作者pichubaby (Pichu Chen)
看板Soft_Job
標題Re: 新手剛入職就發現有SQL injection漏洞 該回報嗎
時間Wed May 3 23:45:03 2023
不好意思認真回一下
簽約前和簽約後做法不一樣，簽約後會有保密義務，雖然聽起來是公開程式碼但是
簽約後你不能把這個漏洞拿去 hitcon zeroday 換好寶寶章。
簽約前你可以拿去 hitcon zeroday，或者是回報給他們老闆，然後按碼錶，看多久會修
決定要不要待。
然後更好的做法是你可以打聽看看這個程式碼有哪些客戶使用，例如某公部門、某銀行、
某上市公司，之後直接打電話進該公司的資安主管部門和他們驗證，經驗上這樣會修的比
較快。
寫出漏洞不一定是問題，因為漏洞不一定會被發掘，有可能因為沒有人力Review或是價值
過低所以存放兩年都沒發現，CVE-2014-0160 Heartbeat 漏洞就是這類型的漏洞，你要說
OpenSSL 開發者不懂資安嗎? 嗯?
所以我的建議就是直接附上 POC 然後回報給他們老闆，我遇過的案例是老闆直接轉給客
服，由客服一步一步告訴我要怎麼做，最後我是我回報給他們客戶，附上POC，然後他們
也很有誠意的當晚漏夜把漏洞修掉。
那你從這個過程就會可以側面觀察出來你接下來是不是那個負責要漏夜把漏洞修掉的人。
以及這間公司對於漏洞回報的SOP到底是什麼，有沒有制度化，還是隕石雨的正在進行式?
原則上漏洞回報到公開，通常會有大概三個月左右的時間，即使是矽谷大手公司也是這樣
你道義上不能回報後24小時馬上就把漏洞細節公開，除非他和你說「這東西不是漏洞」
那你才可以直接公開。
為什麼會有這樣空窗期？因為照正常軟體開發流程，程式碼合併之前還是要做Review以及
測試，同時要確定同類型的漏洞(git blame)有同時修掉，所以如果他馬上就修掉發新版
本，很有可能代表他們沒有Review流程以及測試流程，接不接受見仁見智。
在空窗期營運團隊也不是什麼都不做首先是第一時間的修補以及查詢，常見的做法
是將有疑慮的功能先下架再說，這部部分通常是營運團隊要做的，但是也有可能規模
過小營運=開發=Devops，所以來不及反應。這部分你可以從幾點開始你沒辦法 Query
到資料庫來知道營運團隊目前反應速度如何。
再來是通知義務
個資法第十二條規定
公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應
查明後以適當方式通知當事人。
雖然我看目前上市的PC某和現在不知道球踢到哪裡的OO部好像還不曾通知過個資洩漏事件
所以這部分如果該公司有做，說明這個企業主對於社會責任是很重視的。
只是有沒有通知這件事情如果他只做2B，應該不好觀察。
另外還有一個有趣的東西可以觀察，該公司文化會不會懲處寫出Bug的工程師。
我有聽說過有些公司會，這種千萬不要待，一點意義都沒有。
--
此篇文章以 CC BY-SA 4.0 發表。
咖啡是一種豆漿，
茶是一種蔬菜湯。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 150.117.165.81 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Soft_Job/M.1683128723.A.12E.html
1F：推 abccbaandy: 推最後一段，bug數當績效根本笑死 05/03 23:53
2F：推 e12518166339: 認真回不用不好意思！ 05/04 00:53
3F：推 yumekanau: 感謝分享 05/04 05:18
4F：→ superpandal: 最後的就是程式碼亂七八糟還要求別人不寫出bug 給老 05/04 05:38
5F：→ superpandal: 屁股整人用的 05/04 05:40
6F：→ superpandal: 但先前不控制質量 後來才搞一堆有的沒的不是很可取 05/04 05:51
7F：→ superpandal: 整到很好維護後面就可以盡量休息了 不好嗎 XD 05/04 06:08
8F：推 tgyhuj01: 回樓上 非接案性質當然好 但接案的常常一個人可能有多個 05/04 07:26
9F：→ tgyhuj01: 案子同時在run 沒有做到好就有時間休息這種事 所以才說 05/04 07:26
10F：→ tgyhuj01: 不要用自家產品的思維去看接案 05/04 07:26
11F：推 s06yji3: 非接案性質也是會同時跑多個案子... 05/04 08:38
12F：推 EQspb: 推 感謝大大分享 05/04 09:03
13F：→ leolarrel: 我很怕tgyhuj01這種觀念的人當上RD大主管,恐怖,到處埋 05/04 09:41
14F：→ leolarrel: 雷然後推給沒時間 05/04 09:42
15F：→ leolarrel: 接案公司有接案公司維持品質的方法,而不是埋雷給他爛 05/04 09:43
16F：→ tgyhuj01: 不同位置環境不同做法 這麼不會變通嗎 05/04 09:44
17F：→ leolarrel: 你的變通就是放爛品質? 05/04 09:45
18F：→ tgyhuj01: 希望你真的是不管什麼環境都始終如一 而不是說得漂亮 05/04 09:45
19F：→ tgyhuj01: 說漂亮話大家都會 現實能做到才是真的 05/04 09:46
20F：→ leolarrel: 你不認識我所以認為我只是說說那也合理.但業界上不只是 05/04 09:48
21F：→ leolarrel: 說而是真的做得到的大有人在只是你不認識而已,ptt強人 05/04 09:48
22F：→ leolarrel: 很多,你是不是先檢討自己一下 05/04 09:48
23F：→ tgyhuj01: 這種東西需要強人才能做到嗎? 我已經說了環境和位置不同 05/04 09:49
24F：→ leolarrel: 沒認識那些做得到的人就以為現實上做不到,笑死 05/04 09:49
25F：→ tgyhuj01: 很難理解嗎 說現實一點就是沒錢還要求品質 慈善事業嗎 05/04 09:50
26F：→ leolarrel: 環境咧,位置咧,不就是沒能力的藉口而已 05/04 09:50
27F：→ tgyhuj01: 對 像你說的都做得到 所以現實上一堆爛系統都是哪來的 05/04 09:51
28F：→ tgyhuj01: 麻煩你趕快去改善 不要在這裡用說的 05/04 09:51
29F：→ leolarrel: 你們這些找藉口的RD來的啊 05/04 09:51
30F：→ tgyhuj01: 不做就等於沒能力 你的理解真狹隘 05/04 09:52
31F：→ tgyhuj01: 希望你做事真的如你所說 隨時全力以赴 05/04 09:52
32F：→ tgyhuj01: 不是只有在嘴巴上全力以赴 05/04 09:52
33F：→ leolarrel: 先是找一堆藉口,然後再攻擊別人耍嘴皮,還有什麼招? 05/04 09:58
34F：→ tgyhuj01: 好啦 你是大聖人 我都是找藉口 你很強很認真 心口如一 05/04 10:00
35F：→ tgyhuj01: 動不動就先質疑人家沒能力的 再說別人攻擊你 人性如此 05/04 10:02
36F：→ tgyhuj01: 說的好像自己真的每個案子不管條件如何都做得很完善一樣 05/04 10:04
37F：→ yamagishi: 先不說重構的成本，你舊的 code 有動到就需要跑一次 te 05/04 10:06
38F：→ yamagishi: st 了 05/04 10:06
39F：→ yamagishi: 有在做 CI/CD 要改當然是沒問題，沒有的情況就不只你一 05/04 10:06
40F：→ yamagishi: 個人的問題了 05/04 10:06
41F：→ yamagishi: 全新的東西的話當然是建議拋棄歷史包袱 05/04 10:08
42F：推 luke72: 看一些菜味有夠濃的在那邊嗆，真有趣 05/04 10:13
43F：→ luke72: 前公司也有這種半桶水菜鳥，什麼都說要打掉重做 05/04 10:15
44F：→ acgotaku: 哥 你有想過甲商可能只是小商家或外包已經三包四包出來 05/04 10:15
45F：→ luke72: 宣稱各種仙丹用了萬事搞定，真的給他做就各種爆炸 05/04 10:16
46F：→ acgotaku: 外包公司也沒什麼利潤好賺,甲方也早就沒再用或收起來了 05/04 10:17
47F：→ acgotaku: 說不定尾款都還欠著給不出來,外包公司就是這麼屎 05/04 10:18
48F：→ acgotaku: 興致勃勃去改這種東西,就像你學弟揪著你的畢業論文說 05/04 10:19
49F：→ acgotaku: 你寫這爛貨為什麼教授讓你畢業 你給我回來實驗室重寫喔 05/04 10:20
50F：推 TAKADO: 現實大概就是合約保固或各種成本考量，上面擺爛一個小PG也 05/04 10:36
51F：→ TAKADO: 無可奈何，不然我不相信那些一天到晚個資外洩的電商或品牌 05/04 10:36
52F：→ TAKADO: 官網，他們的工程師一點感覺都沒有。身為一個有骨氣的工程 05/04 10:36
53F：→ TAKADO: 師，要嘛就塊陶不然就眼睛閉起來當沒看到祈禱不會核爆就好 05/04 10:36
54F：→ TAKADO: ，然後告訴自己下次一定。 05/04 10:36
55F：推 rabbitu04: 推分享 05/04 10:49
56F：推 luke72: 大公司的技術債只會更多，新創才會0技術債 05/04 10:55
57F：推 as30385438: 0技術債代表你的東西沒人用 05/04 11:08
58F：推 kurtsgm: 哈哈 樓上有人太理想化了吧 我覺得某鄉民說得對 沒錯啦 05/04 11:43
59F：→ kurtsgm: 接案公司有接案公司維持code乾淨跟架構的方法 不是做不到 05/04 11:43
60F：→ kurtsgm: 某某大神 某某PTT神人 某某技術長 肯定做得到 對 都對 05/04 11:43
61F：→ kurtsgm: 你做不到是你弱 人家神人都可以 對 沒錯 你說的都對 05/04 11:44
62F：→ kurtsgm: 但拿少數特例當常態484搞錯了啥 或是對業界常態不了解? 05/04 11:45
63F：推 kurtsgm: 當然有那種code很乾淨又什麼東西都做架構做模組化的接案 05/04 11:46
64F：→ kurtsgm: 公司 也許反映在價格上或是管理成本上 這不好說 05/04 11:47
65F：→ kurtsgm: 但一堆爛大街的接案公司胡搞瞎搞只求結案也是常態 05/04 11:47
66F：→ leolarrel: "一堆爛大街的接案公司胡搞瞎搞"<-沒錯啊,但就不要把 05/04 12:39
67F：→ leolarrel: 不要把乎搞瞎搞當作正常合理,公司高層不自我要求,RD自 05/04 12:40
68F：→ leolarrel: 己也不自我要求嗎? 05/04 12:41
69F：→ leolarrel: 身為一個RD,軟體品質這種事情有什麼好"變通"的.寫一堆 05/04 12:42
70F：→ leolarrel: 爛code,搞死同事客戶然後找一堆藉口嗎?環境,客戶,公司 05/04 12:43
71F：→ leolarrel: 政策無法選,但開發工具,軟體工程步驟,寫code習慣,同事 05/04 12:44
72F：→ leolarrel: 合作機制.何況,SQL injection這種這麼基礎的問題,又不 05/04 12:48
73F：→ tgyhuj01: 樓上自我要求這麼高 照理說應該很神才對啊 05/04 12:48
74F：→ leolarrel: 什麼千年難得一遇的資安bug, 說做不到? 05/04 12:48
75F：→ tgyhuj01: 怎有空在這裡一直鄙視人呢 動嘴做永遠比動手做容易 05/04 12:49
76F：→ tgyhuj01: 還是那句 希望你自己都有做到盡善盡美 別自打嘴巴 05/04 12:49
77F：→ tgyhuj01: 上面一堆人說不是做不到 是現實問題不想做 05/04 12:52
78F：→ tgyhuj01: 你整天在鄙視人家做不到 有你這種主管才可怕 05/04 12:52
79F：→ tgyhuj01: 給的資源少的可憐 要求一大堆 這就是現實 05/04 12:53
80F：→ leolarrel: 所以你真正氣的點是被鄙視,而不是寫code品質. 05/04 12:54
81F：→ tgyhuj01: 對阿 沒想到有人這麼神 卻不身體力行 ptt上趕快多發幾篇 05/04 12:55
82F：→ tgyhuj01: 分享你的技術和職場倫理 以你的理論來說不難吧? 05/04 12:56
83F：→ leolarrel: 被鄙視才是你真正的雷,跟你說什麼環境,什麼現實根本無 05/04 12:56
84F：→ leolarrel: 關. 05/04 12:56
85F：→ tgyhuj01: 這是做的到的事情 你怎麼不做呢 05/04 12:56
86F：→ leolarrel: 現在github,部落格那麼方便,隨便一個RD都有在網路分享 05/04 12:59
87F：→ leolarrel: 技術吧,你怎麼會去酸別人多分享? 05/04 13:00
88F：→ tgyhuj01: 那歡迎你貼上來分享阿 不要只說不做啊 05/04 13:00
89F：→ tgyhuj01: 不是你說的嗎 做的到為什麼不做 05/04 13:00
90F：→ tgyhuj01: 做的到的事情不做=能力不足 自我要求不夠 不是你說的嗎 05/04 13:02
91F：→ tgyhuj01: 一直拿別人可以做到來說嘴 你自己做到了嗎 05/04 13:03
92F：→ tgyhuj01: 隨便一個RD都有 代表你也有阿 為什麼不分享 05/04 13:03
93F：→ leolarrel: ...你不知道github有搜尋功能? 05/04 13:04
94F：→ tgyhuj01: 一直找藉口?貼上來很難?做不到? 05/04 13:06
95F：→ leolarrel: 你伸手牌喔? 05/04 13:06
96F：→ tgyhuj01: 你一直再身體力行你鄙視的事情耶 不陪你玩了 05/04 13:07
97F：→ leolarrel: 笑死,伸手牌要人貼網址,side project都public,搜就有 05/04 13:08
98F：→ t64141: 另外一個角度，習慣的影響力是很大的，當在垃圾堆習慣後 05/04 13:11
99F：→ t64141: ，就算給你好的環境和足夠的資源，產出的可能也是亂七八 05/04 13:11
100F：→ t64141: 糟的東西，所以即便環境很爛，也盡量避免合理化他甚至讓 05/04 13:11
101F：→ t64141: 自己變成那種形狀 05/04 13:11
102F：→ tgyhuj01: 最後回你一次 我聽你的去搜了 結果發現你幾個月前 05/04 13:15
103F：→ leolarrel: 我講話你們覺得肚爛沒關係,樓上講的平和中肯,沒理由不 05/04 13:15
104F：→ leolarrel: 接受了吧 05/04 13:16
105F：→ tgyhuj01: 才跟人家說如果是你 會被把溝挖的更深 05/04 13:16
106F：→ tgyhuj01: 怎麼跟你主張的自我要求不太一樣 公司不好 你就搞破壞嗎 05/04 13:16
107F：→ tgyhuj01: 這行為就合理是吧 果然同樣的事情自己和他人標準是不同 05/04 13:17
108F：→ leolarrel: 好啦,我說的你就盡量不爽,t64141大大說的你還聽不進去 05/04 13:17
109F：→ leolarrel: 就不甘我屁事 05/04 13:17
110F：→ tgyhuj01: 現在是裝聖人被揭穿 就不開心了? 05/04 13:18
111F：→ leolarrel: 笑死,整篇看起來是你自覺得被鄙視一直不開心在回擊 05/04 13:19
112F：→ tgyhuj01: 看到有問題就想改 不考慮其他條件 這理想化的合理 05/04 13:20
113F：→ tgyhuj01: 留給各位高手了 我們這種弱者比較適合活在現實 05/04 13:21
114F：→ tgyhuj01: 整篇看起來好像也包含你很不開心 有沒有發現? 05/04 13:21
115F：→ leolarrel: 我說的你不爽很可以啊,我尊重你,你有不爽的自由,盡量 05/04 13:22
116F：→ leolarrel: 不爽.不爽完,想想人家神人怎麼做的,多少學一點吧,唉 05/04 13:22
117F：推 chatnoir: 人家好好一篇文章, 你們要吵可以自己私信吵.. 05/04 13:28
118F：推 tgyhuj01: 神人做的到是神人的事情 你做的到嗎 從公司不好就想搞破 05/04 13:31
119F：→ tgyhuj01: 壞來看 你是做不到 既然如此你在這高談闊論自己做不到的 05/04 13:31
120F：→ tgyhuj01: 事情？ 版面還給各位 跟原po道歉 佔用了你的好文 05/04 13:31
121F：→ leolarrel: 你自覺神人是神人的事情,你自比不是神人不想去做,那也 05/04 13:37
122F：→ leolarrel: 好.你覺得我做不到那也是你自己的認為我也尊重拉,但至 05/04 13:38
123F：→ leolarrel: 少我認為我每天都要再多進步,不論是寫code品質或是追隨 05/04 13:40
124F：→ leolarrel: 神人的過往經驗. 05/04 13:42
125F：推 vi000246: 這篇文底下怎麼戰得亂七八糟的 05/04 13:44
126F：推 DarkIllusion: 沒頭沒腦地去評價別人常常就是吵起來的原因 05/04 13:47
127F：推 sniper2824: 就有人把死線當無敵星啊 講不得 05/04 14:33
128F：→ kurtsgm: XD 死線不是無敵星啊 是甲方的尚方寶劍 會被砍滴 05/04 15:19
129F：→ kurtsgm: 拖過死線搞到兩間公司互告的事情我看多了 05/04 15:19
130F：推 hugo524: 感謝分享 05/04 15:50
131F：推 libitum: 現實中就是很難事事要求完美 這跟追求code品質習慣養成 05/04 17:01
132F：→ libitum: 無關啊 在神的人 只會扛更多案子而已 管你能力多強 05/04 17:02
133F：→ superpandal: 本來就是前置設施先做好 你以為會花很多時間 05/04 17:37
134F：→ superpandal: 後面搞那麼多其實更花時間 05/04 17:38
135F：→ superpandal: 接不接案都是如此 搭上工具還更好 05/04 17:42
136F：→ superpandal: 當然如果這點時間都沒有通常你後面也不會有時間驗什 05/04 17:52
137F：→ superpandal: 麼 只能靠前人前置是否完善 或者你以前統整的 只是 05/04 17:55
138F：→ superpandal: 不推薦 這樣你很虧 05/04 17:55
139F：推 viper9709: 這篇專業 05/04 17:55
140F：→ superpandal: crud這東西本來也就有規則可循 以前的不好相信都是 05/04 18:01
141F：→ superpandal: 有仇恨或其它 05/04 18:02
142F：→ superpandal: 包含產品的我都沒見過搞的很好的 除了奇摩子還有怕 05/04 18:15
143F：→ superpandal: 除了奇摩子還有怕革自己的命 05/04 18:16
144F：→ superpandal: 怕這個其實都可以藏步 而不是公司的藏起來 05/04 18:19
145F：→ superpandal: 後面的處理起來感覺在跑500障礙賽 05/04 18:21
146F：→ superpandal: 怕程式碼洩露 其實kiss分割術git上權限就好 05/04 18:27
147F：→ superpandal: 看新聞外洩的也都是高層的多 05/04 18:28
148F：→ superpandal: kiss還有個好處是爛一個都不至於全爛 05/04 18:39
149F：推 yamagishi: 不是 kiss，你在說的應該是 ACID 05/04 18:56
150F：→ superpandal: kiss就是一個程式只做一件事 我查了一下acid其實差 05/04 19:01
151F：→ superpandal: 不多 我是類unix系統信徒 所以只認識kiss 05/04 19:02
152F：推 s06yji3: …你說了才去查意思嗎？ACID和KISS完全不一樣 05/04 19:13
153F：→ superpandal: 應用起來達到的效果就是差不多 不摳字眼 05/04 19:19
154F：推 Csongs: 反正他是鄙視自己公司吧 05/04 19:26
155F：→ Csongs: 大概沒多久就離職了 05/04 19:27
156F：→ superpandal: 樓上 ?????????????????? 05/04 19:42
157F：→ superpandal: 原po的話 還是有考慮回報 05/04 19:48
158F：推 as30385438: KISS和ACID完全不一樣… 05/04 21:07
159F：→ as30385438: 各家RDS為了ACID做了不知道多少複雜的設計以應對各種 05/04 21:08
160F：→ as30385438: 極端狀況 05/04 21:08
161F：→ superpandal: 那也只是延伸 kiss只是個原則 怎麼做並沒有詳細說 05/04 21:31
162F：→ superpandal: acid主要也是針對資料庫 但我都想脫離db 05/04 21:34
163F：→ superpandal: 我想要的也都是切開的 05/04 21:41
164F：→ siriusu: 這哪有什麼好吵的，就有些甲方付不起整套所以資安被當可 05/04 23:35
165F：→ siriusu: 選項目啊，啊這篇不就同時也提到了有些漏洞的確是沒價值 05/04 23:35
166F：→ siriusu: 的所有要說是選配還真的是。不過我也同意隨著你公司應付 05/04 23:35
167F：→ siriusu: 的甲方越來越有規模越有價值資安也越來越不再可以選配所 05/04 23:35
168F：→ siriusu: 以某種程度所在的公司的吸金能力跟公司有沒有把資安當基 05/04 23:35
169F：→ siriusu: 本需求是正相關的。至於待的公司的吸金能力跟程式設計師 05/04 23:35
170F：→ siriusu: 的能力是不是正相關則是戰到爛了板上很多其他討論 05/04 23:35
171F：推 yamagishi: Keep It Simple And Stupid.（讓它簡單些，連笨蛋都看 05/04 23:55
172F：→ yamagishi: 得懂） 05/04 23:55
173F：→ yamagishi: kiss 不大像你解釋的那樣。我舉的例子也不大好，最符合 05/04 23:55
174F：→ yamagishi: 你要說的應該是SOLID 05/04 23:55
175F：→ superpandal: 所以如何簡單 什麼叫作簡單 你單一自然會切割功能出 05/05 01:35
176F：→ superpandal: 來 切割完怎麼協作 都是需要思考的 形容的話我會形容 05/05 01:38
177F：→ superpandal: 萬劍歸宗 很多專業就是這樣 發現一個東西額外命名它 05/05 01:40
178F：→ superpandal: 但是精華知識只有少少 05/05 01:41
179F：→ superpandal: 如果你應用並貫徹這個原則 你會得到差不多的東西 05/05 01:46
180F：→ superpandal: 再說一次 kiss只是個原則 05/05 01:58
181F：推 plover: 你應該想怎麼換更好的公司，這些公司比較在意這些漏洞問題 05/05 02:45
182F：→ superpandal: 回想起來acid是有看過 之前忘記 現在越看越覺得鷄肋 05/05 03:05
183F：→ superpandal: solid都是 果然大道至簡 只是以前還沒體會到 05/05 03:07
184F：推 r2tw: 推個 05/07 14:09