尝试入侵3G门户一个内网,然后被警告了

[我最猪头]

小弟只是单纯在这里吐一下槽.,绝无其他意思
小弟是3G门户一名员工,从事PHP开发,今天做完了功能,然后尝试了入侵3G门户一个内网-portal...
因为有留言模块,竟然发现可以直接写js执行,然后又发现个人信息也可以植入xss,这样别人访问我的主业,也可以被攻击到.于是乎,小弟开始了攻击,写了一些xss.
然后在项目群里,也公开公布了说:我们网站可以被植入xss,以及详细步骤.
后来过了,一个小时多,人事的来了,带了2个技术,然后开始围攻我了,大致意思就是:我入侵是不对的,这件事情可大可小,甚至到了离职的地步.
单纯这件事情看,我说说我真正的想法:
1:小弟酷爱技术,所以入侵,只是单纯的友情测试,我从来不搞盗号之类的事情,这是我的人品.
2:我有公开公布这件事,并说明了漏洞.但是是在项目组里,就30+个人.
3:人事叫我做这种测试事情之前,应该先通知.(这事也挺郁闷的,测试90%可能都找不到漏洞,还提前通知?找到还好,找不到,还提前通知,现实这样做,这不坑爹来着,况且由于我们没有全公司通讯录,我有联系方式的人事就1个,是负责入职的)
4:人事叫我以后不要干这样的事情了.说我很幼稚(或许我的确很幼稚,但是另外一方面,我觉得从另外个角度去看.产品有漏洞,应该是去修复,而不是禁止人去破坏.因为禁止,只能单纯对特定的人物.不断的完善才会提升产品的质量.就如同考试成绩全班第一名一样,第一名不要去打压第二名,让他不超过自己,而是应该互相学习,全班一起提升.因为打压,只能是特定的人物.跳出全班,如整个学校?全国?要达第一,是不是要打压很多人了?所以,应该是提升自己,而不是打压周围的人)
5:很多公司都有专门的安全工程师,我偶尔兼职一下,没收费就不错了..况且我确实持的是一颗友情测试的心,账户都是内网的,我要内网的账户顶个鸟用啊.

[ggber]

哈哈为啥这简单的检测都没做

[我最猪头]

再次说明一下,小弟只是吐一下槽,发泄一下 绝对不是说自己有多牛B,也不是说,我明明是犯错了,还不知悔改 错,我的确是有错的..但是我也相信,错不是全在我身上!

[jackyuan918]

。。。。。你的这种行为，不想说了。。。。

[别让人生输给心情]

[别让人生输给心情]

万一被别人利用了，一切损失 你要承担

[我最猪头]

各位大神,我知道错了.以后不干了! 可能我自己会主动离职吧!

[雨中的看客]

公布漏洞，让他们尝苦果去吧。

[personball]

这种公司，呆不久的，算奇葩公司的一种。。

[一干好几年]

3g门户我已经很久不访问了

[forgetsam]

引用 楼主 zouhao619 的回复:

3:人事叫我做这种测试事情之前,应该先通知.(这事也挺郁闷的,测试90%可能都找不到漏洞,还提前通知?找到还好,找不到,还提前通知,现实这样做,这不坑爹来着,况且由于我们没有全公司通讯录,我有联系方式的人事就1个,是负责入职的)

搞笑呢？先通知是你让找Bug之前通知？是让你找到之后第一时间通知。你尽可以测试，但是扩散系统的Bug信息，如果在修复之前被人利用了呢？

引用 楼主 zouhao619 的回复:

竟然发现可以直接写js执行,然后又发现个人信息也可以植入xss,这样别人访问我的主业,也可以被攻击到.于是乎,小弟开始了攻击,写了一些xss. 然后在项目群里,也公开公布了说:我们网站可以被植入xss,以及详细步骤.

你就是天才，做完这些也得超过5分钟吧？没时间通知？你有时间发群没时间通知？ 通篇都是你自己在狡辩，公司有问题就说明你没问题了？和people日报一个套路。 公司在技术上有问题，对待自己产品的职业操守也有问题，但是直接开除你，一点问题也没有。

[昵称废弃2018]

一、找到BUG后直接跟你上级说啊，不要这样公开出来。 二、我觉得有个重要原因：你在公共场合公开BUG，相当于直接当扇网站开发人员的脸！！！！我不知道你没有想过这个问题。 个人意见，仅供参考

[无聊找乐]

发现漏洞可以向上级汇报，而不是先攻击，然后去项目组公布