İos İşletim Sistemlerindeki Açıklar ve Apple Yönetmeliğindeki Belirsizlikler

ferhat end

ferhat end

Üye
28 Haz 2016
71
10
iOS Açığı Buldum

Geçen sene açtığım konuyla ilgili gelişen olayları altta paylaşacağım.

Merhaba sevgili THT üyeleri,

İOS İşletim sistemindeki açıkla ilgili görüşmeler gerçekleştirdim fakat Apple, açığı söyledikten sonra ödül miktarını açıklayacağını söyledi ayrıca bana beraber çalışmayı da teklif ettiler fakat “ödül miktarını açığı söyledikten sonra açıklayacağız” dedikleri için ne kadarlık bir ödeme yapacaklarını bilemedim. Bundan dolayı açığı söylememeye karar verdim. Kendileri bulsun diye lakin görüyorum ki 1 yılı aşkın bir süredir açığı kapatmış değiller. Hala görüşmeler devam ediyor ama ödül miktarını söylemedikleri takdirde suistimale açık bir şekilde duracak. Bu arada bu süre zarfında tabii ki yine boş durmadım başka açıklarda buldum. Yalnız Apple bu yönetmeliğini değiştirmediği sürece asla kendilerine bilgi paylaşımı yapmayacağım. O kadar zaman harcıyoruz kimse aptal değil ödül miktarının çok düşük veya çok yüksek olması ihtimali bile bizim için sadece “ihtimal” den öteye geçmemiştir. İhtimallerden sıyrılıp net olana kadar Apple ile hiçbir şekilde bilgi paylaşmayacağım. Bilgilerinize sunarım.

Bütün THT ailesine öncelikle saygılarımı sunar, çalışmalarında başarılar dilerim.
 
Robert Kuyanka

Robert Kuyanka

Katılımcı Üye
7 May 2022
284
42
orda
ferhat end' Alıntı:
iOS Açığı Buldum

Geçen sene açtığım konuyla ilgili gelişen olayları altta paylaşacağım.

Merhaba sevgili THT üyeleri,

İOS İşletim sistemindeki açıkla ilgili görüşmeler gerçekleştirdim fakat Apple, açığı söyledikten sonra ödül miktarını açıklayacağını söyledi ayrıca bana beraber çalışmayı da teklif ettiler fakat “ödül miktarını açığı söyledikten sonra açıklayacağız” dedikleri için ne kadarlık bir ödeme yapacaklarını bilemedim. Bundan dolayı açığı söylememeye karar verdim. Kendileri bulsun diye lakin görüyorum ki 1 yılı aşkın bir süredir açığı kapatmış değiller. Hala görüşmeler devam ediyor ama ödül miktarını söylemedikleri takdirde suistimale açık bir şekilde duracak. Bu arada bu süre zarfında tabii ki yine boş durmadım başka açıklarda buldum. Yalnız Apple bu yönetmeliğini değiştirmediği sürece asla kendilerine bilgi paylaşımı yapmayacağım. O kadar zaman harcıyoruz kimse aptal değil ödül miktarının çok düşük veya çok yüksek olması ihtimali bile bizim için sadece “ihtimal” den öteye geçmemiştir. İhtimallerden sıyrılıp net olana kadar Apple ile hiçbir şekilde bilgi paylaşmayacağım. Bilgilerinize sunarım.

Bütün THT ailesine öncelikle saygılarımı sunar, çalışmalarında başarılar dilerim.
Genişletmek için tıkla ...
bence onlar senin ilk para istediğini düşündüler
 
PanchiaNN

PanchiaNN

Junior Hunter
29 Tem 2022
137
111
United States & Türkiye
ferhat end' Alıntı:
iOS Açığı Buldum

Geçen sene açtığım konuyla ilgili gelişen olayları altta paylaşacağım.

Merhaba sevgili THT üyeleri,

İOS İşletim sistemindeki açıkla ilgili görüşmeler gerçekleştirdim fakat Apple, açığı söyledikten sonra ödül miktarını açıklayacağını söyledi ayrıca bana beraber çalışmayı da teklif ettiler fakat “ödül miktarını açığı söyledikten sonra açıklayacağız” dedikleri için ne kadarlık bir ödeme yapacaklarını bilemedim. Bundan dolayı açığı söylememeye karar verdim. Kendileri bulsun diye lakin görüyorum ki 1 yılı aşkın bir süredir açığı kapatmış değiller. Hala görüşmeler devam ediyor ama ödül miktarını söylemedikleri takdirde suistimale açık bir şekilde duracak. Bu arada bu süre zarfında tabii ki yine boş durmadım başka açıklarda buldum. Yalnız Apple bu yönetmeliğini değiştirmediği sürece asla kendilerine bilgi paylaşımı yapmayacağım. O kadar zaman harcıyoruz kimse aptal değil ödül miktarının çok düşük veya çok yüksek olması ihtimali bile bizim için sadece “ihtimal” den öteye geçmemiştir. İhtimallerden sıyrılıp net olana kadar Apple ile hiçbir şekilde bilgi paylaşmayacağım. Bilgilerinize sunarım.

Bütün THT ailesine öncelikle saygılarımı sunar, çalışmalarında başarılar dilerim.
Genişletmek için tıkla ...
Hocam çok akıllıca adımlar atmışsınız, Helal olsun 👏
 
A

alexandre20

Katılımcı Üye
13 Tem 2022
894
700
Belirsizlik göremedim. Apple tabi ki önce PoC görmek ister, sonra ne kadar değerli olduğuna karar verir. Sanki zero click RCE bulmuşsun gibi havalara girmişsin bi de "Apple ile pazarlık edecek halim yok! Onların bana ihtiyacı var!" tarzı bir psikolojide olduğun sürece Bug bounty'nin "b"sini göstermezler sana.

geçen sene de böyle bir konu açmıştın, uygulama içi satın alma bug'ıydı sanırım. Muhtemelen o uygulamayı yazan kişinin unuttuğu bir şeyi istismar ediyorsun ve olayın direkt Apple ile alakası yok.
 
ferhat end

ferhat end

Üye
28 Haz 2016
71
10
alexandre20' Alıntı:
Belirsizlik göremedim. Apple tabi ki önce PoC görmek ister, sonra ne kadar değerli olduğuna karar verir. Sanki zero click RCE bulmuşsun gibi havalara girmişsin bi de "Apple ile pazarlık edecek halim yok! Onların bana ihtiyacı var!" tarzı bir psikolojide olduğun sürece Bug bounty'nin "b"sini göstermezler sana.

geçen sene de böyle bir konu açmıştın, uygulama içi satın alma bug'ıydı sanırım. Muhtemelen o uygulamayı yazan kişinin unuttuğu bir şeyi istismar ediyorsun ve olayın direkt Apple ile alakası yok.
Genişletmek için tıkla ...
Bu yazdığın yazıdan olayın ne kadar dışında olduğunu ve gerçek anlamda bu konuda bilgi sahibi olmadığını görmüş oldum.
Belirsizlik göremedim yazmışsın;
Belirsizlik şu; ödül miktarını söylemiyorlar eğer çok düşük olursa ki bu da bir ihtimal ben pişman olurum. Bundan dolayı ortada net bir belirsizlik var. Onlara ilettiğim belgelerle ve konuyla ilgili zaten bilgi sahibiler. Ne tür bir açıktan bahsettiğimi biliyorlar yalnız 1 senedir kapatamadılar. Açığın derecesini bilmelerine rağmen ödül miktarı hakkında net bir şey söylemiyorlar. Bundan dolayı bu belirsizlik var.

  1. Yani Apple Kavram Kanıtı dediğin PoC’ u zaten gördü fakat değeri ile ilgili kesin bir şey söylemiyor.
  2. Havalara girmişsin demişsin, havaya falan girdiğim yok ama şöyle bir şey var açığı kapatamıyorlar. Apple gibi bir şirketin açığı kapatamaması ve benim bu konuda bilgi sahibi olmam aslında havaya girmemi gerektirir ama biz havalara girmek için bu şeyleri sizlerle paylaşmıyoruz. Emin olabilirsiniz ki daha fazlasını da yapmışızdır.
  3. Apple ile pazarlık edecek halim yok! Falan da demiyorum bu tamamiyle senin kendi görüşün Apple zaten o pazarlık ortamını yaratmadı. Psikolojik destek alman gerekebilir ayrıca kafanda kurduğun şeylerin kesinlikle bunlarla yakından uzaktan hiçbir ilgisi yoktur.
  4. Geçen senede böyle bir konu açmıştın satın alma bug’uydu sanırım yazmışsın. Daha geçen sene gönderdiğim olayı tam anlamıyla idrak edememişsin ve “sanırım” demişsin öncelikle ne yazdığımı oku sonra düşüncelerini paylaş.
  5. Muhtemelen o uygulamayı yazan kişinin unuttuğu bir şey istismar ediyorsun yazmışsın.İstismar edecek olsaydım gerekeni yapardım burada kalkıp böyle bir şey bile paylaşmazdım! Tabii yine böyle bir şey yok. Bu tek bir uygulamadan ibaret olan bir açık değil. Apple Store da bulunan tüm uygulamalar için geçerli olan bir şey bu. Ayrıca olayın direkt Apple ile alakası yok demişsin. Bu olayı anlamadığının net bir kanıtıdır zaten. Lütfen sadece yazmak için bir şeyler yazmayalım. Keşke problemi bilip konuşsaydın.


Değerli THT üyelerine saygılarımı sunar, başarılar dilerim.
 
Cevap yazmak için giriş yap yada kayıt ol.
Üst

Turkhackteam.org internet sitesi 5651 sayılı kanun’un 2. maddesinin 1. fıkrasının m) bendi ile aynı kanunun 5. maddesi kapsamında "Yer Sağlayıcı" konumundadır. İçerikler ön onay olmaksızın tamamen kullanıcılar tarafından oluşturulmaktadır. Turkhackteam.org; Yer sağlayıcı olarak, kullanıcılar tarafından oluşturulan içeriği ya da hukuka aykırı paylaşımı kontrol etmekle ya da araştırmakla yükümlü değildir. Türkhackteam saldırı timleri Türk sitelerine hiçbir zararlı faaliyette bulunmaz. Türkhackteam üyelerinin yaptığı bireysel hack faaliyetlerinden Türkhackteam sorumlu değildir. Sitelerinize Türkhackteam ismi kullanılarak hack faaliyetinde bulunulursa, site-sunucu erişim loglarından bu faaliyeti gerçekleştiren ip adresini tespit edip diğer kanıtlarla birlikte savcılığa suç duyurusunda bulununuz.