Infraestrutura, Serviços Web, aplicativos SMS-Activate

Regras de participação no programa Bug Bounty

Registro e Verificação

• Registro: para participar do programa, você primeiro precisa se cadastrar no site sms-activate.ai Informe sua conta do Telegram durante o processo de registro para facilitar a comunicação;
• Verificação: Você precisa passar pelo processo de verificação para receber os pagamentos. Instruções detalhadas serão enviadas para você via Telegram assim que seu relatório for aprovado.

Envio de relatórios

• Estudo das Regras: Antes de enviar seu relatório, por favor, familiarize-se com as regras de participação e os tipos de vulnerabilidades que podem ser consideradas;
• Formulário de Relatório: use o formulário na página sms-activate.ai/bugbountyForm para enviar seu relatório. Seu relatório deve conter uma descrição clara da vulnerabilidade, passos para reproduzi-la, evidências (capturas de tela, vídeos) e recomendações para corrigi-la;
• Arquivos adicionais: anexe arquivos adicionais para confirmar a vulnerabilidade, se necessário;

Processo de revisão de relatórios

Tipos de vulnerabilidades

Verificação e privacidade

Pagamentos

Normas éticas

Apêndice A

• IDOR (relatórios sobre este tipo de vulnerabilidade são aceitos apenas em caso de alto nível de criticidade; o nível de criticidade é determinado por nosso especialista quando a vulnerabilidade é confirmada);
• Qualquer tipo de vulnerabilidade XSS, exceto Stored XSS (relatórios de vulnerabilidade Stored XSS são aceitos dependendo da importância do recurso web);
• Clickjacking;
• URI de redirecionamento inseguro;
• Listagem de diretórios ativada (senhas, backups) e Exposição de dados sensíveis (dependendo dos dados divulgados; relatórios sobre esta vulnerabilidade são aceitos se dados críticos forem encontrados);
• Modo de depuração ativado, que não divulgue dados críticos;
• Vulnerabilidades CSRF, encontradas em uma função que não é crítica;
• Divulgação do painel administrativo (se o pesquisador encontrar o painel administrativo, mas não conseguir realizar a tomada de conta ou obter outras informações críticas);
• Enumeração de usuários sem divulgação de dados críticos;
• Configuração incorreta de segurança, caso não haja evidências de que a ameaça tenha sido concretizada;
• Recusa em prestar serviços;
• Spam；
• Engenharia social, direcionada a funcionários, contratados ou clientes;
• Quaisquer tentativas físicas de acessar propriedades ou data centers
• Proprietário do sistema;
• Relatório criado usando ferramentas automatizadas e varreduras;
• Erros em software de terceiros;
• Ausência de cabeçalhos de segurança que não levem diretamente a uma vulnerabilidade;
• Violação de confiança SSL / TLS;
• Vulnerabilidades que afetam apenas usuários de navegadores e plataformas desatualizados ou sem licença;
• Políticas de recuperação de senha e conta, como a data de expiração de um link de redefinição ou a força da senha;
• Registro DNS desatualizado, apontando para um sistema que não pertence ao proprietário do sistema.