作者pichubaby (Pichu Chen)
看板Soft_Job
标题Re: 新手刚入职就发现有SQL injection漏洞 该回报吗
时间Wed May 3 23:45:03 2023
不好意思认真回一下
签约前和签约後做法不一样，签约後会有保密义务，虽然听起来是公开程式码但是
签约後你不能把这个漏洞拿去 hitcon zeroday 换好宝宝章。
签约前你可以拿去 hitcon zeroday，或者是回报给他们老板，然後按码表，看多久会修
决定要不要待。
然後更好的做法是你可以打听看看这个程式码有哪些客户使用，例如某公部门、某银行、
某上市公司，之後直接打电话进该公司的资安主管部门和他们验证，经验上这样会修的比
较快。
写出漏洞不一定是问题，因为漏洞不一定会被发掘，有可能因为没有人力Review或是价值
过低所以存放两年都没发现，CVE-2014-0160 Heartbeat 漏洞就是这类型的漏洞，你要说
OpenSSL 开发者不懂资安吗? 嗯?
所以我的建议就是直接附上 POC 然後回报给他们老板，我遇过的案例是老板直接转给客
服，由客服一步一步告诉我要怎麽做，最後我是我回报给他们客户，附上POC，然後他们
也很有诚意的当晚漏夜把漏洞修掉。
那你从这个过程就会可以侧面观察出来你接下来是不是那个负责要漏夜把漏洞修掉的人。
以及这间公司对於漏洞回报的SOP到底是什麽，有没有制度化，还是陨石雨的正在进行式?
原则上漏洞回报到公开，通常会有大概三个月左右的时间，即使是矽谷大手公司也是这样
你道义上不能回报後24小时马上就把漏洞细节公开，除非他和你说「这东西不是漏洞」
那你才可以直接公开。
为什麽会有这样空窗期？因为照正常软体开发流程，程式码合并之前还是要做Review以及
测试，同时要确定同类型的漏洞(git blame)有同时修掉，所以如果他马上就修掉发新版
本，很有可能代表他们没有Review流程以及测试流程，接不接受见仁见智。
在空窗期营运团队也不是什麽都不做首先是第一时间的修补以及查询，常见的做法
是将有疑虑的功能先下架再说，这部部分通常是营运团队要做的，但是也有可能规模
过小营运=开发=Devops，所以来不及反应。这部分你可以从几点开始你没办法 Query
到资料库来知道营运团队目前反应速度如何。
再来是通知义务
个资法第十二条规定
公务机关或非公务机关违反本法规定，致个人资料被窃取、泄漏、窜改或其他侵害者，应
查明後以适当方式通知当事人。
虽然我看目前上市的PC某和现在不知道球踢到哪里的OO部好像还不曾通知过个资泄漏事件
所以这部分如果该公司有做，说明这个企业主对於社会责任是很重视的。
只是有没有通知这件事情如果他只做2B，应该不好观察。
另外还有一个有趣的东西可以观察，该公司文化会不会惩处写出Bug的工程师。
我有听说过有些公司会，这种千万不要待，一点意义都没有。
--
此篇文章以 CC BY-SA 4.0 发表。
咖啡是一种豆浆，
茶是一种蔬菜汤。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 150.117.165.81 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1683128723.A.12E.html
1F：推 abccbaandy: 推最後一段，bug数当绩效根本笑死 05/03 23:53
2F：推 e12518166339: 认真回不用不好意思！ 05/04 00:53
3F：推 yumekanau: 感谢分享 05/04 05:18
4F：→ superpandal: 最後的就是程式码乱七八糟还要求别人不写出bug 给老 05/04 05:38
5F：→ superpandal: 屁股整人用的 05/04 05:40
6F：→ superpandal: 但先前不控制质量 後来才搞一堆有的没的不是很可取 05/04 05:51
7F：→ superpandal: 整到很好维护後面就可以尽量休息了 不好吗 XD 05/04 06:08
8F：推 tgyhuj01: 回楼上 非接案性质当然好 但接案的常常一个人可能有多个 05/04 07:26
9F：→ tgyhuj01: 案子同时在run 没有做到好就有时间休息这种事 所以才说 05/04 07:26
10F：→ tgyhuj01: 不要用自家产品的思维去看接案 05/04 07:26
11F：推 s06yji3: 非接案性质也是会同时跑多个案子... 05/04 08:38
12F：推 EQspb: 推 感谢大大分享 05/04 09:03
13F：→ leolarrel: 我很怕tgyhuj01这种观念的人当上RD大主管,恐怖,到处埋 05/04 09:41
14F：→ leolarrel: 雷然後推给没时间 05/04 09:42
15F：→ leolarrel: 接案公司有接案公司维持品质的方法,而不是埋雷给他烂 05/04 09:43
16F：→ tgyhuj01: 不同位置环境不同做法 这麽不会变通吗 05/04 09:44
17F：→ leolarrel: 你的变通就是放烂品质? 05/04 09:45
18F：→ tgyhuj01: 希望你真的是不管什麽环境都始终如一 而不是说得漂亮 05/04 09:45
19F：→ tgyhuj01: 说漂亮话大家都会 现实能做到才是真的 05/04 09:46
20F：→ leolarrel: 你不认识我所以认为我只是说说那也合理.但业界上不只是 05/04 09:48
21F：→ leolarrel: 说而是真的做得到的大有人在只是你不认识而已,ptt强人 05/04 09:48
22F：→ leolarrel: 很多,你是不是先检讨自己一下 05/04 09:48
23F：→ tgyhuj01: 这种东西需要强人才能做到吗? 我已经说了环境和位置不同 05/04 09:49
24F：→ leolarrel: 没认识那些做得到的人就以为现实上做不到,笑死 05/04 09:49
25F：→ tgyhuj01: 很难理解吗 说现实一点就是没钱还要求品质 慈善事业吗 05/04 09:50
26F：→ leolarrel: 环境咧,位置咧,不就是没能力的藉口而已 05/04 09:50
27F：→ tgyhuj01: 对 像你说的都做得到 所以现实上一堆烂系统都是哪来的 05/04 09:51
28F：→ tgyhuj01: 麻烦你赶快去改善 不要在这里用说的 05/04 09:51
29F：→ leolarrel: 你们这些找藉口的RD来的啊 05/04 09:51
30F：→ tgyhuj01: 不做就等於没能力 你的理解真狭隘 05/04 09:52
31F：→ tgyhuj01: 希望你做事真的如你所说 随时全力以赴 05/04 09:52
32F：→ tgyhuj01: 不是只有在嘴巴上全力以赴 05/04 09:52
33F：→ leolarrel: 先是找一堆藉口,然後再攻击别人耍嘴皮,还有什麽招? 05/04 09:58
34F：→ tgyhuj01: 好啦 你是大圣人 我都是找藉口 你很强很认真 心口如一 05/04 10:00
35F：→ tgyhuj01: 动不动就先质疑人家没能力的 再说别人攻击你 人性如此 05/04 10:02
36F：→ tgyhuj01: 说的好像自己真的每个案子不管条件如何都做得很完善一样 05/04 10:04
37F：→ yamagishi: 先不说重构的成本，你旧的 code 有动到就需要跑一次 te 05/04 10:06
38F：→ yamagishi: st 了 05/04 10:06
39F：→ yamagishi: 有在做 CI/CD 要改当然是没问题，没有的情况就不只你一 05/04 10:06
40F：→ yamagishi: 个人的问题了 05/04 10:06
41F：→ yamagishi: 全新的东西的话当然是建议抛弃历史包袱 05/04 10:08
42F：推 luke72: 看一些菜味有够浓的在那边呛，真有趣 05/04 10:13
43F：→ luke72: 前公司也有这种半桶水菜鸟，什麽都说要打掉重做 05/04 10:15
44F：→ acgotaku: 哥 你有想过甲商可能只是小商家或外包已经三包四包出来 05/04 10:15
45F：→ luke72: 宣称各种仙丹用了万事搞定，真的给他做就各种爆炸 05/04 10:16
46F：→ acgotaku: 外包公司也没什麽利润好赚,甲方也早就没再用或收起来了 05/04 10:17
47F：→ acgotaku: 说不定尾款都还欠着给不出来,外包公司就是这麽屎 05/04 10:18
48F：→ acgotaku: 兴致勃勃去改这种东西,就像你学弟揪着你的毕业论文说 05/04 10:19
49F：→ acgotaku: 你写这烂货为什麽教授让你毕业 你给我回来实验室重写喔 05/04 10:20
50F：推 TAKADO: 现实大概就是合约保固或各种成本考量，上面摆烂一个小PG也 05/04 10:36
51F：→ TAKADO: 无可奈何，不然我不相信那些一天到晚个资外泄的电商或品牌 05/04 10:36
52F：→ TAKADO: 官网，他们的工程师一点感觉都没有。身为一个有骨气的工程 05/04 10:36
53F：→ TAKADO: 师，要嘛就块陶不然就眼睛闭起来当没看到祈祷不会核爆就好 05/04 10:36
54F：→ TAKADO: ，然後告诉自己下次一定。 05/04 10:36
55F：推 rabbitu04: 推分享 05/04 10:49
56F：推 luke72: 大公司的技术债只会更多，新创才会0技术债 05/04 10:55
57F：推 as30385438: 0技术债代表你的东西没人用 05/04 11:08
58F：推 kurtsgm: 哈哈 楼上有人太理想化了吧 我觉得某乡民说得对 没错啦 05/04 11:43
59F：→ kurtsgm: 接案公司有接案公司维持code乾净跟架构的方法 不是做不到 05/04 11:43
60F：→ kurtsgm: 某某大神 某某PTT神人 某某技术长 肯定做得到 对 都对 05/04 11:43
61F：→ kurtsgm: 你做不到是你弱 人家神人都可以 对 没错 你说的都对 05/04 11:44
62F：→ kurtsgm: 但拿少数特例当常态484搞错了啥 或是对业界常态不了解? 05/04 11:45
63F：推 kurtsgm: 当然有那种code很乾净又什麽东西都做架构做模组化的接案 05/04 11:46
64F：→ kurtsgm: 公司 也许反映在价格上或是管理成本上 这不好说 05/04 11:47
65F：→ kurtsgm: 但一堆烂大街的接案公司胡搞瞎搞只求结案也是常态 05/04 11:47
66F：→ leolarrel: "一堆烂大街的接案公司胡搞瞎搞"<-没错啊,但就不要把 05/04 12:39
67F：→ leolarrel: 不要把乎搞瞎搞当作正常合理,公司高层不自我要求,RD自 05/04 12:40
68F：→ leolarrel: 己也不自我要求吗? 05/04 12:41
69F：→ leolarrel: 身为一个RD,软体品质这种事情有什麽好"变通"的.写一堆 05/04 12:42
70F：→ leolarrel: 烂code,搞死同事客户然後找一堆藉口吗?环境,客户,公司 05/04 12:43
71F：→ leolarrel: 政策无法选,但开发工具,软体工程步骤,写code习惯,同事 05/04 12:44
72F：→ leolarrel: 合作机制.何况,SQL injection这种这麽基础的问题,又不 05/04 12:48
73F：→ tgyhuj01: 楼上自我要求这麽高 照理说应该很神才对啊 05/04 12:48
74F：→ leolarrel: 什麽千年难得一遇的资安bug, 说做不到? 05/04 12:48
75F：→ tgyhuj01: 怎有空在这里一直鄙视人呢 动嘴做永远比动手做容易 05/04 12:49
76F：→ tgyhuj01: 还是那句 希望你自己都有做到尽善尽美 别自打嘴巴 05/04 12:49
77F：→ tgyhuj01: 上面一堆人说不是做不到 是现实问题不想做 05/04 12:52
78F：→ tgyhuj01: 你整天在鄙视人家做不到 有你这种主管才可怕 05/04 12:52
79F：→ tgyhuj01: 给的资源少的可怜 要求一大堆 这就是现实 05/04 12:53
80F：→ leolarrel: 所以你真正气的点是被鄙视,而不是写code品质. 05/04 12:54
81F：→ tgyhuj01: 对阿 没想到有人这麽神 却不身体力行 ptt上赶快多发几篇 05/04 12:55
82F：→ tgyhuj01: 分享你的技术和职场伦理 以你的理论来说不难吧? 05/04 12:56
83F：→ leolarrel: 被鄙视才是你真正的雷,跟你说什麽环境,什麽现实根本无 05/04 12:56
84F：→ leolarrel: 关. 05/04 12:56
85F：→ tgyhuj01: 这是做的到的事情 你怎麽不做呢 05/04 12:56
86F：→ leolarrel: 现在github,部落格那麽方便,随便一个RD都有在网路分享 05/04 12:59
87F：→ leolarrel: 技术吧,你怎麽会去酸别人多分享? 05/04 13:00
88F：→ tgyhuj01: 那欢迎你贴上来分享阿 不要只说不做啊 05/04 13:00
89F：→ tgyhuj01: 不是你说的吗 做的到为什麽不做 05/04 13:00
90F：→ tgyhuj01: 做的到的事情不做=能力不足 自我要求不够 不是你说的吗 05/04 13:02
91F：→ tgyhuj01: 一直拿别人可以做到来说嘴 你自己做到了吗 05/04 13:03
92F：→ tgyhuj01: 随便一个RD都有 代表你也有阿 为什麽不分享 05/04 13:03
93F：→ leolarrel: ...你不知道github有搜寻功能? 05/04 13:04
94F：→ tgyhuj01: 一直找藉口?贴上来很难?做不到? 05/04 13:06
95F：→ leolarrel: 你伸手牌喔? 05/04 13:06
96F：→ tgyhuj01: 你一直再身体力行你鄙视的事情耶 不陪你玩了 05/04 13:07
97F：→ leolarrel: 笑死,伸手牌要人贴网址,side project都public,搜就有 05/04 13:08
98F：→ t64141: 另外一个角度，习惯的影响力是很大的，当在垃圾堆习惯後 05/04 13:11
99F：→ t64141: ，就算给你好的环境和足够的资源，产出的可能也是乱七八 05/04 13:11
100F：→ t64141: 糟的东西，所以即便环境很烂，也尽量避免合理化他甚至让 05/04 13:11
101F：→ t64141: 自己变成那种形状 05/04 13:11
102F：→ tgyhuj01: 最後回你一次 我听你的去搜了 结果发现你几个月前 05/04 13:15
103F：→ leolarrel: 我讲话你们觉得肚烂没关系,楼上讲的平和中肯,没理由不 05/04 13:15
104F：→ leolarrel: 接受了吧 05/04 13:16
105F：→ tgyhuj01: 才跟人家说如果是你 会被把沟挖的更深 05/04 13:16
106F：→ tgyhuj01: 怎麽跟你主张的自我要求不太一样 公司不好 你就搞破坏吗 05/04 13:16
107F：→ tgyhuj01: 这行为就合理是吧 果然同样的事情自己和他人标准是不同 05/04 13:17
108F：→ leolarrel: 好啦,我说的你就尽量不爽,t64141大大说的你还听不进去 05/04 13:17
109F：→ leolarrel: 就不甘我屁事 05/04 13:17
110F：→ tgyhuj01: 现在是装圣人被揭穿 就不开心了? 05/04 13:18
111F：→ leolarrel: 笑死,整篇看起来是你自觉得被鄙视一直不开心在回击 05/04 13:19
112F：→ tgyhuj01: 看到有问题就想改 不考虑其他条件 这理想化的合理 05/04 13:20
113F：→ tgyhuj01: 留给各位高手了 我们这种弱者比较适合活在现实 05/04 13:21
114F：→ tgyhuj01: 整篇看起来好像也包含你很不开心 有没有发现? 05/04 13:21
115F：→ leolarrel: 我说的你不爽很可以啊,我尊重你,你有不爽的自由,尽量 05/04 13:22
116F：→ leolarrel: 不爽.不爽完,想想人家神人怎麽做的,多少学一点吧,唉 05/04 13:22
117F：推 chatnoir: 人家好好一篇文章, 你们要吵可以自己私信吵.. 05/04 13:28
118F：推 tgyhuj01: 神人做的到是神人的事情 你做的到吗 从公司不好就想搞破 05/04 13:31
119F：→ tgyhuj01: 坏来看 你是做不到 既然如此你在这高谈阔论自己做不到的 05/04 13:31
120F：→ tgyhuj01: 事情？ 版面还给各位 跟原po道歉 占用了你的好文 05/04 13:31
121F：→ leolarrel: 你自觉神人是神人的事情,你自比不是神人不想去做,那也 05/04 13:37
122F：→ leolarrel: 好.你觉得我做不到那也是你自己的认为我也尊重拉,但至 05/04 13:38
123F：→ leolarrel: 少我认为我每天都要再多进步,不论是写code品质或是追随 05/04 13:40
124F：→ leolarrel: 神人的过往经验. 05/04 13:42
125F：推 vi000246: 这篇文底下怎麽战得乱七八糟的 05/04 13:44
126F：推 DarkIllusion: 没头没脑地去评价别人常常就是吵起来的原因 05/04 13:47
127F：推 sniper2824: 就有人把死线当无敌星啊 讲不得 05/04 14:33
128F：→ kurtsgm: XD 死线不是无敌星啊 是甲方的尚方宝剑 会被砍滴 05/04 15:19
129F：→ kurtsgm: 拖过死线搞到两间公司互告的事情我看多了 05/04 15:19
130F：推 hugo524: 感谢分享 05/04 15:50
131F：推 libitum: 现实中就是很难事事要求完美 这跟追求code品质习惯养成 05/04 17:01
132F：→ libitum: 无关啊 在神的人 只会扛更多案子而已 管你能力多强 05/04 17:02
133F：→ superpandal: 本来就是前置设施先做好 你以为会花很多时间 05/04 17:37
134F：→ superpandal: 後面搞那麽多其实更花时间 05/04 17:38
135F：→ superpandal: 接不接案都是如此 搭上工具还更好 05/04 17:42
136F：→ superpandal: 当然如果这点时间都没有通常你後面也不会有时间验什 05/04 17:52
137F：→ superpandal: 麽 只能靠前人前置是否完善 或者你以前统整的 只是 05/04 17:55
138F：→ superpandal: 不推荐 这样你很亏 05/04 17:55
139F：推 viper9709: 这篇专业 05/04 17:55
140F：→ superpandal: crud这东西本来也就有规则可循 以前的不好相信都是 05/04 18:01
141F：→ superpandal: 有仇恨或其它 05/04 18:02
142F：→ superpandal: 包含产品的我都没见过搞的很好的 除了奇摩子还有怕 05/04 18:15
143F：→ superpandal: 除了奇摩子还有怕革自己的命 05/04 18:16
144F：→ superpandal: 怕这个其实都可以藏步 而不是公司的藏起来 05/04 18:19
145F：→ superpandal: 後面的处理起来感觉在跑500障碍赛 05/04 18:21
146F：→ superpandal: 怕程式码泄露 其实kiss分割术git上权限就好 05/04 18:27
147F：→ superpandal: 看新闻外泄的也都是高层的多 05/04 18:28
148F：→ superpandal: kiss还有个好处是烂一个都不至於全烂 05/04 18:39
149F：推 yamagishi: 不是 kiss，你在说的应该是 ACID 05/04 18:56
150F：→ superpandal: kiss就是一个程式只做一件事 我查了一下acid其实差 05/04 19:01
151F：→ superpandal: 不多 我是类unix系统信徒 所以只认识kiss 05/04 19:02
152F：推 s06yji3: …你说了才去查意思吗？ACID和KISS完全不一样 05/04 19:13
153F：→ superpandal: 应用起来达到的效果就是差不多 不抠字眼 05/04 19:19
154F：推 Csongs: 反正他是鄙视自己公司吧 05/04 19:26
155F：→ Csongs: 大概没多久就离职了 05/04 19:27
156F：→ superpandal: 楼上 ?????????????????? 05/04 19:42
157F：→ superpandal: 原po的话 还是有考虑回报 05/04 19:48
158F：推 as30385438: KISS和ACID完全不一样… 05/04 21:07
159F：→ as30385438: 各家RDS为了ACID做了不知道多少复杂的设计以应对各种 05/04 21:08
160F：→ as30385438: 极端状况 05/04 21:08
161F：→ superpandal: 那也只是延伸 kiss只是个原则 怎麽做并没有详细说 05/04 21:31
162F：→ superpandal: acid主要也是针对资料库 但我都想脱离db 05/04 21:34
163F：→ superpandal: 我想要的也都是切开的 05/04 21:41
164F：→ siriusu: 这哪有什麽好吵的，就有些甲方付不起整套所以资安被当可 05/04 23:35
165F：→ siriusu: 选项目啊，啊这篇不就同时也提到了有些漏洞的确是没价值 05/04 23:35
166F：→ siriusu: 的所有要说是选配还真的是。不过我也同意随着你公司应付 05/04 23:35
167F：→ siriusu: 的甲方越来越有规模越有价值资安也越来越不再可以选配所 05/04 23:35
168F：→ siriusu: 以某种程度所在的公司的吸金能力跟公司有没有把资安当基 05/04 23:35
169F：→ siriusu: 本需求是正相关的。至於待的公司的吸金能力跟程式设计师 05/04 23:35
170F：→ siriusu: 的能力是不是正相关则是战到烂了板上很多其他讨论 05/04 23:35
171F：推 yamagishi: Keep It Simple And Stupid.（让它简单些，连笨蛋都看 05/04 23:55
172F：→ yamagishi: 得懂） 05/04 23:55
173F：→ yamagishi: kiss 不大像你解释的那样。我举的例子也不大好，最符合 05/04 23:55
174F：→ yamagishi: 你要说的应该是SOLID 05/04 23:55
175F：→ superpandal: 所以如何简单 什麽叫作简单 你单一自然会切割功能出 05/05 01:35
176F：→ superpandal: 来 切割完怎麽协作 都是需要思考的 形容的话我会形容 05/05 01:38
177F：→ superpandal: 万剑归宗 很多专业就是这样 发现一个东西额外命名它 05/05 01:40
178F：→ superpandal: 但是精华知识只有少少 05/05 01:41
179F：→ superpandal: 如果你应用并贯彻这个原则 你会得到差不多的东西 05/05 01:46
180F：→ superpandal: 再说一次 kiss只是个原则 05/05 01:58
181F：推 plover: 你应该想怎麽换更好的公司，这些公司比较在意这些漏洞问题 05/05 02:45
182F：→ superpandal: 回想起来acid是有看过 之前忘记 现在越看越觉得鷄肋 05/05 03:05
183F：→ superpandal: solid都是 果然大道至简 只是以前还没体会到 05/05 03:07
184F：推 r2tw: 推个 05/07 14:09