SMS-ACTIVATE
Naršyklė
Dalyvavimo „Bug Bounty“ programoje taisyklės
Sveiki atvykę į „Bug Bounty“ programą! Jūsų dalyvavimas padeda pagerinti mūsų produktų ir paslaugų saugumą. Prašome susipažinti su toliau pateiktomis taisyklėmis, kad užtikrintume veiksmingą ir etišką bendradarbiavimą.
Registracija ir tapatybės patvirtinimas
- Registracija: norint dalyvauti programoje, pirmiausia reikia užsiregistruoti svetainėje sms-activate.ai Registracijos metu nurodykite savo Telegram paskyrą, kad būtų lengviau bendrauti;
- Tapatybės patvirtinimas: Norint gauti išmokas, būtina atlikti tapatybės patvirtinimo procesą. Išsamias instrukcijas jums atsiųsime per Telegram, kai jūsų pranešimas bus patvirtintas.
Pranešimų teikimas
- Susipažinimas su taisyklėmis: Prieš pateikdami pranešimą, prašome susipažinti su dalyvavimo taisyklėmis ir pažeidžiamumų tipais, kurie gali būti svarstomi;
- Pranešimo forma: naudokite puslapyje esančią formą sms-activate.ai/bugbountyForm kad pateiktumėte savo pranešimą. Jame turi būti aiškus pažeidžiamumo aprašymas, jo atkūrimo veiksmai, įrodymai (ekrano kopijos, vaizdo įrašai) ir rekomendacijos, kaip jį pašalinti;
- Papildomi failai: prireikus pridėkite papildomų failų, patvirtinančių pažeidžiamumą;
Pranešimų peržiūros procesas
Jūsų pranešimą atidžiai išanalizuos mūsų saugumo specialistai. Šis procesas gali trukti iki trijų mėnesių. Per šį laiką pranešimui gali būti priskirtas vienas iš šių statusų: „laukiama“, „išrūšiuota“, „moderatoriaus atmesta“, „reikia daugiau informacijos“ ir kiti.
Pažeidžiamumų tipai
IN
rasite sąrašą pažeidžiamumų tipų, už kuriuos negalima gauti atlygio. B
nurodyti pažeidžiamumo svarbos lygio vertinimo kriterijai.
Tapatybės patvirtinimas ir privatumas
Visi asmens duomenys, kuriuos pateikiate tapatybės patvirtinimo tikslais, bus naudojami tik identifikavimo tikslais ir nebus atskleisti trečiosioms šalims be jūsų sutikimo. Dedame visas pastangas, kad užtikrintume jūsų duomenų privatumą ir saugumą.
Išmokos
Sėkmingai patvirtinus tapatybę ir patvirtinus pažeidžiamumą, jums bus pasiūlytas atlygis. Atlygio dydis nustatomas atsižvelgiant į pažeidžiamumo svarbos lygį ir pateikto pranešimo kokybę.
Etikos normos
Tikimės, kad dalyviai elgsis atsakingai ir etiškai. Draudžiama išnaudoti rastas pažeidžiamumas darant žalą, neteisėtai gaunant prieigą prie duomenų ar sistemų arba skleidžiant informaciją apie pažeidžiamumą, kol jis nėra pašalintas.
Išvada
Vertiname jūsų indėlį gerinant mūsų produktų ir paslaugų saugumą. Jūsų dalyvavimas padeda kurti saugesnę skaitmeninę erdvę mums visiems.
Linkime sėkmės ieškant pažeidžiamumų! Jūsų indėlis yra neįkainojamas, todėl dėkojame už pagalbą užtikrinant mūsų sistemų saugumą.
A priede
Pažeidžiamumų tipai, kurie nėra atlyginimo objektas (žemo lygio pažeidžiamumai, kurie, jei būtų išnaudoti, neturėtų kritinių pasekmių, įskaitant):
- IDOR (ataskaitos apie šio tipo pažeidžiamumus priimamos tik esant dideliam kritiškumo lygiui; kritiškumo lygį nustato mūsų specialistas patvirtinus pažeidžiamumą);
- Bet kokio tipo XSS pažeidžiamumai, išskyrus Stored XSS (Stored XSS pažeidžiamumo ataskaitos priimamos priklausomai nuo žiniatinklio išteklio svarbos);
- Clickjacking;
- Nesaugus nukreipimo URI;
- Įgalintas katalogų sąrašas (slaptažodžiai, atsarginės kopijos) ir Jautrių duomenų atskleidimas (priklausomai nuo atskleistų duomenų; ataskaitos apie šį pažeidžiamumą priimamos, jei randami kritiniai duomenys);
- Įgalintas derinimo režimas, neatskleidžiantis kritinių duomenų;
- CSRF pažeidžiamumai, rasti funkcijoje, kuri nėra kritinė;
- Administratoriaus skydelio atskleidimas (jei klaidų ieškotojas randa administratoriaus skydelį, bet negali perimti paskyros valdymo arba gauti kitos kritinės informacijos);
- Vartotojų enumeracija neatskleidžiant kritinių duomenų;
- Saugumo konfigūracijos klaidos, jei nėra įrodymų, kad grėsmė buvo realizuota;
- Atsisakymas teikti paslaugas;
- Šlamštas;
- Socialinė inžinerija, nukreipta prieš darbuotojus, rangovus ar klientus;
- Bet kokie fiziniai bandymai gauti prieigą prie turto ar duomenų centrų
- Sistemos savininkas;
- Ataskaitos, sukurtos naudojant automatizuotus įrankius ir skenavimus;
- Klaidos trečiosios šalies programinėje įrangoje;
- Saugumo antraščių nebuvimas kuris tiesiogiai nesukelia pažeidžiamumo;
- SSL / TLS pasitikėjimo pažeidimas;
- Pažeidžiamumai, darantys įtaką tik pasenusių arba nelicencijuotų naršyklių ir platformų vartotojams;
- Slaptažodžių ir paskyrų atkūrimo politikos, pvz., slaptažodžio atstatymo nuorodos galiojimo laikas arba slaptažodžio sudėtingumas;
- Pasenęs DNS įrašas, nurodantis sistemą, kuri nepriklauso sistemos savininkui.
Turinys
B priede
Pažeidžiamumų tipai pagal kritiškumo lygį:
Pažeidžiamumas
Žemas
Vidutinis
Aukštas
Kelio traversavimas
10
40
70
Įgalintas katalogų sąrašas
10
40
Nesaugus nukreipimo URI
5
10
Spustelėjimo grobimas (Clickjacking)
5
Grubios jėgos ataka
5
SQL injekcija (tuščia duomenų bazė, naudinga duomenų bazė)
10
40
70
XML išorinio subjekto injekcija
50
70
Vietinio failo įtraukimas
50
Nuotolinis kodo vykdymas
10
50
100
Autentifikavimo apeiga
50
90
Paskyros perėmimas
50
90
Nesaugios tiesioginės objekto nuorodos
10
Saugoma XSS
20-30
Atspindėta XSS
10-20
Serverio pusės užklausa
40-60
Tarp svetainių užklausų klastotė (CSRF)
10-20
Varžybų būklė
10
90
Serverio pusės šablono injekcija
20
80
Kelio traversavimas
Žemas
10
Vidutinis
40
Aukštas
70
Įgalintas katalogų sąrašas
Žemas
10
Vidutinis
40
Aukštas
Nesaugus nukreipimo URI
Žemas
5
Vidutinis
10
Aukštas
Spustelėjimo grobimas (Clickjacking)
Žemas
5
Vidutinis
Aukštas
Grubios jėgos ataka
Žemas
5
Vidutinis
Aukštas
SQL injekcija (tuščia duomenų bazė, naudinga duomenų bazė)
Žemas
10
Vidutinis
40
Aukštas
70
XML išorinio subjekto injekcija
Žemas
Vidutinis
50
Aukštas
70
Vietinio failo įtraukimas
Žemas
Vidutinis
50
Aukštas
Nuotolinis kodo vykdymas
Žemas
10
Vidutinis
50
Aukštas
100
Autentifikavimo apeiga
Žemas
Vidutinis
50
Aukštas
90
Paskyros perėmimas
Žemas
Vidutinis
50
Aukštas
90
Nesaugios tiesioginės objekto nuorodos
Žemas
10
Vidutinis
Aukštas
Saugoma XSS
Žemas
20-30
Vidutinis
Aukštas
Atspindėta XSS
Žemas
10-20
Vidutinis
Aukštas
Serverio pusės užklausa
Žemas
Vidutinis
40-60
Aukštas
Tarp svetainių užklausų klastotė (CSRF)
Žemas
10-20
Vidutinis
Aukštas
Varžybų būklė
Žemas
10
Vidutinis
Aukštas
90
Serverio pusės šablono injekcija
Žemas
20
Vidutinis
Aukštas
80
Taškai skiriami pagal pažeidžiamumo kritiškumo lygį taip:
- Žemas svarbumo lygis – nuo 0 iki 30 taškų;
- Vidutinis svarbumo lygis – nuo 31 iki 60 taškų;
- Aukštas svarbumo lygis – nuo 61 iki 100 taškų.
- sms-activate.ai
- hstock.org
- ipkings.io
Atlygiai
Atlygio dydis priklauso nuo pažeidžiamumo kritiškumo, išnaudojimo paprastumo ir poveikio vartotojų duomenims. Kritiškumo lygį dažnai nustato kartu su kūrėjais, todėl tai gali užtrukti ilgiau.
Pažeidžiamumas
Atlygis
Nuotolinis kodų vykdymas (RCE)
$1500 - $5000
Vietinių failų prieiga ir kita (LFR, RFI, XXE)
$500 - $3000
Injekcijos
$500 - $3000
Tarp svetainių scenarijų kūrimas (XSS), išskyrus savarankišką XSS
$100 - $500
SSRF, išskyrus akląją versiją
$300 - $1000
Aklas SSRF
$100 - $500
Atminties nutekėjimai / IDOR pažeidžiamumai / Informacijos atskleidimas, apimantis saugomus asmens duomenis arba konfidencialią vartotojo informaciją
$70 - $1150
Kitos patvirtintos pažeidžiamumo spragos
Priklauso nuo kritiškumo lygio
Visos SMS-Activate programos, kurios tvarko vartotojų duomenis, yra įtrauktos. Mūsų programas galima rasti Google Play
ir App Store
pagal pavadinimą SMS-Activate
Programėlės
Pažeidžiamumas
Atlygis
Nuotolinis kodų vykdymas (RCE)
$1500 - $5000
Vietinių failų prieiga ir kita (LFR, RFI, XXE)
$500 - $3000
Injekcijos
$500 - $3000
SSRF, išskyrus akląją versiją
$300 - $1000
Aklas SSRF
$100 - $500
Atminties nutekėjimai / IDOR pažeidžiamumai / Informacijos atskleidimas, apimantis saugomus asmens duomenis arba konfidencialią vartotojo informaciją
$70 - $1150
Tarpdomeninių užklausų klastojimas (CSRF, Flash crossdomain užklausos, CORS)
$35 — $300
Kitos patvirtintos pažeidžiamumo spragos
Priklauso nuo kritiškumo lygio