Инфраструктура, веб-сервисы, приложения SMS-Activate

Правила участия в программе Bug Bounty

Регистрация и Верификация

• Регистрация: для участия в программе необходимо зарегистрироваться на сайте sms-activate.page В процессе регистрации укажите ваш Telegram аккаунт для упрощения коммуникации;
• Верификация: для получения выплат вы должны пройти процесс верификации. Подробные инструкции будут отправлены вам через Telegram после того, как ваш отчет будет одобрен

Подача отчетов

• Ознакомление с Правилами: перед подачей отчета ознакомьтесь с правилами участия и типами уязвимостей, принимаемых к рассмотрению;
• Форма отчета: используйте форму на странице sms-activate.page/bugBountyForm для отправки отчета. Ваш отчет должен содержать четкое описание уязвимости, шаги для ее воспроизведения, доказательства (скриншоты, видеозаписи) и рекомендации по устранению;
• Дополнительные файлы: если необходимо, прикрепите дополнительные файлы для подтверждения уязвимости;

Процесс рассмотрения отчетов

Категории уязвимостей

Верификация и конфиденциальность

Выплаты

Этичные нормы

Приложение А

• IDOR (отчеты по данному типу уязвимости принимаются только в случае высокого уровня критичности; уровень критичности определяется нашим специалистом при подтверждении наличия уязвимости);
• Любые виды уязвимости XSS, помимо Stored XSS (отчеты по уязвимости Stored XSS принимаются в зависимости от значимости веб-ресурса);
• Clickjacking;
• Insecure Redirect URI;
• Directory Listing Enabled (пароли, бекапы) и Sensitive data exposure (в зависимости от раскрывающихся данных; отчеты по этой уязвимости принимаются, в случае обнаружения критичных данных);
• Включенный debug mode, в котором не раскрываются критические данные;
• CSRF уязвимости, найденные в функционале, который̆ не является критичным;
• Раскрытие панели админа (если багхантер находит панель админа, однако не способен произвести захват аккаунта или получать иную критическую информацию);
• User Enumeration без раскрытия критичных данных;
• Security Misconfiguration, в случае отсутствия доказательств реализации угрозы;
• Отказ в обслуживании;
• Спам;
• Социальная инженерия, направленная против сотрудников, подрядчиков или клиентов;
• Любые физические попытки по получению доступа к собственности или центрам обработки данных
• Владельца системы;
• Отчет с помощью автоматизированных инструментов и сканирований;
• Ошибки в стороннем программном обеспечении;
• Отсутствие заголовков безопасности которые не ведут напрямую к уязвимости;
• Нарушение доверия SSL / TLS;
• Уязвимости, влияющие только на пользователей устаревших или непатентованных браузеров и платформ;
• Политики восстановления пароля и учетной записи, такие как срок действия ссылки для сброса или сложность пароля;
• Устаревшая запись DNS, указывающая на систему, которая не принадлежит владельцу системы.