Программа поиска уязвимостей

Ищете уязвимости? Пожалуйста — этот сайт можно и нужно проверять. Ниже — что входит в проверку, какие правила и как сообщить о находке. Если вы их соблюдаете, никаких претензий к вам не будет.

Что можно тестировать

ogurexxx.ru и www.ogurexxx.ru — сайт целиком: страницы, формы, заголовки, TLS, текстовая версия для curl.
Gopher-зеркало: gopher://ogurexxx.ru/
Настройки домена: DNS, CAA, security.txt, PGP-ключ.

Что не входит

Ловушки: SSH на порту 22, форма входа WordPress и скрытые от людей адреса. Это honeypot — «взломать» их и есть их задача, уязвимостью это не считается.
DoS, флуд и нагрузочное тестирование.
Социальная инженерия, фишинг, физический доступ.
Другие порты и сервисы на этом IP и сторонние сервисы (GitHub, Telegram, почта).
Отчёты сканеров без доказательства и то, что уже известно и объяснено на странице Аудит (например, DNSSEC не включён — и там сказано почему).

Правила

Остановитесь на доказательстве: не читайте, не меняйте и не сохраняйте больше данных, чем нужно, чтобы показать проблему.
Не мешайте другим посетителям и не ломайте доступность сайта.
Не быстрее нескольких запросов в секунду. Быстрее — автоматическая защита забанит ваш адрес на час-четыре; это не уязвимость, а она самая. Нужен быстрый скан — напишите заранее.
Дайте время на исправление и не публикуйте детали раньше — обычно до 30 дней, договоримся.

Гарантии

Если вы действовали добросовестно и по этим правилам, я считаю ваше исследование разрешённым: не буду жаловаться провайдеру, хостингу или в правоохранительные органы и не стану требовать удалить находку из вашего портфолио после исправления. Случайно вышли за рамки — просто напишите, разберёмся.

Как сообщить

Почта: issafianov@edu.hse.ru
Telegram: t.me/ogurexxx
Что приложить: адрес, шаги воспроизведения, что это даёт атакующему, доказательство (запрос и ответ, скриншот).
Отвечу в течение 3 дней. Серьёзное исправлю как можно быстрее и напишу, когда готово.

Спасибо

Денежных наград нет — это личный сайт. Зато здесь будет ваше имя (с вашего согласия) и честная благодарность.

$ cat hall-of-fame.txt
# пока пусто — вы можете быть первым