Независимо от того, что вы отправили, вы должны быть готовы предоставить поддержку, чтобы защитить компанию, других хакеров и себя. Я не говорю это, чтобы напугать вас, а просто как совет, который я хотел бы знать с самого начала. В самом начале я отправлял подозрительные отчёты, потому что просто хотел попасть в рейтинг и помочь людям. Однако компания подверглась критике. Гораздо полезнее было чётко сообщить о полностью воспроизводимой уязвимости безопасности.

Вы можете подумать, кого это действительно волнует — спросите у компании и людей, которые заботятся о других хакерах. Это справедливо. Но, по крайней мере, на HackerOne ваши отчёты важны, ваша статистика будет отслеживаться, и каждый раз, когда вы получаете эффективный отчёт, данные будут записываться в соответствии с вашей записью «Signal» в диапазоне от -10 до 7, что может в среднем показать ценность вашего отчёта:

• отправка воды даст вам -10;
• отклонённый отчёт даст вам -5;
• описательная информация даст вам 0;
• решаемый отчёт даст вам 7.

Кого это волнует? Signal теперь используется для определения того, кто может получить приглашение в частный проект, и кто может отправлять отчёты в открытые проекты. Частные проекты для хакеров обычно являются свежим мясом — эти сайты только что присоединились к программе вознаграждений за уязвимости и открыли свои сайты лишь для небольшой части хакеров. Это означает, что существует меньше конкуренции и потенциальных уязвимостей.

Что касается отправки отчётов другим компаниям — используйте мою историю в качестве предупреждения:

Меня пригласили принять участие в частном проекте, где я обнаружил восемь уязвимостей за один день. Но вечером того же дня я отправил отчёт в другой проект, который был признан недействительным. Это подняло мой Signal до 0,96. На следующий день я снова отправил отчёт частной компании, но получил уведомление, что мой Signal слишком низок, мне нужно подождать 30 дней, чтобы сохранить баллы, и другие компании требуют Signal 1,0.

Это ужасно! Хотя никто не нашёл уязвимости, которые я обнаружил за это время, они могли потратить мои деньги. Каждый день я проверял, могу ли я отправить ещё один отчёт. С тех пор я поклялся улучшить свой Signal, и вам тоже стоит это сделать!

Удачи в поиске уязвимостей!