Infrastruktur, Perkhidmatan Web, aplikasi SMS-Activate

Peraturan penyertaan dalam program Bug Bounty

Pendaftaran dan Pengesahan

• Pendaftaran: untuk menyertai program ini, anda perlu mendaftar di laman web terlebih dahulu sms-activate.ai Sediakan akaun Telegram anda semasa proses pendaftaran untuk memudahkan komunikasi;
• Pengesahan: Anda mesti melalui proses pengesahan untuk menerima pembayaran. Arahan terperinci akan dihantar kepada anda melalui Telegram selepas laporan anda diluluskan.

Penyerahan laporan

• Mempelajari Peraturan: Sebelum menyerahkan laporan anda, sila biasakan diri dengan peraturan penyertaan dan jenis kelemahan yang boleh dipertimbangkan;
• Borang Laporan: gunakan borang di halaman sms-activate.ai/bugbountyForm untuk menyerahkan laporan anda. Laporan anda harus mengandungi penerangan jelas tentang kelemahan, langkah-langkah untuk menghasilkan semula masalah tersebut, bukti (tangkapan skrin, video) dan cadangan untuk membaikinya;
• Fail tambahan: sertakan fail tambahan untuk mengesahkan kelemahan jika perlu;

Proses semakan laporan

Jenis kelemahan

Pengesahan dan privasi

Pembayaran

Norma etika

Appendiks A

• IDOR (laporan mengenai jenis kerentanan ini hanya diterima sekiranya tahap kritikaliti tinggi; tahap kritikaliti ditentukan oleh pakar kami apabila kerentanan disahkan);
• Sebarang jenis kerentanan XSS, kecuali Stored XSS (laporan kerentanan Stored XSS diterima bergantung pada kepentingan sumber web);
• Clickjacking;
• URI Pengalihan Tidak Selamat;
• Penyenaraian Direktori Didayakan (kata laluan, sandaran) dan Pendedahan data sensitif (bergantung pada data yang didedahkan; laporan mengenai kerentanan ini diterima jika data kritikal ditemui);
• Mod nyahpepijat didayakan, yang tidak mendedahkan data kritikal;
• Kerentanan CSRF, yang ditemui dalam fungsi yang tidak kritikal;
• Pendedahan panel pentadbir (jika pemburu pepijat menemui papan pemuka pentadbir, tetapi tidak dapat mengambil alih akaun atau mendapatkan maklumat kritikal lain);
• Pengenalan Pengguna tanpa mendedahkan data kritikal;
• Salah Konfigurasi Keselamatan, sekiranya tiada bukti bahawa ancaman telah berlaku;
• Menolak untuk memberikan perkhidmatan;
• Spam；
• Kejuruteraan sosial, yang ditujukan kepada pekerja, kontraktor atau pelanggan;
• Sebarang percubaan fizikal untuk mendapatkan akses ke harta benda atau pusat data
• Pemilik sistem;
• Laporan yang dibuat menggunakan alat dan imbasan automatik;
• Ralat dalam perisian pihak ketiga;
• Ketiadaan header keselamatan yang tidak membawa terus kepada kerentanan;
• Pelanggaran kepercayaan SSL / TLS;
• Kerentanan yang hanya mempengaruhi pengguna pelayar dan platform yang lapuk atau tidak berlesen;
• Dasar kata laluan dan pemulihan akaun, seperti tarikh luput pautan tetapan semula atau kekuatan kata laluan;
• Rekod DNS lapuk, mengarah ke sistem yang bukan milik pemilik sistem.