinlich besser zu Psychologie & Neuroscience...
, da sie Ihre nicht gescannt haben Website für Sicherheitslücken, aber Ihre Psyche.

Lesen Sie im Vergleich zu diesem versuchten Betrug (ohne den geringsten Zweifel) über "Verantwortliche Offenlegung von Sicherheitslücken", um ein besseres Verständnis zu erhalten, wie " Standardpraktiken "könnten gleich aussehen.

100% Betrug.

Wenn Sie sich Sorgen machen, sollten Sie sich an ein professionelles Unternehmen wenden, das eine Sicherheitsüberprüfung auf Ihrer Webseite durchführen kann.

Mein Rat ist, alle von Ihnen nicht angeforderten Angebote vollständig zu ignorieren.

Grundsätzlich vertrauen wir keinem Fremden, der um Belohnung gegen einen freundlichen Service bittet, oder?

Das heißt, wir haben nicht genug Details, um das zu beurteilen Kritikalität Ihres Systems, und entscheiden Sie dann, ob die 100 US-Dollar der Juste Prix sind oder nicht.

Wenn Sie eine weit verbreitete (OpenSource-) Software wie CMS oder ERP ausführen, ist dies eine Prämie Der Jäger hätte mit derselben E-Mail etwa 100 andere Opfer anvisieren können. Dies könnte eine bessere Gewinnstrategie sein als das Anvisieren eines einzelnen Opfers mit einem unsicheren Kopfgeld von 5000 US-Dollar.

In diesem Fall sollten Sie Ihre Installation überprüfen, wenn Es verfügt über die neuesten Updates und Patches. Sie können auch die Schwachstellendatenbank des Anbieters überprüfen. Hoffentlich hat der Kopfgeldjäger keinen 0-Tage-Exploit, den er ausnutzt.

Wenn das Zielsystem eine maßgeschneiderte Lösung ist Je nachdem, welches Team Sie haben, kann es schwieriger sein, mit den Dingen umzugehen.

Das Englischniveau der E-Mail ist ziemlich anständig, obwohl es keine implizite Bedrohung gibt. Ich würde b e besorgt über seine Ernsthaftigkeit.