SMS-ACTIVATE
Nettleser
Regler for deltakelse i Bug Bounty-programmet
Velkommen til Bug Bounty-programmet! Din deltakelse bidrar til å forbedre sikkerheten til våre produkter og tjenester. Vennligst sett deg inn i følgende regler for å sikre et effektivt og etisk samarbeid
Registrering og verifisering
- Registrering: for å delta i programmet må du først registrere deg på nettsiden sms-activate.ai Oppgi din Telegram-konto under registreringsprosessen for enkel kommunikasjon;
- Verifisering: Du må gjennomgå verifiseringsprosessen for å motta utbetalinger. Detaljerte instruksjoner vil bli sendt til deg via Telegram når rapporten din er godkjent.
Innsending av rapporter
- Gjennomgang av reglene: Før du sender inn rapporten din, vennligst sett deg inn i reglene for deltakelse og typene sårbarheter som kan vurderes;
- Rapporteringsskjema: bruk skjemaet på siden sms-activate.ai/bugbountyForm for å sende inn rapporten din. Rapporten din bør inneholde en tydelig beskrivelse av sårbarheten, trinn for å reprodusere den, bevis (skjermbilder, videoer) og anbefalinger for hvordan den kan fikses;
- Tilleggsfiler: legg ved tilleggsfiler for å bekrefte sårbarheten om nødvendig;
Prosess for gjennomgang av rapporter
Rapporten din vil bli nøye analysert av våre sikkerhetsspesialister. Denne prosessen kan ta opptil tre måneder. I løpet av denne tiden kan rapporten få én av følgende statuser: "under behandling", "sortert", "avvist av moderator", "mer informasjon kreves" og andre.
Typer sårbarheter
I
vil du finne listen over typer sårbarheter som ikke kvalifiserer til belønning. I
er kriteriene for vurdering av viktighetsnivået til en sårbarhet spesifisert.
Verifisering og personvern
Alle personopplysninger du oppgir for verifiseringsformål vil kun brukes til identifikasjonsformål, og vil ikke bli utlevert til tredjeparter uten ditt samtykke. Vi gjør vårt beste for å sikre personvern og sikkerhet for dataene dine.
Utbetalinger
Etter vellykket verifisering og bekreftelse av sårbarheten, vil du bli tilbudt en belønning. Beløpets størrelse fastsettes basert på sårbarhetens viktighetsnivå og kvaliteten på den innsendte rapporten.
Etiske retningslinjer
Vi forventer at deltakerne handler ansvarlig og etisk. Det er ikke tillatt å utnytte funne sårbarheter til å forårsake skade, få uautorisert tilgang til data eller systemer, eller spre informasjon om sårbarheten før den er fikset.
Konklusjon
Vi setter pris på ditt bidrag til å forbedre sikkerheten til våre produkter og tjenester. Din deltakelse hjelper til med å skape et tryggere digitalt rom for oss alle.
Vi ønsker deg lykke til i søket etter sårbarheter! Ditt bidrag er uvurderlig, så vi er takknemlige for hjelpen din med å sikre systemene våre.
Vedlegg A
Typer sårbarheter som ikke kvalifiserer til belønning (lavnivå-sårbarheter som ikke har kritiske konsekvenser hvis de utnyttes, inkludert):
- IDOR (rapporter om denne typen sårbarhet aksepteres kun ved høyt kritisitetsnivå; kritisitetsnivået fastsettes av vår spesialist når sårbarheten er bekreftet);
- Alle typer XSS-sårbarheter, unntatt lagret XSS (rapporter om lagret XSS-sårbarhet aksepteres avhengig av viktigheten til nettressursen);
- Clickjacking;
- Usikker omdirigerings-URI;
- Aktivert katalogoppføring (passord, sikkerhetskopier) og Eksponering av sensitive data (avhengig av de avslørte dataene; rapporter om denne sårbarheten aksepteres hvis det finnes kritiske data);
- Aktivert feilsøkingsmodus, som ikke avslører kritiske data;
- CSRF-sårbarheter, funnet innenfor en funksjon som ikke er kritisk;
- Avsløring av adminpanelet (hvis bug-jegeren finner admin-dashboardet, men ikke kan utføre kontoovertagelse eller hente annen kritisk informasjon);
- Brukeropptelling uten avsløring av kritiske data;
- Feil sikkerhetskonfigurasjon, dersom det ikke foreligger bevis for at trusselen har blitt realisert;
- Nekte å levere tjenester;
- Spam；
- Sosial manipulering, rettet mot ansatte, underleverandører eller kunder;
- Eventuelle fysiske forsøk på å få tilgang til eiendom eller datasentre
- Systemeier;
- Rapport opprettet ved bruk av automatiserte verktøy og skanninger;
- Feil i tredjepartsprogramvare;
- Manglende sikkerhetsheadere som ikke direkte fører til en sårbarhet;
- Brudd på SSL/TLS-tillit;
- Sårbarheter som kun påvirker brukere av utdaterte eller ulisensierte nettlesere og plattformer;
- Retningslinjer for passord- og kontogjenoppretting, slik som utløpsdato for tilbakestillingslenken eller passordstyrke;
- Utdatert DNS-post, peker til et system som ikke tilhører systemeieren.
Innhold
Vedlegg B
Typer sårbarheter etter kritisitetsnivå:
Sårbarhet
Lav
Medium
Høy
Baneoverskridelse (Path Traversal)
10
40
70
Aktivert katalogoppføring
10
40
Usikker omdirigerings-URI
5
10
Klikk-kapring (Clickjacking)
5
Brute Force-angrep
5
SQL-injeksjon (tom database, nyttig database)
10
40
70
XML External Entity-injeksjon
50
70
Lokal filinkludering (LFI)
50
Ekstern kodekjøring (RCE)
10
50
100
Omgåelse av autentisering
50
90
Kontooverdragelse
50
90
Usikre direkte objektreferanser (IDOR)
10
Lagret XSS
20-30
Reflektert XSS
10-20
Serverside-forespørsel (SSRF)
40-60
Cross-Site Request Forgery (CSRF)
10-20
Race Condition
10
90
Serverside malinjeksjon (SSTI)
20
80
Baneoverskridelse (Path Traversal)
Lav
10
Medium
40
Høy
70
Aktivert katalogoppføring
Lav
10
Medium
40
Høy
Usikker omdirigerings-URI
Lav
5
Medium
10
Høy
Klikk-kapring (Clickjacking)
Lav
5
Medium
Høy
Brute Force-angrep
Lav
5
Medium
Høy
SQL-injeksjon (tom database, nyttig database)
Lav
10
Medium
40
Høy
70
XML External Entity-injeksjon
Lav
Medium
50
Høy
70
Lokal filinkludering (LFI)
Lav
Medium
50
Høy
Ekstern kodekjøring (RCE)
Lav
10
Medium
50
Høy
100
Omgåelse av autentisering
Lav
Medium
50
Høy
90
Kontooverdragelse
Lav
Medium
50
Høy
90
Usikre direkte objektreferanser (IDOR)
Lav
10
Medium
Høy
Lagret XSS
Lav
20-30
Medium
Høy
Reflektert XSS
Lav
10-20
Medium
Høy
Serverside-forespørsel (SSRF)
Lav
Medium
40-60
Høy
Cross-Site Request Forgery (CSRF)
Lav
10-20
Medium
Høy
Race Condition
Lav
10
Medium
Høy
90
Serverside malinjeksjon (SSTI)
Lav
20
Medium
Høy
80
Poeng tildeles i henhold til sårbarhetens kritisitetsnivå som følger:
- Lavt viktighetsnivå – fra 0 til 30 poeng;
- Middels viktighetsnivå – fra 31 til 60 poeng;
- Høyt viktighetsnivå – fra 61 til 100 poeng.
- sms-activate.ai
- hstock.org
- ipkings.io
Belønninger
Størrelsen på belønningen avhenger av sårbarhetens kritisitetsnivå, hvor lett den er å utnytte, og dens innvirkning på brukerdata. Kritisitetsnivået avgjøres ofte i samarbeid med utviklerne og kan ta lengre tid.
Sårbarhet
Belønning
Ekstern kodekjøring (RCE)
$1500 - $5000
Tilgang til lokale filer og annet (LFR, RFI, XXE)
$500 - $3000
Injeksjoner
$500 - $3000
Cross-Site Scripting (XSS), ekskludert Self-XSS
$100 - $500
SSRF, bortsett fra blind SSRF
$300 - $1000
Blind SSRF
$100 - $500
Minnelekkasjer / IDOR-sårbarheter / Avsløring av informasjon med beskyttede personopplysninger eller sensitive brukerdata
$70 - $1150
Andre bekreftede sårbarheter
Avhenger av alvorlighetsgraden
Alle SMS-Activate-applikasjoner som håndterer brukerdata er involvert. Våre applikasjoner finnes på Google Play
og App Store
under navnet SMS-Activate
Apper
Sårbarhet
Belønning
Ekstern kodekjøring (RCE)
$1500 - $5000
Tilgang til lokale filer og annet (LFR, RFI, XXE)
$500 - $3000
Injeksjoner
$500 - $3000
SSRF, bortsett fra blind SSRF
$300 - $1000
Blind SSRF
$100 - $500
Minnelekkasjer / IDOR-sårbarheter / Avsløring av informasjon med beskyttede personopplysninger eller sensitive brukerdata
$70 - $1150
Cross-Site Request Forgery (CSRF, Flash crossdomain-forespørsler, CORS)
$35 — $300
Andre bekreftede sårbarheter
Avhenger av alvorlighetsgraden