Új hozzászólás Aktív témák

• #14 buherbela csendes tag MacCaine #13

  Új Válasz 2012-06-19 14:07:21 #14

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  buherbela

  csendes tag

  válasz MacCaine #13 üzenetére

  Azért kell 10-szeres erőforrás, mert ilyen esetben te nem a bugot árulod, hanem az exploitot. Egy modern operációs rendszereken, megbízhatóan működő exploit megírása az okosok szerint átlagosan nagyjából 10x akkora meló, mint pusztán a bugot megtalálni (és belátni róla, hogy kihasználható).
  Az MS12-020 részletei nagyjából március óta nyilvánosak, nyilvános exploit viszont nincs rá. A ZDI-sek állítólag fejlesztettek egyet, 3 emberhónap melóval. Maga a bug elméletileg előjöhetett egy megfelelően megírt/konfigurált fuzzerrel is.

• #13 MacCaine őstag buherbela #12

  Új Válasz 2012-06-19 13:54:23 #13

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  MacCaine

  őstag

  válasz buherbela #12 üzenetére

  Miért kell 10-szeres erőforrás a szürkepiachoz?

  Nem akarsz egy saját domain-t a blogodnak? Melóhelyemen le van tiltva a blog.hu...

• #12 buherbela csendes tag MacCaine #11

  Új Válasz 2012-06-19 13:23:02 #12

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  buherbela

  csendes tag

  válasz MacCaine #11 üzenetére

  "Szürke" piac eddig is működött a nyilvános mellett. Ha befektsz X erőforrást egy exploitba, azért gyakorlatilag kockázatmentesen kaphatsz X*Y pénzt mondjuk a ZDI-től. Ha befektetsz 10X erőforrást, _és_ megvannak a kapcsolataid _és_ nem érdekel mire használják a kódot _és_ jók az idegeid (lásd még: http://buhera.blog.hu/2012/03/27/fegyvernepperek), kaphatsz mondjuk 20XY pénzt a szürkepiacon. Utóbbi azonban a többségnek egyszerűen nem reális opció.

• #11 MacCaine őstag buherbela #10

  Új Válasz 2012-06-19 12:00:43 #11

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  MacCaine

  őstag

  válasz buherbela #10 üzenetére

  A kérdés arra irányult, hogy mennyire tudnak majd versenyezni a "szürke" piaccal. Ha van egy jól megírt exploitom, és a cégtől van rá egy 50 ezres ajánlatom, a másik oldalról meg egy 120-as mondjuk, akkor azért elgondolkozom, melyiket fogadjam el...

• #10 buherbela csendes tag MacCaine #9

  Új Válasz 2012-06-19 10:26:54 #10

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  buherbela

  csendes tag

  válasz MacCaine #9 üzenetére

  ahhoz, hogy ilyen árat kapj, nagyságrendekkel nagyobb melót kell befektetned (általában multiplatform exploitot kell írnod, ami nem is biztos h mindig lehetséges), mint ha csak a bugokra, esetleg proof-of-conceptre játszanál, ahogy az általában szokás.

• #9 MacCaine őstag

  Új Válasz 2012-06-19 10:05:20 #9

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  MacCaine

  őstag

  A kérdés az, mennyire lesznek versenyképesek a 150-200k-s ajánlat mellett.

• #8 buherbela csendes tag bambano #7

  Új Válasz 2012-06-18 22:05:05 #8

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  buherbela

  csendes tag

  válasz bambano #7 üzenetére

  pedig vannak már páran: ZDI, iDefense, Beyond Security - hogy csak az ismert publikusakat említsem. A piac elég nagynak és jól feloszthatónak tűnik, legalábbis egyelőre.

• #7 bambano titán Tigerclaw #4

  Új Válasz 2012-06-18 18:07:30 #7

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  bambano

  titán

  válasz Tigerclaw #4 üzenetére

  első ilyennek lenni szerintem megéri.
  sokadik ilyennek lenni nem.

• #6 buherbela csendes tag

  Új Válasz 2012-06-18 17:41:12 #6

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  buherbela

  csendes tag

  Ez nem akkora újdonság, a ZDI konkrétan erre lett kitalálva (lásd Pwn2Own), szóval Portnoy-ék csak megpróbálják kiszervezni azt az "üzletágat", amit egyébként is ők találtak ki, és hajtottak évekig TippingPoint, később HP színekben. Tapasztalat egyébként, hogy a ZDI-ből az utóbbi időben egyre keservesebb pénzt lehetett kinyerni...

  Bár arról még nincs infó, hogy kik lennének az Exodus reménybeli vásárlói, a ZDI-nél azért messze nem osztogattak százezer dollárokat a kutatóknak, inkább ezreket, a gyártókat pedig ingyen értesítették a sérülékenységekről. Az ilyen meseösszegek akkor játszanak, ha csak nagyon kevesen tudnak egy adott hibáról + van hozzá megbízható exploit is.

  A kutatónak pedig azért éri meg a játék, mert a brókernek általában jobbak a kapcsolatai, és könnyebben tudja értékesíteni az infót, másrészt egyfajta proxyként védi a bejelentő s*ggét is a jogászoktól, garanciát vállal a kifizetésre stb.

• #5 Gusztáv addikt Tigerclaw #4

  Új Válasz 2012-06-18 17:37:06 #5

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Gusztáv

  addikt

  válasz Tigerclaw #4 üzenetére

  Vagy jó nagy summáért a konkurensnek . Azért ezzel masszívan vissza lehet élni.

• #4 Tigerclaw nagyúr

  Új Válasz 2012-06-18 17:14:55 #4

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Tigerclaw

  nagyúr

  Ez miért érné meg annak aki felfedezett egy hibát? Inkább ő szól és ő kapja a lóvét. Ez valami olyan vállalkozás akik beáraznak minden bugot, majd aszerint adják el az infót a fejlesztőcégnek?

• #3 bambano titán

  Új Válasz 2012-06-18 17:07:04 #3

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  bambano

  titán

  most akkor ők akarnak lenni az n+478 nagyotmondó központ? minek?

• #2 Avicularia veterán nXu #1

  Új Válasz 2012-06-18 16:59:41 #2

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Avicularia

  veterán

  válasz nXu #1 üzenetére

  mi a baj vele,cégalapítással kapcsolatban elég gyakran használják

• #1 nXu tag

  Új Válasz 2012-06-18 16:56:53 #1

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  nXu

  tag

  Gründoltak

Új hozzászólás Aktív témák