SMS-ACTIVATE
Selain
Bug Bounty -ohjelmaan osallistumisen säännöt
Tervetuloa Bug Bounty -ohjelmaan! Osallistumisesi auttaa parantamaan tuotteidemme ja palveluidemme turvallisuutta. Tutustu seuraaviin sääntöihin varmistaaksesi tehokkaan ja eettisen yhteistyön.
Rekisteröityminen ja vahvistaminen
- Rekisteröityminen: osallistuaksesi ohjelmaan sinun on ensin rekisteröidyttävä verkkosivustolle sms-activate.ai Anna Telegram-tilisi rekisteröitymisen aikana helpon viestinnän varmistamiseksi;
- Vahvistaminen: Sinun on suoritettava vahvistusprosessi saadaksesi maksut. Yksityiskohtaiset ohjeet lähetetään sinulle Telegramin kautta, kun raporttisi on hyväksytty.
Raporttien toimittaminen
- Sääntöjen tutkiminen: Ennen raportin lähettämistä tutustu osallistumissääntöihin ja haavoittuvuustyyppeihin, jotka voidaan ottaa huomioon;
- Raportointilomake: käytä sivulla olevaa lomaketta sms-activate.ai/bugbountyForm raporttisi lähettämiseen. Raporttisi tulee sisältää selkeä kuvaus haavoittuvuudesta, toistamisohjeet, todisteet (kuvakaappaukset, videot) ja korjaussuositukset;
- Lisätiedostot: liitä tarvittaessa lisätiedostoja haavoittuvuuden vahvistamiseksi;
Raporttien tarkistusprosessi
Turvallisuusasiantuntijamme analysoivat raporttisi huolellisesti. Tämä prosessi voi kestää jopa kolme kuukautta. Tänä aikana raportille voidaan antaa jokin seuraavista tiloista: "odottaa", "lajiteltu", "moderaattorin hylkäämä", "lisätietoja vaaditaan" ja muita.
Haavoittuvuustyypit
LIITTEESSÄ
löydät luettelon haavoittuvuustyypeistä, jotka eivät oikeuta palkkioon. Liitteessä
määritellään haavoittuvuuden tärkeystason arviointikriteerit.
Vahvistaminen ja tietosuoja
Kaikkia vahvistustarkoituksiin antamiasi henkilötietoja käytetään vain tunnistamistarkoituksiin, eikä niitä luovuteta kolmansille osapuolille ilman suostumustasi. Teemme kaikkemme varmistaaksemme tietojesi yksityisyyden ja turvallisuuden.
Maksut
Onnistuneen vahvistuksen ja haavoittuvuuden vahvistamisen jälkeen sinulle tarjotaan palkkio. Palkkion määrä määritetään haavoittuvuuden tärkeystason ja toimitetun raportin laadun perusteella.
Eettiset normit
Odotamme osallistujien toimivan vastuullisesti ja eettisesti. Löydettyjen haavoittuvuuksien hyödyntäminen vahingon tuottamiseen, luvattoman pääsyn hankkimiseen tietoihin tai järjestelmiin tai tietojen levittämiseen haavoittuvuudesta ennen sen korjaamista ei ole sallittua.
Yhteenveto
Arvostamme panostasi tuotteidemme ja palveluidemme turvallisuuden parantamiseen. Osallistumisesi auttaa luomaan turvallisemman digitaalisen ympäristön meille kaikille.
Toivotamme sinulle onnea haavoittuvuuksien etsimiseen! Panoksesi on korvaamaton, joten olemme kiitollisia avustasi järjestelmämme turvaamisessa.
Liite A
Haavoittuvuustyypit, jotka eivät oikeuta palkkioon (matalan tason haavoittuvuudet, joilla ei ole kriittisiä seurauksia hyväksikäytettäessä, mukaan lukien):
- IDOR (tämän tyyppisiä haavoittuvuuksia koskevat raportit hyväksytään vain, jos kriittisyystaso on korkea; kriittisyystason määrittää asiantuntijamme haavoittuvuuden vahvistamisen yhteydessä);
- Kaikenlaiset XSS-haavoittuvuudet, paitsi Stored XSS (Stored XSS -haavoittuvuuksia koskevat raportit hyväksytään verkkoresurssin tärkeydestä riippuen);
- Clickjacking;
- Epävarma uudelleenohjaus-URI;
- Hakemistoluettelointi käytössä (salasanat, varmuuskopiot) ja Arkaluonteisten tietojen paljastuminen (riippuen paljastuneista tiedoista; tätä haavoittuvuutta koskevat raportit hyväksytään, jos kriittisiä tietoja löytyy);
- Käytössä oleva virheenkorjaustila, joka ei paljasta kriittisiä tietoja;
- CSRF-haavoittuvuudet, jotka löytyvät ei-kriittisestä toiminnosta;
- Hallintapaneelin paljastuminen (jos bugimetsästäjä löytää hallintapaneelin, mutta ei pysty ottamaan tiliä haltuunsa tai hankkimaan muita kriittisiä tietoja);
- Käyttäjien luettelointi ilman kriittisten tietojen paljastumista;
- Turvallisuusvirheasetukset, jos ei ole näyttöä siitä, että uhka on toteutunut;
- Palvelujen tarjoamisesta kieltäytyminen;
- Roskaposti；
- Sosiaalinen manipulointi, joka kohdistuu työntekijöihin, alihankkijoihin tai asiakkaisiin;
- Kaikki fyysiset yritykset päästä käsiksi omaisuuteen tai datakeskuksiin
- Järjestelmän omistaja;
- Automaattisilla työkaluilla ja skannauksilla luodut raportit;
- Virheet kolmannen osapuolen ohjelmistoissa;
- Turvallisuusotsakkeiden puuttuminen joka ei johda suoraan haavoittuvuuteen;
- SSL/TLS-luottamuksen loukkaus;
- Haavoittuvuudet, jotka vaikuttavat vain vanhentuneiden tai luvattomien selainten ja alustojen käyttäjiin;
- Salasana- ja tilin palautuskäytännöt, kuten nollauslinkin vanhenemispäivä tai salasanan vahvuus;
- Vanhentunut DNS-tietue, osoittaa järjestelmään, joka ei kuulu järjestelmän omistajalle.
Sisältö
Liite B
Haavoittuvuustyypit kriittisyystason mukaan:
Haavoittuvuus
Matala
Keskitaso
Korkea
Polun läpikäynti (Path Traversal)
10
40
70
Hakemistoluettelointi käytössä
10
40
Epävarma uudelleenohjaus-URI
5
10
Clickjacking
5
Brute Force -hyökkäys
5
SQL-injektio (tyhjä tietokanta, hyödyllinen tietokanta)
10
40
70
XML External Entity -injektio
50
70
Paikallinen tiedoston sisällyttäminen (LFI)
50
Etäkoodin suoritus (RCE)
10
50
100
Todennuksen ohitus
50
90
Tilin kaappaus
50
90
Epävarmat suorat objektiviitteet (IDOR)
10
Tallennettu XSS
20-30
Heijastettu XSS
10-20
Palvelinpuolen pyyntö (SSRF)
40-60
Cross-Site Request Forgery (CSRF)
10-20
Kilpatilanne (Race Condition)
10
90
Palvelinpuolen malli-injektio (SSTI)
20
80
Polun läpikäynti (Path Traversal)
Matala
10
Keskitaso
40
Korkea
70
Hakemistoluettelointi käytössä
Matala
10
Keskitaso
40
Korkea
Epävarma uudelleenohjaus-URI
Matala
5
Keskitaso
10
Korkea
Clickjacking
Matala
5
Keskitaso
Korkea
Brute Force -hyökkäys
Matala
5
Keskitaso
Korkea
SQL-injektio (tyhjä tietokanta, hyödyllinen tietokanta)
Matala
10
Keskitaso
40
Korkea
70
XML External Entity -injektio
Matala
Keskitaso
50
Korkea
70
Paikallinen tiedoston sisällyttäminen (LFI)
Matala
Keskitaso
50
Korkea
Etäkoodin suoritus (RCE)
Matala
10
Keskitaso
50
Korkea
100
Todennuksen ohitus
Matala
Keskitaso
50
Korkea
90
Tilin kaappaus
Matala
Keskitaso
50
Korkea
90
Epävarmat suorat objektiviitteet (IDOR)
Matala
10
Keskitaso
Korkea
Tallennettu XSS
Matala
20-30
Keskitaso
Korkea
Heijastettu XSS
Matala
10-20
Keskitaso
Korkea
Palvelinpuolen pyyntö (SSRF)
Matala
Keskitaso
40-60
Korkea
Cross-Site Request Forgery (CSRF)
Matala
10-20
Keskitaso
Korkea
Kilpatilanne (Race Condition)
Matala
10
Keskitaso
Korkea
90
Palvelinpuolen malli-injektio (SSTI)
Matala
20
Keskitaso
Korkea
80
Pisteet haavoittuvuuden kriittisyystason mukaan myönnetään seuraavasti:
- Matala tärkeysaste – 0–30 pistettä;
- Keskitason tärkeysaste – 31–60 pistettä;
- Korkea tärkeysaste – 61–100 pistettä.
- sms-activate.ai
- hstock.org
- ipkings.io
Palkkiot
Palkkion määrä riippuu haavoittuvuuden kriittisyydestä, hyväksikäytön helppoudesta ja vaikutuksesta käyttäjätietoihin. Kriittisyystason määrittää usein yhdessä kehittäjien kanssa, mikä voi viedä enemmän aikaa.
Haavoittuvuus
Palkkio
Etäkoodin suoritus (RCE)
$1500 - $5000
Paikallisten tiedostojen käyttö ja muut (LFR, RFI, XXE)
$500 - $3000
Injektiot
$500 - $3000
Cross-Site Scripting (XSS), lukuun ottamatta Self-XSS:iä
$100 - $500
SSRF, lukuun ottamatta sokeita tapauksia
$300 - $1000
Sokea SSRF
$100 - $500
Muistivuodot / IDOR-virheet / Suojattujen henkilötietojen tai arkaluonteisten käyttäjätietojen paljastuminen
$70 - $1150
Muut vahvistetut haavoittuvuudet
Riippuu kriittisyydestä
Kaikki SMS-Activessa olevat sovellukset, jotka käsittelevät käyttäjätietoja, ovat mukana. Sovelluksemme löytyvät palveluista Google Play
ja App Store
nimellä SMS-Activate
Sovellukset
Haavoittuvuus
Palkkio
Etäkoodin suoritus (RCE)
$1500 - $5000
Paikallisten tiedostojen käyttö ja muut (LFR, RFI, XXE)
$500 - $3000
Injektiot
$500 - $3000
SSRF, lukuun ottamatta sokeita tapauksia
$300 - $1000
Sokea SSRF
$100 - $500
Muistivuodot / IDOR-virheet / Suojattujen henkilötietojen tai arkaluonteisten käyttäjätietojen paljastuminen
$70 - $1150
Sivustopyyntöjen väärentäminen (CSRF, Flash crossdomain -pyynnöt, CORS)
$35 — $300
Muut vahvistetut haavoittuvuudet
Riippuu kriittisyydestä