SMS-ACTIVATE
Browser
Aturan partisipasi dalam program Bug Bounty
Selamat datang di program Bug Bounty! Partisipasi Anda membantu meningkatkan keamanan produk dan layanan kami. Silakan pelajari aturan berikut untuk memastikan kolaborasi yang efektif dan etis
Pendaftaran dan Verifikasi
- Pendaftaran: untuk berpartisipasi dalam program, Anda harus terlebih dahulu mendaftar di situs web sms-activate.ai Sertakan akun Telegram Anda selama proses pendaftaran untuk memudahkan komunikasi;
- Verifikasi: Anda harus menyelesaikan proses verifikasi untuk menerima pembayaran. Instruksi terperinci akan dikirimkan kepada Anda melalui Telegram setelah laporan Anda disetujui.
Pengiriman laporan
- Mempelajari Aturan: Sebelum mengirimkan laporan, silakan pelajari aturan partisipasi dan jenis kerentanan yang dapat dipertimbangkan;
- Formulir Pelaporan: gunakan formulir di halaman sms-activate.ai/bugbountyForm untuk mengirimkan laporan Anda. Laporan Anda harus berisi deskripsi jelas tentang kerentanan, langkah-langkah untuk mereproduksinya, bukti (tangkapan layar, video), dan rekomendasi untuk memperbaikinya;
- File tambahan: lampirkan file tambahan untuk mengonfirmasi kerentanan jika diperlukan;
Proses peninjauan laporan
Laporan Anda akan dianalisis secara cermat oleh spesialis keamanan kami. Proses ini dapat memakan waktu hingga tiga bulan. Selama periode ini, laporan dapat diberi salah satu status berikut: "menunggu", "disortir", "ditolak oleh moderator", "memerlukan informasi lebih lanjut", dan lainnya.
Jenis kerentanan
DI
Anda akan menemukan daftar jenis kerentanan yang tidak memenuhi syarat untuk mendapatkan hadiah. Di
kriteria untuk menilai tingkat kepentingan suatu kerentanan telah ditentukan.
Verifikasi dan privasi
Semua data pribadi yang Anda berikan untuk tujuan verifikasi akan digunakan semata-mata untuk identifikasi, dan tidak akan diungkapkan kepada pihak ketiga tanpa persetujuan Anda. Kami berupaya sebaik mungkin untuk memastikan privasi dan keamanan data Anda.
Pembayaran
Setelah verifikasi berhasil dan kerentanan dikonfirmasi, Anda akan ditawarkan hadiah. Jumlah hadiah ditentukan berdasarkan tingkat kepentingan kerentanan dan kualitas laporan yang diberikan.
Norma etika
Kami mengharapkan peserta untuk bertindak secara bertanggung jawab dan etis. Dilarang mengeksploitasi kerentanan yang ditemukan untuk menyebabkan kerusakan, mendapatkan akses tidak sah ke data atau sistem, atau menyebarkan informasi tentang kerentanan tersebut hingga diperbaiki.
Kesimpulan
Kami menghargai kontribusi Anda dalam meningkatkan keamanan produk dan layanan kami. Partisipasi Anda membantu menciptakan ruang digital yang lebih aman bagi kita semua.
Kami berharap Anda berhasil menemukan kerentanan! Kontribusi Anda sangat berharga, sehingga kami berterima kasih atas bantuan Anda dalam mengamankan sistem kami.
Lampiran A
Jenis kerentanan yang bukan objek pemberian hadiah (kerentanan tingkat rendah yang tidak memiliki konsekuensi kritis jika dieksploitasi, termasuk):
- IDOR (laporan mengenai jenis kerentanan ini hanya diterima jika memiliki tingkat kritikalitas tinggi; tingkat kritikalitas ditentukan oleh spesialis kami saat kerentanan dikonfirmasi);
- Segala jenis kerentanan XSS, kecuali Stored XSS (laporan kerentanan Stored XSS diterima tergantung pada pentingnya sumber daya web);
- Clickjacking;
- URI Pengalihan Tidak Aman;
- Direktori Listing Diaktifkan (kata sandi, cadangan) dan Paparan data sensitif (tergantung pada data yang terungkap; laporan mengenai kerentanan ini diterima jika ditemukan data kritis);
- Mode debug diaktifkan, yang tidak mengungkapkan data kritis;
- Kerentanan CSRF, yang ditemukan dalam fungsi yang tidak kritis;
- Pengungkapan panel admin (jika pemburu bug menemukan dasbor admin, tetapi tidak dapat melakukan pengambilalihan akun atau memperoleh informasi kritis lainnya);
- Enumerasi Pengguna tanpa mengungkapkan data kritis;
- Konfigurasi Keamanan yang Salah, jika tidak ada bukti bahwa ancaman telah terealisasi;
- Menolak memberikan layanan;
- Spam；
- Rekayasa sosial, yang ditujukan kepada karyawan, kontraktor, atau pelanggan;
- Segala upaya fisik untuk mengakses properti atau pusat data
- Pemilik sistem;
- Laporan yang dibuat menggunakan alat otomatis dan pemindaian;
- Kesalahan dalam perangkat lunak pihak ketiga;
- Tidak adanya header keamanan yang tidak langsung mengarah pada kerentanan;
- Pelanggaran kepercayaan SSL / TLS;
- Kerentanan yang hanya memengaruhi pengguna browser dan platform usang atau tanpa lisensi;
- Kebijakan pemulihan kata sandi dan akun, seperti tanggal kedaluwarsa tautan reset atau kekuatan kata sandi;
- Rekaman DNS yang kedaluwarsa, mengarah ke sistem yang bukan milik pemilik sistem.
Daftar Isi
Lampiran B
Jenis kerentanan berdasarkan tingkat kritisnya:
Kerentanan
Rendah
Sedang
Tinggi
Path Traversal
10
40
70
Direktori Listing Diaktifkan
10
40
URI Pengalihan Tidak Aman
5
10
Clickjacking
5
Brute Force
5
Injeksi SQL (basis data kosong, basis data berguna)
10
40
70
Injeksi Entitas Eksternal XML
50
70
Local File Inclusion
50
Eksekusi Kode Jarak Jauh
10
50
100
Bypass Autentikasi
50
90
Pengambilalihan Akun
50
90
Referensi Objek Langsung Tidak Aman
10
Stored XSS
20-30
Reflected XSS
10-20
Permintaan Sisi Server
40-60
Pemalsuan Permintaan Lintas Situs
10-20
Race Condition
10
90
Injeksi Templat Sisi Server
20
80
Path Traversal
Rendah
10
Sedang
40
Tinggi
70
Direktori Listing Diaktifkan
Rendah
10
Sedang
40
Tinggi
URI Pengalihan Tidak Aman
Rendah
5
Sedang
10
Tinggi
Clickjacking
Rendah
5
Sedang
Tinggi
Brute Force
Rendah
5
Sedang
Tinggi
Injeksi SQL (basis data kosong, basis data berguna)
Rendah
10
Sedang
40
Tinggi
70
Injeksi Entitas Eksternal XML
Rendah
Sedang
50
Tinggi
70
Local File Inclusion
Rendah
Sedang
50
Tinggi
Eksekusi Kode Jarak Jauh
Rendah
10
Sedang
50
Tinggi
100
Bypass Autentikasi
Rendah
Sedang
50
Tinggi
90
Pengambilalihan Akun
Rendah
Sedang
50
Tinggi
90
Referensi Objek Langsung Tidak Aman
Rendah
10
Sedang
Tinggi
Stored XSS
Rendah
20-30
Sedang
Tinggi
Reflected XSS
Rendah
10-20
Sedang
Tinggi
Permintaan Sisi Server
Rendah
Sedang
40-60
Tinggi
Pemalsuan Permintaan Lintas Situs
Rendah
10-20
Sedang
Tinggi
Race Condition
Rendah
10
Sedang
Tinggi
90
Injeksi Templat Sisi Server
Rendah
20
Sedang
Tinggi
80
Poin diberikan sesuai tingkat kritis kerentanan sebagai berikut:
- Tingkat kepentingan rendah - dari 0 hingga 30 poin;
- Tingkat kepentingan sedang - dari 31 hingga 60 poin;
- Tingkat kepentingan tinggi - dari 61 hingga 100 poin.
- sms-activate.ai
- hstock.org
- ipkings.io
Hadiah
Jumlah hadiah bergantung pada tingkat kritis kerentanan, kemudahan eksploitasi, dan dampaknya terhadap data pengguna. Tingkat kritis sering kali ditentukan bersama dengan pengembang dan dapat memakan waktu lebih lama.
Kerentanan
Hadiah
Eksekusi Kode Jarak Jauh (RCE)
$1500 - $5000
Akses file lokal dan lainnya (LFR, RFI, XXE)
$500 - $3000
Injeksi
$500 - $3000
Cross-Site Scripting (XSS), kecuali Self-XSS
$100 - $500
SSRF, kecuali yang bersifat blind
$300 - $1000
Blind SSRF
$100 - $500
Kebocoran memori / IDOR / Pengungkapan informasi yang berisi data pribadi terlindungi atau informasi pengguna sensitif
$70 - $1150
Kerentanan lain yang telah dikonfirmasi
Tergantung pada tingkat keparahan
Semua aplikasi SMS-Activate yang menangani data pengguna terlibat. Aplikasi kami dapat ditemukan di Google Play
dan App Store
dengan nama SMS-Activate
Aplikasi
Kerentanan
Hadiah
Eksekusi Kode Jarak Jauh (RCE)
$1500 - $5000
Akses file lokal dan lainnya (LFR, RFI, XXE)
$500 - $3000
Injeksi
$500 - $3000
SSRF, kecuali yang bersifat blind
$300 - $1000
Blind SSRF
$100 - $500
Kebocoran memori / IDOR / Pengungkapan informasi yang berisi data pribadi terlindungi atau informasi pengguna sensitif
$70 - $1150
Cross-Site Request Forgery (CSRF, permintaan crossdomain Flash, CORS)
$35 — $300
Kerentanan lain yang telah dikonfirmasi
Tergantung pada tingkat keparahan