Cơ sở hạ tầng, dịch vụ web, ứng dụng SMS-Activate

Quy tắc tham gia chương trình Bug Bounty

Đăng ký và Xác minh

• Đăng ký: để tham gia chương trình, trước tiên bạn cần đăng ký tài khoản trên trang web sms-activate.ai Cung cấp tài khoản Telegram của bạn trong quá trình đăng ký để thuận tiện cho việc giao tiếp;
• Xác minh: Bạn phải hoàn tất quy trình xác minh để nhận thanh toán. Hướng dẫn chi tiết sẽ được gửi đến bạn qua Telegram sau khi báo cáo của bạn được phê duyệt.

Gửi báo cáo

• Nghiên cứu Quy tắc: Trước khi gửi báo cáo, vui lòng xem kỹ các quy tắc tham gia và các loại lỗ hổng có thể được chấp nhận;
• Biểu mẫu Báo cáo: sử dụng biểu mẫu trên trang sms-activate.ai/bugbountyForm để gửi báo cáo của bạn. Báo cáo cần bao gồm mô tả rõ ràng về lỗ hổng, các bước tái hiện lỗi, bằng chứng (ảnh chụp màn hình, video) và đề xuất cách khắc phục;
• Tệp đính kèm bổ sung: đính kèm thêm tệp để xác nhận lỗ hổng nếu cần thiết;

Quy trình xem xét báo cáo

Các loại lỗ hổng

Xác minh và quyền riêng tư

Thanh toán

Chuẩn mực đạo đức

Phụ lục A

• IDOR (báo cáo về loại lỗ hổng này chỉ được chấp nhận trong trường hợp có mức độ nghiêm trọng cao; mức độ nghiêm trọng do chuyên gia của chúng tôi xác định khi lỗ hổng được xác nhận);
• Mọi loại lỗ hổng XSS, ngoại trừ Stored XSS (báo cáo về lỗ hổng Stored XSS được chấp nhận tùy thuộc vào tầm quan trọng của tài nguyên web);
• Clickjacking;
• URI chuyển hướng không an toàn;
• Bật tính năng liệt kê thư mục (mật khẩu, bản sao lưu) và Rò rỉ dữ liệu nhạy cảm (tùy thuộc vào dữ liệu bị tiết lộ; báo cáo về lỗ hổng này được chấp nhận nếu phát hiện dữ liệu quan trọng);
• Chế độ gỡ lỗi được bật, nhưng không làm lộ dữ liệu quan trọng;
• Lỗ hổng CSRF, được tìm thấy trong một chức năng không quan trọng;
• Tiết lộ bảng điều khiển quản trị (nếu người tìm lỗi phát hiện bảng điều khiển quản trị nhưng không thể chiếm quyền kiểm soát tài khoản hoặc thu thập thông tin quan trọng khác);
• Liệt kê người dùng mà không làm lộ dữ liệu quan trọng;
• Cấu hình bảo mật sai, trong trường hợp không có bằng chứng cho thấy mối đe dọa đã xảy ra;
• Từ chối cung cấp dịch vụ;
• Spam；
• Tấn công kỹ thuật xã hội, nhắm vào nhân viên, nhà thầu hoặc khách hàng;
• Mọi nỗ lực vật lý nhằm truy cập vào tài sản hoặc trung tâm dữ liệu
• Chủ sở hữu hệ thống;
• Báo cáo được tạo bằng cách sử dụng các công cụ tự động và quét;
• Lỗi trong phần mềm của bên thứ ba;
• Thiếu tiêu đề bảo mật mà không trực tiếp dẫn đến lỗ hổng;
• Vi phạm niềm tin SSL / TLS;
• Các lỗ hổng chỉ ảnh hưởng đến người dùng trình duyệt và nền tảng đã lỗi thời hoặc không có giấy phép;
• Chính sách khôi phục mật khẩu và tài khoản, chẳng hạn như thời hạn hết hiệu lực của liên kết đặt lại hoặc độ mạnh của mật khẩu;
• Bản ghi DNS lỗi thời, trỏ đến một hệ thống không thuộc quyền sở hữu của chủ hệ thống.