SMS-ACTIVATE
Brauser
Bug Bounty programmis osalemise reeglid
Tere tulemast Bug Bounty programmi! Teie osalus aitab parandada meie toodete ja teenuste turvalisust. Palun tutvuge järgmiste reeglitega, et tagada tõhus ja eetiline koostöö
Registreerimine ja kinnitamine
- Registreerimine: programmis osalemiseks peate esmalt veebisaidil registreeruma sms-activate.ai Esitage registreerimise käigus oma Telegrami konto lihtsaks suhtlemiseks;
- Kinnitamine: Maksete saamiseks peate läbima kinnitamise protsessi. Üksikasjalikud juhised saadetakse teile Telegrami vahendusel pärast aruande heakskiitmist.
Aruannete esitamine
- Reeglite tundmaõppimine: Enne aruande esitamist tutvuge osalemisreeglite ja haavatavuste tüüpidega, mida võetakse arvesse;
- Aruande vorm: kasutage lehel olevat vormi sms-activate.ai/bugbountyForm aruande esitamiseks. Teie aruanne peaks sisaldama selget haavatavuse kirjeldust, selle taasesitamise samme, tõendeid (ekraanipildid, videod) ja soovitusi selle parandamiseks;
- Lisafailid: vajadusel lisage haavatavuse kinnitamiseks täiendavaid faile;
Aruannete läbivaatamise protsess
Teie aruannet analüüsivad hoolikalt meie turvaspetsialistid. See protsess võib kesta kuni kolm kuud. Selle aja jooksul võib aruandele määrata ühe järgmistest staatustest: "ootel", "sorteeritud", "moderaatori poolt tagasi lükatud", "nõutakse lisateavet" ja teised.
Haavatavuste tüübid
Lisa A
leiate loetelu haavatavuste tüüpidest, mille eest ei maksta preemiat. Lisas
haavatavuse olulisuse taseme hindamise kriteeriumid on täpsustatud.
Kinnitamine ja privaatsus
Kõiki teie poolt kinnitamise eesmärgil esitatud isikuandmeid kasutatakse ainult tuvastamise eesmärgil ning neid ei avaldata kolmandatele osapooltele ilma teie nõusolekuta. Teeme kõik endast oleneva, et tagada teie andmete privaatsus ja turvalisus.
Maksed
Pärast edukat kinnitamist ja haavatavuse kinnitamist pakutakse teile tasu. Tasu suurus määratakse kindlaks haavatavuse olulisuse taseme ja esitatud aruande kvaliteedi alusel.
Eetilised normid
Ootame, et osalejad käituksid vastutustundlikult ja eetiliselt. Ei ole lubatud kasutada leitud haavatavusi kahju tekitamiseks, volitamata juurdepääsu saamiseks andmetele või süsteemidele ega levitada teavet haavatavuse kohta enne selle parandamist.
Kokkuvõte
Hindame Teie panust meie toodete ja teenuste turvalisuse parandamisse. Teie osalus aitab luua turvalisemat digitaalset keskkonda meile kõigile.
Soovime Teile edu haavatavuste otsimisel! Teie panus on hindamatu, seega oleme tänulikud Teie abi eest meie süsteemide kaitsmisel.
Lisa A
Haavatavuste tüübid, mis ei ole preemia objektiks (madala taseme haavatavused, mille ärakasutamisel puuduvad kriitilised tagajärjed, sealhulgas):
- IDOR (seda tüüpi haavatavuste aruandeid võetakse vastu ainult kõrge kriitilisuse taseme korral; kriitilisuse taseme määrab meie spetsialist haavatavuse kinnitamisel);
- Igasugused XSS-haavatavused, välja arvatud salvestatud XSS (salvestatud XSS-i aruandeid võetakse vastu sõltuvalt veebiresursi tähtsusest);
- Clickjacking;
- Ebaturvaline ümbersuunamise URI;
- Kataloogiloendi lubamine (paroolid, varukoopiad) ja Tundlike andmete avalikustamine (sõltuvalt avaldatud andmetest; selle haavatavuse aruandeid võetakse vastu, kui leitakse kriitilisi andmeid);
- Lubatud silumisrežiim, mis ei avalda kriitilisi andmeid;
- CSRF-haavatavused, mis on leitud mittekriitilises funktsioonis;
- Administraatoripaneeli avalikustamine (kui veakütt leiab administraatori armatuurlaua, kuid ei suuda kontot üle võtta ega saada muud kriitilist teavet);
- Kasutajate loendamine ilma kriitiliste andmete avalikustamiseta;
- Turvakonfiguratsiooni vead, kui puuduvad tõendid ohu realiseerumise kohta;
- Keeldumine teenuste osutamisest;
- Spämm;
- Sotsiaalne inseneeria, mis on suunatud töötajatele, alltöövõtjatele või klientidele;
- Igatsugused füüsilised katsed pääseda ligi varale või andmekeskustele
- Süsteemi omanik;
- Aruanne, mis on loodud automatiseeritud tööriistade ja skannimiste abil;
- Vead kolmanda osapoole tarkvaras;
- Turvapäiste puudumine mis ei vii otseselt haavatavuseni;
- SSL/TLS usalduse rikkumine;
- Haavatavused, mis mõjutavad ainult aegunud või litsentsita brauserite ja platvormide kasutajaid;
- Parooli ja konto taastamise poliitikad, näiteks lähtestamislingi aegumiskuupäev või parooli tugevus;
- Aegunud DNS-kirje, viitab süsteemile, mis ei kuulu süsteemi omanikule.
Sisu
Lisa B
Haavatavuste tüübid kriitilisuse taseme järgi:
Haavatavus
Madal
Keskmine
Kõrge
Path Traversal
10
40
70
Kataloogiloendi lubamine
10
40
Ebaturvaline ümbersuunamise URI
5
10
Clickjacking
5
Jõuründe rünnak (Brute Force)
5
SQL-injektsioon (tühi andmebaas, kasulik andmebaas)
10
40
70
XML-i välise üksuse injektsioon
50
70
Kohaliku faili kaasamine
50
Kaugkoodi käivitamine
10
50
100
Autentimise möödahiilimine
50
90
Konto üle võtmine
50
90
Ebakindlad otsesed objekti viited
10
Salvestatud XSS
20-30
Peegeldatud XSS
10-20
Serveripoolne päring
40-60
Veebisaidi-vaheline päringuvõltsimine (CSRF)
10-20
Võistlusolukord (Race Condition)
10
90
Serveripoolse malli injektsioon
20
80
Path Traversal
Madal
10
Keskmine
40
Kõrge
70
Kataloogiloendi lubamine
Madal
10
Keskmine
40
Kõrge
Ebaturvaline ümbersuunamise URI
Madal
5
Keskmine
10
Kõrge
Clickjacking
Madal
5
Keskmine
Kõrge
Jõuründe rünnak (Brute Force)
Madal
5
Keskmine
Kõrge
SQL-injektsioon (tühi andmebaas, kasulik andmebaas)
Madal
10
Keskmine
40
Kõrge
70
XML-i välise üksuse injektsioon
Madal
Keskmine
50
Kõrge
70
Kohaliku faili kaasamine
Madal
Keskmine
50
Kõrge
Kaugkoodi käivitamine
Madal
10
Keskmine
50
Kõrge
100
Autentimise möödahiilimine
Madal
Keskmine
50
Kõrge
90
Konto üle võtmine
Madal
Keskmine
50
Kõrge
90
Ebakindlad otsesed objekti viited
Madal
10
Keskmine
Kõrge
Salvestatud XSS
Madal
20-30
Keskmine
Kõrge
Peegeldatud XSS
Madal
10-20
Keskmine
Kõrge
Serveripoolne päring
Madal
Keskmine
40-60
Kõrge
Veebisaidi-vaheline päringuvõltsimine (CSRF)
Madal
10-20
Keskmine
Kõrge
Võistlusolukord (Race Condition)
Madal
10
Keskmine
Kõrge
90
Serveripoolse malli injektsioon
Madal
20
Keskmine
Kõrge
80
Punktid antakse vastavalt haavatavuse kriitilisuse tasemele järgmiselt:
- Madal tähtsuse tase – 0 kuni 30 punkti;
- Keskmine tähtsuse tase – 31 kuni 60 punkti;
- Kõrge tähtsuse tase – 61 kuni 100 punkti.
- sms-activate.ai
- hstock.org
- ipkings.io
Tasud
Tasu suurus sõltub haavatavuse kriitilisusest, ärakasutamise lihtsusest ja mõjust kasutajaandmetele. Kriitilisuse taset määratletakse sageli koos arendajatega ja see võib võtta rohkem aega.
Haavatavus
Tasu
Kaugkoodi käivitamine (RCE)
$1500 - $5000
Kohalike failide juurdepääs ja muu (LFR, RFI, XXE)
$500 - $3000
Injektsioonid
$500 - $3000
Veebisaidi-vaheline skriptimine (XSS), välja arvatud Self-XSS
$100 - $500
SSRF, välja arvatud pime SSRF
$300 - $1000
Pime SSRF
$100 - $500
Mälulekked / IDOR-id / Isikuandmete või tundliku kasutajateabe avalikustamine
$70 - $1150
Muud kinnitatud haavatavused
Sõltub kriitilisusest
Kõik SMS-Activate'i rakendused, mis töötlevad kasutajaandmeid. Meie rakendusi leiate Google Play
ja App Store
nimega SMS-Activate
Rakendused
Haavatavus
Tasu
Kaugkoodi käivitamine (RCE)
$1500 - $5000
Kohalike failide juurdepääs ja muu (LFR, RFI, XXE)
$500 - $3000
Injektsioonid
$500 - $3000
SSRF, välja arvatud pime SSRF
$300 - $1000
Pime SSRF
$100 - $500
Mälulekked / IDOR-id / Isikuandmete või tundliku kasutajateabe avalikustamine
$70 - $1150
Veebisaidiülene taotluse võltsimine (CSRF, Flashi crossdomain-päringud, CORS)
$35 — $300
Muud kinnitatud haavatavused
Sõltub kriitilisusest