Infrastruktura, usługi webowe, aplikacje SMS-Activate

Zasady uczestnictwa w programie Bug Bounty

Rejestracja i weryfikacja

• Rejestracja: aby wziąć udział w programie, musisz najpierw zarejestrować się na stronie internetowej sms-activate.ai Podaj swoje konto Telegram podczas rejestracji, aby ułatwić komunikację;
• Weryfikacja: Aby otrzymywać płatności, musisz przejść proces weryfikacji. Szczegółowe instrukcje zostaną wysłane do Ciebie przez Telegram po zatwierdzeniu zgłoszenia.

Przekazywanie raportów

• Zapoznanie się z zasadami: Przed przesłaniem raportu prosimy o zapoznanie się z zasadami uczestnictwa oraz rodzajami luk, które mogą być brane pod uwagę;
• Formularz zgłoszeniowy: użyj formularza na stronie sms-activate.ai/bugbountyForm aby przesłać swój raport. Raport powinien zawierać jasny opis luki, kroki prowadzące do jej odtworzenia, dowody (zrzuty ekranu, filmy) oraz rekomendacje dotyczące jej naprawy;
• Dodatkowe pliki: w razie potrzeby dołącz dodatkowe pliki potwierdzające wystąpienie luki;

Proces przeglądu raportów

Rodzaje luk

Weryfikacja i prywatność

Płatności

Zasady etyczne

Załączniku A

• IDOR (zgłoszenia tego typu luk są przyjmowane tylko w przypadku wysokiego poziomu krytyczności; poziom ten określa nasz specjalista po potwierdzeniu luki);
• Wszelkiego rodzaju luki XSS, z wyjątkiem Stored XSS (zgłoszenia luki Stored XSS są przyjmowane w zależności od wagi zasobu webowego);
• Clickjacking;
• Niebezpieczny przekierowujący URI;
• Włączona lista katalogów (hasła, kopie zapasowe) oraz Ujawnienie poufnych danych (w zależności od ujawnionych danych; zgłoszenia tej luki są przyjmowane, jeśli zostaną znalezione dane krytyczne);
• Włączony tryb debugowania, który nie ujawnia danych krytycznych;
• Luki CSRF, wykryte w funkcji o niskim znaczeniu krytycznym;
• Ujawnienie panelu administratora (jeśli badacz znajdzie panel administracyjny, ale nie będzie w stanie przejąć konta ani uzyskać innych krytycznych informacji);
• Enumeracja użytkowników bez ujawniania danych krytycznych;
• Błędna konfiguracja bezpieczeństwa, w przypadku braku dowodów na rzeczywiste wykorzystanie zagrożenia;
• Odmowa świadczenia usług;
• Spam；
• Inżynieria społeczna, skierowana przeciwko pracownikom, kontrahentom lub klientom;
• Jakiekolwiek fizyczne próby uzyskania dostępu do mienia lub centrów danych
• Właściciel systemu;
• Raporty utworzone przy użyciu zautomatyzowanych narzędzi i skanerów;
• Błędy w oprogramowaniu stron trzecich;
• Brak nagłówków bezpieczeństwa które nie prowadzą bezpośrednio do powstania luki;
• Naruszenie zaufania SSL / TLS;
• Luki wpływające wyłącznie na użytkowników przestarzałych lub nielicencjonowanych przeglądarek i platform;
• Polityki dotyczące haseł i odzyskiwania kont, takie jak termin ważności linku resetującego czy siła hasła;
• Przestarzały rekord DNS, wskazujący na system, który nie należy do właściciela systemu.