Miundombinu, Huduma za Wavuti, programu za SMS-Activate

Sheria za kushiriki katika programu ya Bug Bounty

Usajili na Uthibitishaji

• Usajili: ili kushiriki katika programu hii, kwanza unahitaji kujiandikisha kwenye tovuti sms-activate.ai Toa akaunti yako ya Telegram wakati wa mchakato wa usajili kwa mawasiliano rahisi;
• Uthibitishaji: Unapaswa kupitia mchakato wa uthibitishaji ili kupokea malipo. Maelekezo ya kina yatatumwa kwako kupitia Telegram mara ripoti yako itakapoidhinishwa.

Kutoa ripoti

• Kusoma Sheria: Kabla ya kuwasilisha ripoti yako, tafadhali jifunze sheria za ushiriki na aina za udhaifu ambazo zinaweza kuzingatiwa;
• Fomu ya Kuripoti: tumia fomu kwenye ukurasa sms-activate.ai/bugbountyForm kuwasilisha ripoti yako. Ripoti yako inapaswa kuwa na maelezo wazi ya udhaifu, hatua za kuurudisha tena, ushahidi (picha za skrini, video) na mapendekezo ya jinsi ya kuurekebisha;
• Faili za ziada: ambatanisha faili za ziada ili kuthibitisha udhaifu ikiwa inahitajika;

Mchakato wa kukagua ripoti

Aina za udhaifu

Uthibitishaji na faragha

Malipo

Kanuni za maadili

Kiambatisho A

• IDOR (ripoti kuhusu aina hii ya udhaifu zinakubalika tu ikiwa kuna kiwango cha juu cha hatari; kiwango cha hatari huamuliwa na mtaalamu wetu wakati udhaifu unapothibitishwa);
• Aina yoyote ya udhaifu wa XSS, isipokuwa Stored XSS (ripoti za udhaifu wa Stored XSS zinakubalika kulingana na umuhimu wa rasilimali ya wavuti);
• Clickjacking;
• URI ya uelekezaji isiyo salama;
• Orodhesha saraka imewezeshwa nenosiri, nakala rudufu) na Ufichuzi wa data nyeti (kulingana na data iliyofichuliwa; ripoti kuhusu udhaifu huu zinakubalika ikiwa data muhimu itapatikana);
• Hali ya debug imewezeshwa, ambayo haifichui data muhimu;
• Udhaifu wa CSRF, uliopatikana ndani ya kazi ambayo si muhimu;
• Ufichuzi wa paneli ya msimamizi (ikiwa mtafutaji wa kasoro atapata dashibodi ya msimamizi, lakini hawezi kutekeleza utekwaji wa akaunti au kupata taarifa nyingine muhimu);
• Uorodheshaji wa watumiaji bila kufichua data muhimu;
• Usanidi mbaya wa usalama, ikiwa hakuna ushahidi kwamba tishizo limetekelezeka;
• Kukataa kutoa huduma;
• Spamu；
• Uhandisi wa kijamii, uliolengwa kwa wafanyakazi, wakandarasi au wateja;
• Jaribio lolote la kimwili la kupata ufikiaji wa mali au vituo vya data
• Mmiliki wa mfumo;
• Ripoti iliyoundwa kwa kutumia zana otomatiki na skani;
• Makosa katika programu ya mtu wa tatu;
• Kutokuwepo kwa vichwa vya usalama ambavyo havipelekei moja kwa moja kwenye udhaifu;
• Ukiukwaji wa uaminifu wa SSL / TLS;
• Udhaifu unaowaathiri tu watumiaji wa vivinjari na majukwaa yaliyopitwa na wakati au yasiyo na leseni;
• Sera za nenosiri na urejeshaji wa akaunti, kama vile tarehe ya mwisho ya kiungo cha kuweka upya au nguvu ya nenosiri;
• Rekodi ya DNS iliyoisha muda wake, inaelekeza kwenye mfumo ambao haumilikiwi na mmiliki wa mfumo.