Інфраструктура, вебсервіси, додатки SMS-Activate

Правила участі в програмі Bug Bounty

Реєстрація та верифікація

• Реєстрація: щоб взяти участь у програмі, спочатку потрібно зареєструватися на сайті sms-activate.ai Надайте свій обліковий запис Telegram під час реєстрації для зручного спілкування;
• Верифікація: Ви маєте пройти процес верифікації, щоб отримувати виплати. Детальні інструкції будуть надіслані вам через Telegram після схвалення вашого звіту.

Надання звітів

• Вивчення правил: Перед надсиланням звіту ознайомтеся з правилами участі та типами вразливостей, які можуть бути розглянуті;
• Форма звіту: використовуйте форму на сторінці sms-activate.ai/bugbountyForm для надсилання вашого звіту. Ваш звіт має містити чіткий опис вразливості, кроки для її відтворення, докази (скріншоти, відео) та рекомендації щодо її усунення;
• Додаткові файли: за необхідності прикріпіть додаткові файли для підтвердження вразливості;

Процес перегляду звітів

Типи вразливостей

Верифікація та конфіденційність

Виплати

Етичні норми

Додатку А

• IDOR (звіти про цей тип вразливості приймаються лише у випадку високого рівня критичності; рівень критичності визначається нашим фахівцем після підтвердження вразливості);
• Будь-які види XSS-вразливостей, крім Stored XSS (звіти про вразливість Stored XSS приймаються залежно від важливості веб-ресурсу);
• Клікджекінг;
• Небезпечний URI перенаправлення;
• Увімкнений перегляд каталогів (паролі, резервні копії) та Розголошення конфіденційних даних (залежно від розкритих даних; звіти про цю вразливість приймаються, якщо виявлено критичні дані);
• Увімкнений режим налагодження, який не розкриває критичні дані;
• CSRF-вразливості, знайдені в функції, яка не є критичною;
• Розкриття панелі адміністратора (якщо мисливець за багами знаходить панель адміністратора, але не може захопити обліковий запис або отримати іншу критичну інформацію);
• Перелік користувачів без розголошення критичних даних;
• Неправильна конфігурація безпеки, за відсутності доказів реалізації загрози;
• Відмова в наданні послуг;
• Спам；
• Соціальна інженерія, спрямована на співробітників, підрядників або клієнтів;
• Будь-які фізичні спроби отримати доступ до майна або центрів обробки даних
• Власник системи;
• Звіт, створений за допомогою автоматизованих інструментів і сканування;
• Помилки в програмному забезпеченні третіх сторін;
• Відсутність заголовків безпеки яка безпосередньо не призводить до вразливості;
• Порушення довіри SSL / TLS;
• Вразливості, що впливають лише на користувачів застарілих або неліцензованих браузерів і платформ;
• Політики відновлення паролів і облікових записів, такі як термін дії посилання для скидання або складність пароля;
• Застарілий DNS-запис, що вказує на систему, яка не належить власнику системи.