Infrastruktura, spletne storitve, aplikacije SMS-Activate

Pravila sodelovanja v programu Bug Bounty

Registracija in preverjanje

• Registracija: za sodelovanje v programu se morate najprej registrirati na spletni strani sms-activate.ai Med postopkom registracije navedite svoj račun Telegram za lažjo komunikacijo;
• Preverjanje: Za prejemanje plačil morate opraviti postopek preverjanja. Podrobna navodila boste prejeli prek Telegrama, ko bo vaše poročilo odobreno.

Predložitev poročil

• Preučevanje pravil: Pred oddajo poročila se prosimo seznanite s pravili sodelovanja in vrstami ranljivosti, ki jih je mogoče upoštevati;
• Obrazec za poročanje: uporabite obrazec na strani sms-activate.ai/bugbountyForm za oddajo vašega poročila. Vaše poročilo mora vsebovati jasen opis ranljivosti, korake za njeno ponovitev, dokaze (posnetke zaslona, videoposnetke) in priporočila za odpravo;
• Dodatne datoteke: po potrebi priložite dodatne datoteke za potrditev ranljivosti;

Postopek pregleda poročil

Vrste ranljivosti

Preverjanje in zasebnost

Plačila

Etčne norme

Dodatku A

• IDOR (poročila o tej vrsti ranljivosti so sprejeta le v primeru visoke stopnje kritičnosti; stopnjo kritičnosti določi naš strokovnjak ob potrditvi ranljivosti);
• Vse vrste XSS ranljivosti, razen shranjenih XSS (poročila o ranljivostih shranjenega XSS so sprejeta glede na pomembnost spletnega vira);
• Clickjacking;
• Nevarna preusmeritvena URI;
• Omogočen seznam imenikov (gesla, varnostne kopije) in Izpostavljenost občutljivih podatkov (odvisno od razkritih podatkov; poročila o tej ranljivosti so sprejeta, če so najdeni kritični podatki);
• Omogočen način za razhroščevanje, ki ne razkriva kritičnih podatkov;
• CSRF ranljivosti, najdene v funkciji, ki ni kritična;
• Razkritje administratorske plošče (če lovec na napake najde administratorsko nadzorno ploščo, vendar ne more prevzeti računa ali pridobiti drugih kritičnih informacij);
• Naštevanje uporabnikov brez razkritja kritičnih podatkov;
• Napačna varnostna konfiguracija, v primeru, da ni dokazov o realizaciji grožnje;
• Zavrnitev zagotavljanja storitev;
• Spam；
• Socialno inženirstvo, usmerjeno proti zaposlenim, pogodbenim izvajalcem ali strankam;
• Vsi fizični poskusi dostopa do lastnine ali podatkovnih centrov
• Lastnik sistema;
• Poročilo, ustvarjeno z uporabo avtomatiziranih orodij in skeniranj;
• Napake v programski opremi tretjih oseb;
• Odsotnost varnostnih glav ki ne vodijo neposredno do ranljivosti;
• Kršitev zaupanja SSL / TLS;
• Ranljivosti, ki vplivajo le na uporabnike zastarelih ali nelicenčnih brskalnikov in platform;
• Pravilniki o geslih in obnovi računov, kot je datum poteka povezave za ponastavitev ali moč gesla;
• Zastarel DNS zapis, ki kaže na sistem, ki ni v lasti lastnika sistema.