SMS-ACTIVATE
Πρόγραμμα περιήγησης
Κανόνες συμμετοχής στο πρόγραμμα Bug Bounty
Καλώς ήρθατε στο πρόγραμμα Bug Bounty! Η συμμετοχή σας συμβάλλει στη βελτίωση της ασφάλειας των προϊόντων και των υπηρεσιών μας. Παρακαλούμε, εξοικειωθείτε με τους ακόλουθους κανόνες για να διασφαλιστεί μια αποτελεσματική και ηθική συνεργασία.
Εγγραφή και Επαλήθευση
- Εγγραφή: για να συμμετάσχετε στο πρόγραμμα, πρέπει πρώτα να εγγραφείτε στον ιστότοπο sms-activate.ai Κατά τη διαδικασία εγγραφής, δηλώστε τον λογαριασμό σας στο Telegram για εύκολη επικοινωνία·
- Επαλήθευση: Πρέπει να ολοκληρώσετε τη διαδικασία επαλήθευσης για να λάβετε πληρωμές. Αναλυτικές οδηγίες θα σας αποσταλούν μέσω Telegram μόλις εγκριθεί η αναφορά σας.
Υποβολή αναφορών
- Μελέτη των Κανόνων: Πριν υποβάλετε την αναφορά σας, παρακαλούμε εξοικειωθείτε με τους κανόνες συμμετοχής και τους τύπους ευπαθειών που μπορούν να ληφθούν υπόψη·
- Φόρμα Αναφοράς: χρησιμοποιήστε τη φόρμα στη σελίδα sms-activate.ai/bugbountyForm για να υποβάλετε την αναφορά σας. Η αναφορά σας πρέπει να περιλαμβάνει σαφή περιγραφή της ευπάθειας, βήματα αναπαραγωγής, αποδεικτικά στοιχεία (στιγμιότυπα οθόνης, βίντεο) και προτάσεις για την επίλυσή της·
- Πρόσθετα αρχεία: επισυνάψτε πρόσθετα αρχεία για την επιβεβαίωση της ευπάθειας, εάν είναι απαραίτητο·
Διαδικασία αξιολόγησης αναφορών
Η αναφορά σας θα αναλυθεί προσεκτικά από τους ειδικούς ασφαλείας μας. Αυτή η διαδικασία μπορεί να διαρκέσει έως και τρεις μήνες. Κατά τη διάρκεια αυτού του χρονικού διαστήματος, η αναφορά μπορεί να λάβει μία από τις ακόλουθες καταστάσεις: "σε αναμονή", "διαχωρισμένη", "απορρίφθηκε από τον συντονιστή", "απαιτούνται περισσότερες πληροφορίες" και άλλες.
Τύποι ευπαθειών
Στο
θα βρείτε τη λίστα των τύπων ευπαθειών που δεν qualify για αμοιβή. Στο
καθορίζονται τα κριτήρια αξιολόγησης του επιπέδου σοβαρότητας μιας ευπάθειας.
Επαλήθευση και ιδιωτικότητα
Όλα τα προσωπικά δεδομένα που παρέχετε για σκοπούς επαλήθευσης θα χρησιμοποιούνται αποκλειστικά για λόγους ταυτοποίησης και δεν θα γνωστοποιούνται σε τρίτους χωρίς τη συγκατάθεσή σας. Καταβάλλουμε κάθε δυνατή προσπάθεια για να διασφαλίσουμε το απόρρητο και την ασφάλεια των δεδομένων σας.
Πληρωμές
Μετά την επιτυχή επαλήθευση και επιβεβαίωση της ευπάθειας, θα σας προσφερθεί αμοιβή. Το ύψος της αμοιβής καθορίζεται βάσει του επιπέδου σοβαρότητας της ευπάθειας και της ποιότητας της παρεχόμενης αναφοράς.
Ηθικοί κανόνες
Αναμένουμε από τους συμμετέχοντες να ενεργούν με υπευθυνότητα και ηθική. Δεν επιτρέπεται η εκμετάλλευση εντοπισμένων ευπαθειών για πρόκληση ζημιάς, μη εξουσιοδοτημένη πρόσβαση σε δεδομένα ή συστήματα, ή διάδοση πληροφοριών σχετικά με την ευπάθεια έως ότου αυτή διορθωθεί.
Συμπέρασμα
Εκτιμούμε τη συμβολή σας στη βελτίωση της ασφάλειας των προϊόντων και των υπηρεσιών μας. Η συμμετοχή σας βοηθά στη δημιουργία ενός ασφαλέστερου ψηφιακού χώρου για όλους μας.
Σας ευχόμαστε καλή τύχη στην αναζήτηση ευπαθειών! Η συμβολή σας είναι ανεκτίμητη, γι’ αυτό είμαστε ευγνώμονες για τη βοήθειά σας στην ασφάλιση των συστημάτων μας.
Παράρτημα Α
Τύποι ευπαθειών που δεν αποτελούν αντικείμενο επιβράβευσης (ευπάθειες χαμηλού επιπέδου που δεν έχουν κρίσιμες συνέπειες εάν εκμεταλλευτούν, συμπεριλαμβανομένων):
- IDOR (αναφορές για αυτόν τον τύπο ευπάθειας γίνονται δεκτές μόνο σε περίπτωση υψηλού επιπέδου κρισιμότητας· το επίπεδο κρισιμότητας καθορίζεται από τον ειδικό μας όταν επιβεβαιωθεί η ευπάθεια)·
- Οποιοδήποτε είδος ευπαθειών XSS, εκτός από τις Stored XSS (οι αναφορές για ευπάθεια Stored XSS γίνονται δεκτές ανάλογα με τη σημασία του διαδικτυακού πόρου)·
- Clickjacking·
- Μη ασφαλές URI ανακατεύθυνσης·
- Ενεργοποιημένη λίστα καταλόγου (κωδικοί πρόσβασης, αντίγραφα ασφαλείας) και Αποκάλυψη ευαίσθητων δεδομένων (ανάλογα με τα αποκαλυφθέντα δεδομένα· οι αναφορές για αυτή την ευπάθεια γίνονται δεκτές εάν εντοπιστούν κρίσιμα δεδομένα)·
- Ενεργοποιημένη λειτουργία εντοπισμού σφαλμάτων, που δεν αποκαλύπτει κρίσιμα δεδομένα·
- Ευπάθειες CSRF, που εντοπίζονται σε μια λειτουργία μη κρίσιμης σημασίας·
- Αποκάλυψη του πίνακα διαχείρισης (εάν ο ερευνητής εντοπίσει τον πίνακα διαχείρισης, αλλά δεν μπορεί να πραγματοποιήσει κατάληψη λογαριασμού ή να αποκτήσει άλλες κρίσιμες πληροφορίες)·
- Αναγνώριση χρηστών χωρίς αποκάλυψη κρίσιμων δεδομένων·
- Λανθασμένη διαμόρφωση ασφαλείας, σε περίπτωση που δεν υπάρχουν αποδείξεις ότι η απειλή έχει υλοποιηθεί·
- Άρνηση παροχής υπηρεσιών·
- Spam·
- Κοινωνική μηχανική, στρεφόμενη κατά υπαλλήλων, συνεργατών ή πελατών·
- Οποιαδήποτε φυσική προσπάθεια πρόσβασης σε περιουσιακά στοιχεία ή κέντρα δεδομένων
- Ιδιοκτήτης του συστήματος·
- Αναφορά που δημιουργήθηκε με χρήση αυτοματοποιημένων εργαλείων και σκαναρίσματος·
- Σφάλματα σε λογισμικό τρίτων·
- Έλλειψη κεφαλίδων ασφαλείας που δεν οδηγούν άμεσα σε ευπάθεια·
- Παραβίαση εμπιστοσύνης SSL / TLS·
- Ευπάθειες που επηρεάζουν μόνο χρήστες ξεπερασμένων ή μη αδειοδοτημένων προγραμμάτων περιήγησης και πλατφορμών·
- Πολιτικές ανάκτησης κωδικού πρόσβασης και λογαριασμού, όπως η ημερομηνία λήξης ενός συνδέσμου επαναφοράς ή η ισχύς του κωδικού πρόσβασης·
- Ξεπερασμένη εγγραφή DNS, που δείχνει σε ένα σύστημα που δεν ανήκει στον ιδιοκτήτη του συστήματος.
Περιεχόμενα
Παράρτημα Β
Τύποι ευπαθειών ανά επίπεδο κρισιμότητας:
Ευπάθεια
Χαμηλό
Μεσαίο
Υψηλό
Διαδρομή αρχείων (Path Traversal)
10
40
70
Ενεργοποιημένη λίστα καταλόγου
10
40
Μη ασφαλές URI ανακατεύθυνσης
5
10
Clickjacking
5
Επίθεση ωμής βίας (Brute Force)
5
Ένεση SQL (άδεια βάση δεδομένων, χρήσιμη βάση δεδομένων)
10
40
70
Ένεση XML External Entity
50
70
Τοπική συμπερίληψη αρχείου (LFI)
50
Εκτέλεση κώδικα από απόσταση (RCE)
10
50
100
Παράκαμψη ελέγχου ταυτότητας
50
90
Ανάληψη λογαριασμού
50
90
Μη ασφαλείς άμεσες αναφορές αντικειμένων (IDOR)
10
Αποθηκευμένο XSS
20-30
Ανακλώμενο XSS
10-20
Αίτημα από την πλευρά του διακομιστή (SSRF)
40-60
Πλαστογράφηση αιτήσεων μεταξύ ιστότοπων (CSRF)
10-20
Συνθήκη ανταγωνισμού (Race Condition)
10
90
Ένεση προτύπου στην πλευρά του διακομιστή (SSTI)
20
80
Διαδρομή αρχείων (Path Traversal)
Χαμηλό
10
Μεσαίο
40
Υψηλό
70
Ενεργοποιημένη λίστα καταλόγου
Χαμηλό
10
Μεσαίο
40
Υψηλό
Μη ασφαλές URI ανακατεύθυνσης
Χαμηλό
5
Μεσαίο
10
Υψηλό
Clickjacking
Χαμηλό
5
Μεσαίο
Υψηλό
Επίθεση ωμής βίας (Brute Force)
Χαμηλό
5
Μεσαίο
Υψηλό
Ένεση SQL (άδεια βάση δεδομένων, χρήσιμη βάση δεδομένων)
Χαμηλό
10
Μεσαίο
40
Υψηλό
70
Ένεση XML External Entity
Χαμηλό
Μεσαίο
50
Υψηλό
70
Τοπική συμπερίληψη αρχείου (LFI)
Χαμηλό
Μεσαίο
50
Υψηλό
Εκτέλεση κώδικα από απόσταση (RCE)
Χαμηλό
10
Μεσαίο
50
Υψηλό
100
Παράκαμψη ελέγχου ταυτότητας
Χαμηλό
Μεσαίο
50
Υψηλό
90
Ανάληψη λογαριασμού
Χαμηλό
Μεσαίο
50
Υψηλό
90
Μη ασφαλείς άμεσες αναφορές αντικειμένων (IDOR)
Χαμηλό
10
Μεσαίο
Υψηλό
Αποθηκευμένο XSS
Χαμηλό
20-30
Μεσαίο
Υψηλό
Ανακλώμενο XSS
Χαμηλό
10-20
Μεσαίο
Υψηλό
Αίτημα από την πλευρά του διακομιστή (SSRF)
Χαμηλό
Μεσαίο
40-60
Υψηλό
Πλαστογράφηση αιτήσεων μεταξύ ιστότοπων (CSRF)
Χαμηλό
10-20
Μεσαίο
Υψηλό
Συνθήκη ανταγωνισμού (Race Condition)
Χαμηλό
10
Μεσαίο
Υψηλό
90
Ένεση προτύπου στην πλευρά του διακομιστή (SSTI)
Χαμηλό
20
Μεσαίο
Υψηλό
80
Οι πόντοι απονέμονται σύμφωνα με το επίπεδο κρισιμότητας της ευπάθειας ως εξής:
- Χαμηλό επίπεδο σημασίας - από 0 έως 30 πόντους·
- Μεσαίο επίπεδο σημασίας - από 31 έως 60 πόντους·
- Υψηλό επίπεδο σημασίας - από 61 έως 100 πόντους.
- sms-activate.ai
- hstock.org
- ipkings.io
Αμοιβές
Το ύψος της αμοιβής εξαρτάται από την κρισιμότητα της ευπάθειας, την ευκολία εκμετάλλευσης και τον αντίκτυπο στα δεδομένα των χρηστών. Το επίπεδο κρισιμότητας συχνά καθορίζεται από κοινού με τους προγραμματιστές και μπορεί να απαιτήσει περισσότερο χρόνο.
Ευπάθεια
Αμοιβή
Εκτέλεση κώδικα από απόσταση (RCE)
$1500 - $5000
Πρόσβαση σε τοπικά αρχεία και άλλα (LFR, RFI, XXE)
$500 - $3000
Ενέσεις
$500 - $3000
Cross-Site Scripting (XSS), εξαιρουμένου του Self-XSS
$100 - $500
SSRF, εκτός από τις τυφλές περιπτώσεις
$300 - $1000
Τυφλό SSRF
$100 - $500
Διαρροές μνήμης / IDORs / Αποκάλυψη πληροφοριών με προστατευμένα προσωπικά δεδομένα ή ευαίσθητες πληροφορίες χρήστη
$70 - $1150
Άλλες επιβεβαιωμένες ευπάθειες
Εξαρτάται από τη σοβαρότητα
Όλες οι εφαρμογές του SMS-Activate που διαχειρίζονται δεδομένα χρηστών εμπλέκονται. Οι εφαρμογές μας μπορούν να βρεθούν στο Google Play
και App Store
με την ονομασία SMS-Activate
Εφαρμογές
Ευπάθεια
Αμοιβή
Εκτέλεση κώδικα από απόσταση (RCE)
$1500 - $5000
Πρόσβαση σε τοπικά αρχεία και άλλα (LFR, RFI, XXE)
$500 - $3000
Ενέσεις
$500 - $3000
SSRF, εκτός από τις τυφλές περιπτώσεις
$300 - $1000
Τυφλό SSRF
$100 - $500
Διαρροές μνήμης / IDORs / Αποκάλυψη πληροφοριών με προστατευμένα προσωπικά δεδομένα ή ευαίσθητες πληροφορίες χρήστη
$70 - $1150
Πλαστογράφηση αιτήσεων μεταξύ ιστότοπων (CSRF, αιτήματα crossdomain Flash, CORS)
$35 — $300
Άλλες επιβεβαιωμένες ευπάθειες
Εξαρτάται από τη σοβαρότητα