SMS-ACTIVATE
Браузер
Bug Bounty бағдарламасына қатысу ережелері
Bug Bounty бағдарламасына қош келдіңіз! Сіздің қатысуыңыз біздің өнімдер мен қызметтердің қауіпсіздігін арттыруға көмектеседі. Тиімді және этикалық ынтымақтастықты қамтамасыз ету үшін төмендегі ережелермен мұқият танысыңыз
Тіркеу және тексеру
- Тіркеу: бағдарламаға қатысу үшін алдымен веб-сайтта тіркелу қажет sms-activate.ai Оңай байланыс орнату үшін тіркелу процесінде Telegram аккаунтыңызды ұсыныңыз;
- Тексеру: Төлемдерді алу үшін тексеру процесінен өтуіңіз керек. Есебіңіз мақұлданғаннан кейін Telegram арқылы толық нұсқаулықтар жіберіледі.
Есептерді ұсыну
- Ережелерді зерделеу: Есебіңізді жібермес бұрын, қатысу ережелерімен және қарастырылуы мүмкін осалдық түрлерімен танысыңыз;
- Есеп беру формасы: есебіңізді жіберу үшін парақтағы форманы пайдаланыңыз sms-activate.ai/bugbountyForm Сіздің есебіңізде осалдықтың нақты сипаттамасы, оны қайталау қадамдары, дәлелдер (скриншоттар, бейнелер) және оны жою бойынша ұсыныстар болуы тиіс;
- Қосымша файлдар: қажет болған жағдайда осалдықты растау үшін қосымша файлдарды тіркеңіз;
Есептерді қарау процесі
Сіздің есебіңізді біздің қауіпсіздік мамандары мұқият талдайды. Бұл процесс үш айға дейін созылуы мүмкін. Осы уақыт ішінде есепке мынадай мәртебелер берілуі мүмкін: "күтуде", "сұрыпталған", "модератор қабылдамады", "қосымша ақпарат қажет" және басқалары.
Осалдық түрлері
А
сыйақы алуға жатпайтын осалдық түрлерінің тізімін табасыз. Ал
осалдықтың маңыздылық деңгейін бағалау критерийлері көрсетілген.
Тексеру және құпиялылық
Тексеру мақсатында сіз ұсынған барлық жеке деректер тек сәйкестендіру үшін пайдаланылады және сіздің келісіміңізсіз үшінші тараптарға жарияланбайды. Біз деректеріңіздің құпиялылығы мен қауіпсіздігін қамтамасыз ету үшін бар күшімізді саламыз.
Төлемдер
Сәтті тексеруден және осалдықты растаудан кейін сізге сыйақы ұсынылады. Сыйақы мөлшері осалдықтың маңыздылық деңгейіне және ұсынылған есептің сапасына негізделіп анықталады.
Этикалық нормалар
Біз қатысушылардан жауапкершілікпен және этикалық тұрғыдан әрекет етуді күтеміз. Табылған осалдықтарды пайдаланып, зиян келтіруге, деректерге немесе жүйелерге рұқсатсыз қол жеткізуге, сондай-ақ осалдық түзелгенше оны жариялауға тыйым салынады.
Қорытынды
Біз сіздің өнімдеріміз бен қызметтеріміздің қауіпсіздігін арттыруға қосқан үлесіңізді бағалаймыз. Сіздің қатысуыңыз бәріміз үшін қауіпсіз цифрлық кеңістік құруға көмектеседі.
Осалдықтарды іздеуде сәттілік тілейміз! Сіздің үлесіңіз баға жетпес, сондықтан жүйелеріміздің қауіпсіздігін қамтамасыз етуге көмектескеніңіз үшін алғыс айтамыз.
А қосымшасында
Сыйақы берілмейтін осалдық түрлері (пайдаланылған жағдайда сыни салдары жоқ төмен деңгейлі осалдықтар, соның ішінде):
- IDOR (бұл осалдық түрі бойынша есептер тек жоғары сыни деңгей болған жағдайда қабылданады; сыни деңгейді осалдық расталған кезде біздің маман анықтайды);
- Кез келген XSS осалдықтары, Stored XSS-тен басқа (Stored XSS осалдықтары туралы есептер веб-ресурстың маңыздылығына байланысты қабылданады);
- Clickjacking;
- Қауіпсіз емес қайта бағыттау URI-і;
- Каталог тізімін көрсету қосулы (құпиясөздер, резервтік көшірмелер) және Сезімтал деректердің ашылуы (ашылған деректерге байланысты; бұл осалдық туралы есептер сыни деректер табылған жағдайда қабылданады);
- Іске қосылған debug режимі, ол сыни деректерді ашпайды;
- CSRF осалдықтары, сыни емес функция шеңберінде табылған;
- Әкімші панелінің ашылуы (егер баг-хантер әкімші панелін тапса, бірақ аккаунтты басып ала алмаса немесе басқа сыни ақпаратты ала алмаса);
- Пайдаланушыларды анықтау сыни деректерді ашпайтын жағдайда;
- Қауіпсіздікті дұрыс конфигурацияламау, қауіптің жүзеге асқанына дәлелдер болмаған жағдайда;
- Қызметтерді ұсынудан бас тарту;
- Спам；
- Әлеуметтік инженерия, қызметкерлерге, мердігерлерге немесе клиенттерге бағытталған;
- Мүлікке немесе деректер орталықтарына қол жеткізу үшін кез келген физикалық әрекеттер
- Жүйе иесі;
- Автоматтандырылған құралдар мен сканерлеу арқылы жасалған есеп;
- Үшінші тараптық бағдарламалық жасақтамадағы қателер;
- Қауіпсіздік хедерлерінің болмауы олар тікелей осалдыққа әкелмейді;
- SSL / TLS сенімділік бұзушылығы;
- Тек ескірген немесе лицензиясыз браузерлер мен платформалар пайдаланушыларына әсер ететін осалдықтар;
- Құпиясөз бен аккаунтты қалпына келтіру саясаты, мысалы, қалпына келтіру сілтемесінің мерзімі немесе құпиясөздің күрделілігі;
- Ескірген DNS жазбасы, Жүйе иесіне тиесілі емес жүйеге бағытталған.
Мазмұны
В қосымшасында
Осықтық түрлері сыни деңгейі бойынша:
Осықтық
Төмен
Орташа
Жоғары
Жолды шарлау (Path Traversal)
10
40
70
Каталог тізімін көрсету қосулы
10
40
Қауіпсіз емес қайта бағыттау URI-і
5
10
Кликджекинг (Clickjacking)
5
Брутфорс (Brute Force)
5
SQL инъекциясы (бос дерекқор, пайдалы дерекқор)
10
40
70
XML сыртқы entity инъекциясы
50
70
Жергілікті файлды қосу (Local File Inclusion)
50
Қашықтан кодты орындау (Remote Code Execution)
10
50
100
Аутентификациядан айналып өту
50
90
Аккаунтты басып алу
50
90
Қауіпсіз емес тікелей объект сілтемелері
10
Сақталған XSS
20-30
Шағылысқан XSS
10-20
Сервер жағындағы сұраныс жалғандығы (SSRF)
40-60
Сайтаралық сұраныс жалғандығы (CSRF)
10-20
Жарыс жағдайы (Race Condition)
10
90
Сервер жағындағы үлгі инъекциясы
20
80
Жолды шарлау (Path Traversal)
Төмен
10
Орташа
40
Жоғары
70
Каталог тізімін көрсету қосулы
Төмен
10
Орташа
40
Жоғары
Қауіпсіз емес қайта бағыттау URI-і
Төмен
5
Орташа
10
Жоғары
Кликджекинг (Clickjacking)
Төмен
5
Орташа
Жоғары
Брутфорс (Brute Force)
Төмен
5
Орташа
Жоғары
SQL инъекциясы (бос дерекқор, пайдалы дерекқор)
Төмен
10
Орташа
40
Жоғары
70
XML сыртқы entity инъекциясы
Төмен
Орташа
50
Жоғары
70
Жергілікті файлды қосу (Local File Inclusion)
Төмен
Орташа
50
Жоғары
Қашықтан кодты орындау (Remote Code Execution)
Төмен
10
Орташа
50
Жоғары
100
Аутентификациядан айналып өту
Төмен
Орташа
50
Жоғары
90
Аккаунтты басып алу
Төмен
Орташа
50
Жоғары
90
Қауіпсіз емес тікелей объект сілтемелері
Төмен
10
Орташа
Жоғары
Сақталған XSS
Төмен
20-30
Орташа
Жоғары
Шағылысқан XSS
Төмен
10-20
Орташа
Жоғары
Сервер жағындағы сұраныс жалғандығы (SSRF)
Төмен
Орташа
40-60
Жоғары
Сайтаралық сұраныс жалғандығы (CSRF)
Төмен
10-20
Орташа
Жоғары
Жарыс жағдайы (Race Condition)
Төмен
10
Орташа
Жоғары
90
Сервер жағындағы үлгі инъекциясы
Төмен
20
Орташа
Жоғары
80
Осықтықтың сыни деңгейіне сәйкес ұпайлар келесідей беріледі:
- Маңыздылығы төмен деңгей – 0-ден 30 ұпайға дейін;
- Маңыздылығы орташа деңгей – 31-ден 60 ұпайға дейін;
- Маңыздылығы жоғары деңгей – 61-ден 100 ұпайға дейін.
- sms-activate.ai
- hstock.org
- ipkings.io
Сыйақылар
Сыйақы мөлшері осықтықтың сыни деңгейіне, пайдалану оңайлығына және пайдаланушы деректеріне әсеріне байланысты. Сыни деңгей көбінесе әзірлеушілермен бірге анықталады және ұзағырақ уақытты алуы мүмкін.
Осықтық
Сыйақы
Қашықтан кодты орындау (RCE)
$1500 - $5000
Жергілікті файлдарға қол жеткізу және басқалары (LFR, RFI, XXE)
$500 - $3000
Инъекциялар
$500 - $3000
Сайтаралық скрипттеу (XSS), Self-XSS-тен басқа
$100 - $500
SSRF, соқыр түрлерін қоспағанда
$300 - $1000
Blind SSRF
$100 - $500
Жадтың ағып кетуі / IDOR / Қорғалған жеке деректер немесе пайдаланушының құпия ақпараты бар ақпараттың жария болуы
$70 - $1150
Басқа расталған осалдықтар
Сындылығына байланысты
Пайдаланушы деректерімен жұмыс істейтін SMS-Activate қосымшалары қатысады. Біздің қосымшаларды мына жерден табуға болады: Google Play
және App Store
SMS-Activate атауы бойынша
Қосымшалар
Осықтық
Сыйақы
Қашықтан кодты орындау (RCE)
$1500 - $5000
Жергілікті файлдарға қол жеткізу және басқалары (LFR, RFI, XXE)
$500 - $3000
Инъекциялар
$500 - $3000
SSRF, соқыр түрлерін қоспағанда
$300 - $1000
Blind SSRF
$100 - $500
Жадтың ағып кетуі / IDOR / Қорғалған жеке деректер немесе пайдаланушының құпия ақпараты бар ақпараттың жария болуы
$70 - $1150
Сайт аралық сұраныстарды жалған ұсыну (CSRF, Flash crossdomain сұраныстары, CORS)
$35 — $300
Басқа расталған осалдықтар
Сындылығына байланысты