回答每個問題：

1。基本上，該如何進行甚至應該進行？

我建議您繼續。您將能夠獲取有價值的信息，這些信息可立即用於改善公司的安全性。您沒有告訴我們研究人員向您發送了什麼，但是他們將對漏洞進行描述或複制該漏洞的方法。要繼續，您將需要它們：

• 所發現漏洞的描述/攻擊情形。為什麼會出現此問題？該錯誤具體允許攻擊者執行他們不應該做的事情，最壞的情況/發現的嚴重程度是什麼？

• 複製步驟。您可以給任何工程師採取什麼步驟，並允許他們每次重現該錯誤。

• 黑客正在尋找什麼。如前所述，可能會允許在修復或付款後發布調查結果。

• 您可能還需要或從研究人員那裡獲得補救建議，風險評分等。

非常重要：向研究人員明確表示您希望他們在解決問題之前對問題保持機密。他們可能會採取補救措施，例如如果問題在60天內未得到解決，他們就可以發表文章。這是常見的做法，對於大多數具有強大安全性的公司來說應該可以接受。

2。白人（帽子）黑客的普遍期望是什麼？

取決於研究人員，但是一旦發現問題得到固定以及金錢獎勵，他們可能會希望獲得許可才能發布。獎勵價格基於獎勵計劃的總體嚴重性和規模。 Hackerone是一個大型的漏洞賞金平台，它的矩陣建議相對於公司/賞金計劃的規模進行支付： https://www.hackerone.com/resources/bug-bounty-basics。確定支付價格是一種微妙的技巧-我建議在hackerone或其他漏洞賞金平台上搜索類似的錯誤，並根據其他公司為同一問題支付的費用為基礎。

同樣-研究人員的普遍期望他們可以在一定時間內發布發現，而不管當時是否已修復。通常有60天的時間，但是如果您不確定您的公司可以在那個窗口內交付，我不會同意一定的時間。修復此問題後，黑客可能希望驗證該修復程序是否正確實施。

3。如何驗證？

使用黑客給您的複制步驟。他們應該足夠清楚，以使任何工程師都可以完全按照步驟操作並重現該錯誤。如果這裡有任何問題，您可以返回研究人員並進行澄清。研究人員有責任向公司提供概述和識別錯誤的複制步驟。

問題解決後，您可以邀請研究人員驗證此修復程序並確保已對其進行完全修補。

Hackenproof似乎是任何人都可以註冊的網站，因此說您是Hackproof的成員就等於說您是Facebook的成員。這不是排他的黑客團體。

沒有正式的標準方法來處理這種情況，因為您的公司，您的業務，錯誤和白帽子都會有很大的不同。一種尺寸並不適合所有尺寸。

通常，建議謹慎但要好奇。要小心，但不要偏執和鬥氣。不要給白帽子提供任何內部信息，而是要盡可能多地先獲取盡可能多的信息，而很少或什麼都不透露。這些人中的許多人喜歡交談以展示自己的專業知識。讓他們這樣做。如果信息僅以一種方式流動，則危害很小。向他/她詢問源代碼或問題的詳細描述。然後分析代碼/描述並編寫您自己的漏洞利用程序（並且不要編譯或運行白帽代碼），針對測試實例運行它，最好與其他任何環境隔離。

就各方的責任而言，如今大多數自稱是白帽黑客的人將實行負責任的披露，直到將其修復後才向公眾發布該錯誤。您的責任是在合理的時間內（數週，而不是數年）修復該錯誤（如果足夠嚴重）。如果您的公司提供賞金，如果漏洞符合條件，則應向他們付款。如果不是這樣，白帽子應該接受他們可能不會付給他們的報酬，但是您必須接受如果沒有在合理的時間內修復錯誤，他們可能會將錯誤發布給公眾。

我不知道這裡有任何嚴格的規則。讓我們將其視為博弈論：

研究人員想要的東西

通常：

• 發現的公共信譽，例如CVE或研究論文。
• 有時會以賞金的形式獲得金錢。

您想要的東西

通常：

• 不要被公開羞辱。
• 要提高產品的安全性。

如何進行

從博弈論出發角度來看，雙贏的局面是讓他們向您披露詳細信息，讓您解決問題，並讓他們贏得公眾的信任。您應該與研究人員打個電話，並要求進行演示-您會收穫很多，卻一無所獲。請注意，在願意向您顯示詳細信息之前，研究人員可能需要NDA或其他法律合同，以確保最終獲得信譽。

我可能要注意，他們對此也可能很陌生，有很多“專家”，如果這是您謀生的方式，您可能會有一個過程，但這通常需要與公司達成某種協議。 >開始之前。但是即使這樣，公司和工作的種類也會有所不同。

儘管如此，對我來說，這聽起來還是一個狂熱者。我真的懷疑與這個傢伙說話會不會有任何損失。他可能有不切實際的期望，但您會失去什麼？ ”，“我們可以快速聊一聊您系統的一些實現細節嗎？”您可能應該對 even strike>說不，尤其是當他們提供胡蘿蔔的時候。

要回應某人在評論中所說的話，嘗試排除欺詐或勒索是一件公平的事情。這裡有一些需要考慮的事情。

• 是否有提及付款的信息，甚至是某種“管理費”？假設您沒有預先存在的漏洞賞金，那麼合法的研究人員就不可能要求金錢-他們想要修復該漏洞並希望獲得發現該漏洞的能力。索要金錢可能被視為敲詐勒索，或至多是不道德的。

• 重現模糊的步驟是否足以使您無法重現？讓您的工程師及早調查他們，以確切了解您所擁有的內容，並確認是否存在漏洞，即使漏洞很小。即使您遵循通常的做法，他們還是不願透露細節嗎？無論您做什麼，該漏洞仍然模糊且未經確認，您可能未在處理合法報告。

• 他們似乎過分渴望了解有關您軟件的信息嗎？

• 如果該人聲稱代表某個團體，您可以驗證他們的實際身份嗎？

通常的處理方法是向記者保證您已致力於修復該錯誤，並給出了發送此修復程序的時間範圍（他們可能已經指定了他們想要的時間範圍，但如果這樣做似乎不合理， ，進行協商），然後就可以發布。或者，看看是否可以在以後要求寬限期，以防他們重新測試並發現該漏洞仍然以某種形式存在。

以金錢獎勵是有點道德上的難題，一方面獎勵是很好的，但是另一方面，如果您沒有漏洞賞金，則可能會鼓勵您發現漏洞並期望獲得收益，這很接近黑帽的行為。再次提醒您，即使他們確實打算捐出一些錢，如果他們首先提出錢的問題，請多加註意。但是，如果您這樣做了，那麼如果您建立某種形式的正式的賞金計劃，對所有人都將是更好的選擇。