SMS-ACTIVATE
مرورگر
قوانین مشارکت در برنامه پاداش باگ (Bug Bounty)
به برنامه پاداش باگ خوش آمدید! مشارکت شما به بهبود امنیت محصولات و خدمات ما کمک می‌کند. لطفاً برای اطمینان از همکاری مؤثر و اخلاقی، با قوانین زیر آشنا شوید.
ثبت‌نام و تأیید هویت
- ثبت‌نام: برای شرکت در برنامه، ابتدا باید در وب‌سایت ثبت‌نام کنید. sms-activate.ai در فرآیند ثبت‌نام، حساب کاربری Telegram خود را برای ارتباط آسان‌تر ارائه دهید؛
- تأیید هویت: برای دریافت پرداخت‌ها باید فرآیند تأیید هویت را طی کنید. پس از تأیید گزارش شما، دستورالعمل‌های دقیق از طریق Telegram برایتان ارسال خواهد شد.
ارائه گزارش‌ها
- مطالعه قوانین: قبل از ارسال گزارش، لطفاً با قوانین مشارکت و انواع آسیب‌پذیری‌هایی که قابل بررسی هستند، آشنا شوید؛
- فرم گزارش‌دهی: از فرم موجود در صفحه sms-activate.ai/bugbountyForm برای ارسال گزارش خود استفاده کنید. گزارش شما باید شامل توضیح واضحی از آسیب‌پذیری، مراحل بازتولید آن، شواهد (تصاویر، ویدیوها) و پیشنهاداتی برای رفع آن باشد؛
- فایل‌های اضافی: در صورت نیاز، فایل‌های اضافی را برای تأیید آسیب‌پذیری پیوست کنید؛
فرآیند بررسی گزارش‌ها
گزارش شما توسط متخصصان امنیتی ما با دقت تحلیل خواهد شد. این فرآیند ممکن است تا سه ماه طول بکشد. در این مدت، گزارش ممکن است یکی از وضعیت‌های زیر را دریافت کند: «در انتظار»، «مرتب‌سازی شده»، «رد شده توسط ناظر»، «نیاز به اطلاعات بیشتر» و سایر موارد.
انواع آسیب‌پذیری‌ها
در
لیست انواع آسیب‌پذیری‌هایی که واجد شرایط دریافت پاداش نیستند، آمده است. در
معیارهای ارزیابی سطح اهمیت یک آسیب‌پذیری مشخص شده است.
تأیید هویت و حریم خصوصی
تمام داده‌های شخصی ارائه‌شده توسط شما برای اهداف تأیید هویت، صرفاً جهت شناسایی استفاده شده و بدون توافق شما در اختیار طرف‌های سوم قرار نخواهند گرفت. ما تمام تلاش خود را برای تضمین حریم خصوصی و امنیت داده‌های شما به کار می‌بندیم.
پرداخت‌ها
پس از تأیید هویت موفق و تأیید آسیب‌پذیری، پاداشی به شما پیشنهاد خواهد شد. مبلغ پاداش بر اساس سطح اهمیت آسیب‌پذیری و کیفیت گزارش ارائه‌شده تعیین می‌شود.
هنجارهای اخلاقی
انتظار داریم شرکت‌کنندگان به‌صورت مسئولانه و اخلاقی عمل کنند. بهره‌برداری از آسیب‌پذیری‌های کشف‌شده برای ایجاد خسارت، دسترسی غیرمجاز به داده‌ها یا سامانه‌ها، یا انتشار اطلاعات دربارهٔ آسیب‌پذیری تا پیش از رفع آن مجاز نیست.
جمع‌بندی
ما برای مشارکت شما در بهبود امنیت محصولات و خدماتمان ارزش قائلیم. مشارکت شما به ایجاد فضای دیجیتال امن‌تر برای همهٔ ما کمک می‌کند.
در جست‌وجوی آسیب‌پذیری‌ها برایتان آرزوی موفقیت داریم! مشارکت شما بی‌قیمت است؛ بنابراین از کمک شما در ایمن‌سازی سامانه‌هایمان سپاسگزاریم.
پیوست A
انواع آسیب‌پذیری‌هایی که مشمول پاداش نمی‌شوند (آسیب‌پذیری‌های سطح پایین که در صورت بهره‌برداری پیامدهای بحرانی ندارند، از جمله):
- IDOR (گزارش‌های این نوع آسیب‌پذیری تنها در صورتی پذیرفته می‌شوند که سطح بحرانی بودن بالا باشد؛ سطح بحرانی توسط متخصص ما پس از تأیید آسیب‌پذیری تعیین می‌شود)؛
- هر گونه آسیب‌پذیری XSS، به‌استثنای Stored XSS (گزارش‌های آسیب‌پذیری Stored XSS بسته به اهمیت منبع وب پذیرفته می‌شوند)؛
- Clickjacking؛
- URI تغییرمسیر ناامن؛
- فعال بودن فهرست‌گذاری دایرکتوری (رمزهای عبور، نسخه‌های پشتیبان) و افشای داده‌های حساس (بسته به داده‌های افشا شده؛ گزارش‌های این آسیب‌پذیری در صورت یافتن داده‌های بحرانی پذیرفته می‌شوند)؛
- فعال بودن حالت اشکال‌زدایی (debug mode)، که منجر به افشای داده‌های بحرانی نشود؛
- آسیب‌پذیری‌های CSRF، که در تابعی غیربحرانی یافت شوند؛
- افشای پنل مدیریت (اگر شکارچی باگ داشبورد مدیریت را بیابد، اما نتواند حساب کاربری را تصاحب کند یا اطلاعات بحرانی دیگری به دست آورد)؛
- شناسایی کاربران (User Enumeration) بدون افشای داده‌های بحرانی؛
- پیکربندی نادرست امنیتی، در صورتی که شواهدی مبنی بر تحقق تهدید وجود نداشته باشد؛
- امتناع از ارائه خدمات؛
- هرزنامه (Spam)؛
- مهندسی اجتماعی، با هدف کارکنان، پیمانکاران یا مشتریان؛
- هرگونه تلاش فیزیکی برای دسترسی به اموال یا مراکز داده
- مالک سامانه؛
- گزارشی که با استفاده از ابزارها و اسکن‌های خودکار ایجاد شده باشد؛
- خطاهای نرم‌افزارهای شخص ثالث؛
- عدم وجود هدرهای امنیتی که مستقیماً منجر به آسیب‌پذیری نشوند؛
- نقض اعتماد SSL / TLS؛
- آسیب‌پذیری‌هایی که تنها کاربران مرورگرها و پلتفرم‌های قدیمی یا بدون مجوز را تحت تأثیر قرار می‌دهند؛
- سیاست‌های بازیابی رمز عبور و حساب کاربری، مانند تاریخ انقضای پیوند بازنشانی یا قدرت رمز عبور؛
- رکورد DNS منسوخ، که به سیستمی اشاره می‌کند که متعلق به مالک سیستم نیست.
فهرست مطالب
پیوست B
انواع آسیب‌پذیری‌ها بر اساس سطح حساسیت:
آسیب‌پذیری
پایین
متوسط
بالا
عبور از مسیر (Path Traversal)
10
40
70
فعال بودن فهرست‌گذاری دایرکتوری
10
40
URI تغییرمسیر ناامن
5
10
کلیک‌جکینگ (Clickjacking)
5
حمله brute force
5
تزریق SQL (پایگاه داده خالی، پایگاه داده مفید)
10
40
70
تزریق موجودیت خارجی XML (XXE)
50
70
شامل‌سازی فایل محلی (LFI)
50
اجرای کد از راه دور (RCE)
10
50
100
دور زدن احراز هویت
50
90
تسلط بر حساب کاربری
50
90
ارجاع مستقیم شیء ناامن (IDOR)
10
XSS ذخیره‌شده
20-30
XSS بازتاب‌شده
10-20
درخواست سمت سرور (SSRF)
40-60
جعل درخواست بین سایتی (CSRF)
10-20
شرایط مسابقه‌ای (Race Condition)
10
90
تزریق قالب سمت سرور (SSTI)
20
80
عبور از مسیر (Path Traversal)
پایین
10
متوسط
40
بالا
70
فعال بودن فهرست‌گذاری دایرکتوری
پایین
10
متوسط
40
بالا
URI تغییرمسیر ناامن
پایین
5
متوسط
10
بالا
کلیک‌جکینگ (Clickjacking)
پایین
5
متوسط
بالا
حمله brute force
پایین
5
متوسط
بالا
تزریق SQL (پایگاه داده خالی، پایگاه داده مفید)
پایین
10
متوسط
40
بالا
70
تزریق موجودیت خارجی XML (XXE)
پایین
متوسط
50
بالا
70
شامل‌سازی فایل محلی (LFI)
پایین
متوسط
50
بالا
اجرای کد از راه دور (RCE)
پایین
10
متوسط
50
بالا
100
دور زدن احراز هویت
پایین
متوسط
50
بالا
90
تسلط بر حساب کاربری
پایین
متوسط
50
بالا
90
ارجاع مستقیم شیء ناامن (IDOR)
پایین
10
متوسط
بالا
XSS ذخیره‌شده
پایین
20-30
متوسط
بالا
XSS بازتاب‌شده
پایین
10-20
متوسط
بالا
درخواست سمت سرور (SSRF)
پایین
متوسط
40-60
بالا
جعل درخواست بین سایتی (CSRF)
پایین
10-20
متوسط
بالا
شرایط مسابقه‌ای (Race Condition)
پایین
10
متوسط
بالا
90
تزریق قالب سمت سرور (SSTI)
پایین
20
متوسط
بالا
80
امتیازات بر اساس سطح حساسیت آسیب‌پذیری به شرح زیر اعطا می‌شوند:
- سطح اهمیت پایین - از ۰ تا ۳۰ امتیاز؛
- سطح اهمیت متوسط - از ۳۱ تا ۶۰ امتیاز؛
- سطح اهمیت بالا - از ۶۱ تا ۱۰۰ امتیاز.
- sms-activate.ai
- hstock.org
- ipkings.io
پاداش‌ها
مبلغ پاداش به حساسیت آسیب‌پذیری، سهولت بهره‌برداری و تأثیر آن بر داده‌های کاربران بستگی دارد. تعیین سطح حساسیت اغلب با همکاری توسعه‌دهندگان انجام می‌شود و ممکن است زمان بیشتری ببرد.
آسیب‌پذیری
پاداش
اجرای کد از راه دور (RCE)
$1500 - $5000
دسترسی به فایل‌های محلی و سایر موارد (LFR, RFI, XXE)
$500 - $3000
تزریق‌ها
$500 - $3000
اسکریپت‌نویسی بین سایتی (XSS)، به استثنا Self-XSS
$100 - $500
SSRF، به جز موارد نابینا
$300 - $1000
SSRF کور
$100 - $500
نشت حافظه / IDORها / افشای اطلاعات حاوی داده‌های شخصی محافظت‌شده یا اطلاعات حساس کاربران
$70 - $1150
سایر آسیب‌پذیری‌های تأییدشده
بسته به میزان حیاتی بودن
تمام برنامه‌های SMS-Activate که با داده‌های کاربران سروکار دارند، درگیر هستند. برنامه‌های ما را می‌توانید در Google Play
و App Store
با نام SMS-Activate
اپلیکیشن‌ها
آسیب‌پذیری
پاداش
اجرای کد از راه دور (RCE)
$1500 - $5000
دسترسی به فایل‌های محلی و سایر موارد (LFR, RFI, XXE)
$500 - $3000
تزریق‌ها
$500 - $3000
SSRF، به جز موارد نابینا
$300 - $1000
SSRF کور
$100 - $500
نشت حافظه / IDORها / افشای اطلاعات حاوی داده‌های شخصی محافظت‌شده یا اطلاعات حساس کاربران
$70 - $1150
جعل درخواست بین سایتی (CSRF، درخواست‌های Flash crossdomain، CORS)
$35 — $300
سایر آسیب‌پذیری‌های تأییدشده
بسته به میزان حیاتی بودن