Imprastraktura, Mga Serbisyo sa Web, mga app ng SMS-Activate

Mga tuntunin sa pakikilahok sa Bug Bounty program

Pagpaparehistro at Pagpapatunay

• Pagpaparehistro: upang makilahok sa program, kailangan mo munang mag-sign up sa website sms-activate.ai Ibigay ang iyong Telegram account sa panahon ng proseso ng pagpaparehistro para sa madaling komunikasyon;
• Pagpapatunay: Kailangan mong dumaan sa proseso ng pagpapatunay upang makatanggap ng mga pagbabayad. Ang detalyadong mga tagubilin ay ipapadala sa iyo via Telegram kapag na-apruba na ang iyong ulat.

Pagbibigay ng mga ulat

• Pag-aaral ng mga Tuntunin: Bago isumite ang iyong ulat, pakiusap kilalanin ang mga tuntunin ng pakikilahok at ang mga uri ng mga kahinaan na maaaring isaalang-alang;
• Form ng Pag-uulat: gamitin ang form sa pahina sms-activate.ai/bugbountyForm upang isumite ang iyong ulat. Ang iyong ulat ay dapat maglaman ng malinaw na paglalarawan ng kahinaan, mga hakbang upang ma-reproduce ito, ebidensya (mga screenshot, video) at mga rekomendasyon para sa pag-aayos nito;
• Karagdagang mga file: maglakip ng karagdagang mga file upang kumpirmahin ang kahinaan kung kinakailangan;

Proseso ng pagsusuri ng mga ulat

Mga Uri ng Kahinaan

Pagpapatunay at privacy

Mga Pagbabayad

Mga pamantayang etikal

Appendix A

• IDOR (tinatanggap ang mga ulat tungkol sa ganitong uri ng kahinaan kung mataas ang antas ng kritikalidad; ang antas ng kritikalidad ay tinutukoy ng aming espesyalista kapag nakumpirma ang kahinaan);
• Anumang uri ng XSS vulnerabilities, maliban sa Stored XSS (tinatanggap ang mga ulat ng Stored XSS vulnerability depende sa kahalagahan ng web resource);
• Clickjacking;
• Hindi secure na Redirect URI;
• Naka-enable ang Directory Listing (password, backup) at Pagkakalantad ng sensitibong data (depende sa na-disclose na data; tinatanggap ang mga ulat ng kahinaang ito kung may natagpuang kritikal na data);
• Naka-enable ang debug mode, na hindi nagbubunyag ng kritikal na data;
• CSRF vulnerabilities, na natagpuan sa loob ng isang function na hindi kritikal;
• Pagbubunyag ng admin panel (kung nahahanap ng bug hunter ang admin dashboard, ngunit hindi kayang kunin ang account o makakuha ng iba pang kritikal na impormasyon);
• User Enumeration na walang pagbubunyag ng kritikal na data;
• Maling konfigurasyon ng seguridad, kung walang ebidensya na na-realize ang banta;
• Pagtanggi sa pagbibigay ng serbisyo;
• Spam；
• Social engineering, na nakatuon sa mga empleyado, contractor, o customer;
• Anumang pisikal na pagtatangka na makakuha ng access sa ari-arian o data centers
• May-ari ng sistema;
• Ulat na ginawa gamit ang mga automated tool at scan;
• Mga error sa third-party software;
• Kakulangan ng security headers na hindi direktang nagdudulot ng kahinaan;
• Paglabag sa trust ng SSL / TLS;
• Mga kahinaan na apektado lamang ang mga gumagamit ng luma o walang lisensyang browser at platform;
• Mga patakaran sa password at pag-recover ng account, gaya ng expiration date ng reset link o lakas ng password;
• Lumang DNS record, tumutukoy sa isang sistema na hindi pag-aari ng may-ari ng sistema.