SMS-ACTIVATE
Pregledač
Pravila učestvovanja u Bug Bounty programu
Dobrodošli u Bug Bounty program! Vaše učešće pomaže u poboljšanju bezbednosti naših proizvoda i usluga. Molimo vas da se upoznate sa sledećim pravilima kako biste obezbedili efikasnu i etičku saradnju.
Registracija i verifikacija
- Registracija: da biste učestvovali u programu, prvo se morate registrovati na veb-sajtu sms-activate.ai Navedite svoj Telegram nalog tokom procesa registracije radi lakše komunikacije;
- Verifikacija: Morate proći proces verifikacije da biste primali isplate. Detaljna uputstva biće vam poslata putem Telegrama nakon što vaš izveštaj bude odobren.
Podnošenje izveštaja
- Proučavanje pravila: Pre podnošenja izveštaja, molimo vas da se upoznate sa pravilima učestvovanja i vrstama ranjivosti koje se mogu razmatrati;
- Formular za prijavu: koristite formular na stranici sms-activate.ai/bugbountyForm da biste podneli svoj izveštaj. Vaš izveštaj treba da sadrži jasan opis ranjivosti, korake za njeno reprodukovane, dokaze (snimci ekrana, video zapisi) i preporuke za njeno otklanjanje;
- Dodatni fajlovi: priložite dodatne fajlove za potvrdu ranjivosti ako je potrebno;
Proces pregledanja izveštaja
Naš tim bezbednosnih stručnjaka će pažljivo analizirati vaš izveštaj. Ovaj proces može trajati do tri meseca. Tokom ovog perioda, izveštaju može biti dodeljen jedan od sledećih statusa: „na čekanju“, „obrađen“, „odbijen od strane moderatora“, „potrebne dodatne informacije“ i drugi.
Vrste ranjivosti
U
pronaći ćete listu vrsta ranjivosti koje ne ispunjavaju uslove za nagradu. U
navedeni su kriterijumi za procenu nivoa važnosti ranjivosti.
Verifikacija i privatnost
Svi lični podaci koje dostavite u svrhu verifikacije koristiće se isključivo za identifikaciju i neće biti otkrivani trećim licima bez vaše saglasnosti. Činimo sve što je u našoj moći da osiguramo privatnost i bezbednost vaših podataka.
Isplate
Nakon uspešne verifikacije i potvrde ranjivosti, biće vam ponuđena nagrada. Iznos nagrade određuje se na osnovu nivoa važnosti ranjivosti i kvaliteta dostavljenog izveštaja.
Etčke norme
Očekujemo da učesnici postupaju odgovorno i etički. Nije dozvoljeno iskorišćavanje pronađenih ranjivosti za nanošenje štete, neovlašćen pristup podacima ili sistemima, niti širenje informacija o ranjivosti dok se ona ne otkloni.
Zaključak
Cenimo vaš doprinos poboljšanju bezbednosti naših proizvoda i usluga. Vaše učešće pomaže u stvaranju sigurnijeg digitalnog prostora za sve nas.
Želimo vam puno sreće u potrazi za ranjivostima! Vaš doprinos je neprocenjiv, zato smo zahvalni na vašoj pomoći u obezbeđivanju naših sistema.
Dodatku A
Vrste ranjivosti koje nisu predmet nagrade (ranjivosti niskog nivoa koje nemaju kritične posledice ako se iskoriste, uključujući):
- IDOR (izveštaji o ovoj vrsti ranjivosti prihvataju se samo u slučaju visokog nivoa kritičnosti; nivo kritičnosti određuje naš stručnjak kada se ranjivost potvrdi);
- Sve vrste XSS ranjivosti, osim Stored XSS (izveštaji o Stored XSS ranjivosti prihvataju se u zavisnosti od važnosti veb resursa);
- Klikdžeking;
- Nesiguran URI za preusmeravanje;
- Omogućeno nabrajanje direktorijuma (lozinke, rezervne kopije) i Izlaganje osetljivih podataka (u zavisnosti od otkrivenih podataka; izveštaji o ovoj ranjivosti se prihvataju ako se pronađu kritični podaci);
- Omogućen režim za otklanjanje grešaka, koji ne otkriva kritične podatke;
- CSRF ranjivosti, pronađene unutar funkcije koja nije kritična;
- Otkrivanje administratorskog panela (ako lovac na bagove pronađe administratorsku kontrolnu tablu, ali ne može da preuzme nalog ili dobije druge kritične informacije);
- Enumeracija korisnika bez otkrivanja kritičnih podataka;
- Pogrešna bezbednosna konfiguracija, ukoliko nema dokaza da je pretnja realizovana;
- Odbijanje pružanja usluga;
- Spam；
- Socijalni inženjering, usmeren ka zaposlenima, ugovaračima ili kupcima;
- Bilo kakvi fizički pokušaji pristupa imovini ili centrima podataka
- Vlasnik sistema;
- Izveštaj kreiran korišćenjem automatizovanih alata i skeniranja;
- Greške u softveru trećih strana;
- Nedostatak bezbednosnih zaglavlja koji ne dovode direktno do ranjivosti;
- Kršenje poverenja SSL / TLS;
- Ranjivosti koje utiču samo na korisnike zastarelih ili nelicenciranih pregledača i platformi;
- Politike oporavka lozinke i naloga, kao što je datum isteka linka za resetovanje ili jačina lozinke;
- Zastareli DNS zapis, koji ukazuje na sistem koji ne pripada vlasniku sistema.
Sadržaj
Dodatku B
Vrste ranjivosti po nivou kritičnosti:
Ranjivost
Nizak
Srednji
Visok
Prodiranje kroz putanju (Path Traversal)
10
40
70
Omogućeno nabrajanje direktorijuma
10
40
Nesiguran URI za preusmeravanje
5
10
Klikdžeking (Clickjacking)
5
Brutalna sila (Brute Force)
5
SQL injekcija (prazna baza podataka, korisna baza podataka)
10
40
70
Injekcija spoljnih XML entiteta (XXE)
50
70
Uključivanje lokalnih datoteka (LFI)
50
Izvršavanje koda na daljinu (RCE)
10
50
100
Zaobilaženje autentifikacije
50
90
Preuzimanje naloga
50
90
Nesigurne direktne reference objekata (IDOR)
10
Uskladišteni XSS
20-30
Reflektovani XSS
10-20
Zahtev sa serverske strane (SSRF)
40-60
Krivotvorenje zahteva između sajtova (CSRF)
10-20
Stanje trke (Race Condition)
10
90
Injekcija šablona na serverskoj strani (SSTI)
20
80
Prodiranje kroz putanju (Path Traversal)
Nizak
10
Srednji
40
Visok
70
Omogućeno nabrajanje direktorijuma
Nizak
10
Srednji
40
Visok
Nesiguran URI za preusmeravanje
Nizak
5
Srednji
10
Visok
Klikdžeking (Clickjacking)
Nizak
5
Srednji
Visok
Brutalna sila (Brute Force)
Nizak
5
Srednji
Visok
SQL injekcija (prazna baza podataka, korisna baza podataka)
Nizak
10
Srednji
40
Visok
70
Injekcija spoljnih XML entiteta (XXE)
Nizak
Srednji
50
Visok
70
Uključivanje lokalnih datoteka (LFI)
Nizak
Srednji
50
Visok
Izvršavanje koda na daljinu (RCE)
Nizak
10
Srednji
50
Visok
100
Zaobilaženje autentifikacije
Nizak
Srednji
50
Visok
90
Preuzimanje naloga
Nizak
Srednji
50
Visok
90
Nesigurne direktne reference objekata (IDOR)
Nizak
10
Srednji
Visok
Uskladišteni XSS
Nizak
20-30
Srednji
Visok
Reflektovani XSS
Nizak
10-20
Srednji
Visok
Zahtev sa serverske strane (SSRF)
Nizak
Srednji
40-60
Visok
Krivotvorenje zahteva između sajtova (CSRF)
Nizak
10-20
Srednji
Visok
Stanje trke (Race Condition)
Nizak
10
Srednji
Visok
90
Injekcija šablona na serverskoj strani (SSTI)
Nizak
20
Srednji
Visok
80
Bodovi se dodeljuju prema nivou kritičnosti ranjivosti na sledeći način:
- Nizak nivo važnosti – od 0 do 30 bodova;
- Srednji nivo važnosti – od 31 do 60 bodova;
- Visok nivo važnosti – od 61 do 100 bodova.
- sms-activate.ai
- hstock.org
- ipkings.io
Nagrade
Visina nagrade zavisi od kritičnosti ranjivosti, lakoće eksploatacije i uticaja na podatke korisnika. Nivo kritičnosti se često određuje zajedno sa programerima i može potrajati duže.
Ranjivost
Nagrada
Izvršavanje koda na daljinu (RCE)
$1500 - $5000
Pristup lokalnim datotekama i drugo (LFR, RFI, XXE)
$500 - $3000
Injekcije
$500 - $3000
Skriptiranje između sajtova (XSS), osim Self-XSS
$100 - $500
SSRF, osim slepih
$300 - $1000
Slepi SSRF
$100 - $500
Curenje memorije / IDOR / Otkrivanje informacija sa zaštićenim ličnim podacima ili osetljivim korisničkim informacijama
$70 - $1150
Druge potvrđene ranjivosti
Zavisi od kritičnosti
Uključene su sve SMS-Activate aplikacije koje obrađuju korisničke podatke. Naše aplikacije možete pronaći na Google Play
i App Store
pod nazivom SMS-Activate
Aplikacije
Ranjivost
Nagrada
Izvršavanje koda na daljinu (RCE)
$1500 - $5000
Pristup lokalnim datotekama i drugo (LFR, RFI, XXE)
$500 - $3000
Injekcije
$500 - $3000
SSRF, osim slepih
$300 - $1000
Slepi SSRF
$100 - $500
Curenje memorije / IDOR / Otkrivanje informacija sa zaštićenim ličnim podacima ili osetljivim korisničkim informacijama
$70 - $1150
Cross-Site Request Forgery (CSRF, Flash crossdomain zahtevi, CORS)
$35 — $300
Druge potvrđene ranjivosti
Zavisi od kritičnosti