SMS-ACTIVATE
Tarayıcı
Bug Bounty programına katılım kuralları
Bug Bounty programına hoş geldiniz! Katılımınız, ürün ve hizmetlerimizin güvenliğini artırmaya yardımcı olur. Etkili ve etik bir iş birliği sağlamak için lütfen aşağıdaki kuralları dikkatlice okuyun.
Kayıt ve Doğrulama
- Kayıt: programa katılmak için öncelikle web sitesine kaydolmanız gerekmektedir sms-activate.ai Kolay iletişim için kayıt süreci sırasında Telegram hesabınızı paylaşın;
- Doğrulama: Ödeme alabilmek için doğrulama sürecinden geçmeniz gerekir. Raporunuz onaylandıktan sonra detaylı talimatlar Telegram üzerinden size gönderilecektir.
Raporların sunulması
- Kuralların incelenmesi: Raporunuzu göndermeden önce, katılım kurallarını ve değerlendirilebilecek güvenlik açığı türlerini lütfen inceleyin;
- Raporlama Formu: raporunuzu göndermek için sayfadaki formu kullanın sms-activate.ai/bugbountyForm Raporunuz; güvenlik açığının net bir tanımını, yeniden üretme adımlarını, kanıtları (ekran görüntüleri, videolar) ve düzeltme önerilerini içermelidir;
- Ek dosyalar: gerekirse güvenlik açığını doğrulamak amacıyla ek dosyalar yükleyin;
Rapor inceleme süreci
Raporunuz güvenlik uzmanlarımız tarafından titizlikle analiz edilecektir. Bu süreç üç aya kadar sürebilir. Bu süre zarfında rapora "beklemede", "sınıflandırıldı", "moderatör tarafından reddedildi", "daha fazla bilgi gerekli" gibi durumlar atanabilir.
Güvenlik açığı türleri
İçinde
ödül almaya uygun olmayan güvenlik açığı türlerinin listesini bulacaksınız.
güvenlik açığının önem düzeyini değerlendirme kriterleri belirtilmiştir.
Doğrulama ve gizlilik
Doğrulama amacıyla tarafınızca sağlanan tüm kişisel veriler yalnızca kimlik tespiti için kullanılacak ve izniniz olmadan üçüncü taraflarla paylaşılmayacaktır. Verilerinizin gizliliğini ve güvenliğini sağlamak için elimizden gelenin en iyisini yapıyoruz.
Ödemeler
Başarılı doğrulama ve güvenlik açığının teyit edilmesinin ardından size bir ödül teklif edilecektir. Ödül tutarı, güvenlik açığının önem düzeyine ve sunulan raporun kalitesine göre belirlenir.
Etik normlar
Katılımcılardan sorumlu ve etik davranmalarını bekliyoruz. Bulunan güvenlik açıklarından zarar vermek, verilere veya sistemlere yetkisiz erişim sağlamak ya da açık düzeltilene kadar bilgi yaymak amacıyla yararlanılması yasaktır.
Sonuç
Ürünlerimizin ve hizmetlerimizin güvenliğini iyileştirmeye yönelik katkılarınızı değerli buluyoruz. Katılımınız, hepimiz için daha güvenli bir dijital alan oluşturulmasına yardımcı olur.
Güvenlik açıklarını ararken size başarılar dileriz! Katkınız paha biçilemez, bu nedenle sistemlerimizi güvence altına almaya yönelik yardımınız için minnettarız.
Ek A
Ödül kapsamına girmeyen güvenlik açığı türleri (istismar edildiğinde kritik sonuçları olmayan düşük seviyeli güvenlik açıkları dahil):
- IDOR (bu tür güvenlik açıklarına ilişkin raporlar yalnızca yüksek kritiklik düzeyi durumunda kabul edilir; kritiklik düzeyi, güvenlik açığı doğrulandığında uzmanımız tarafından belirlenir);
- Her türlü XSS güvenlik açığı, Depolanan XSS hariç (Depolanan XSS güvenlik açığı raporları, web kaynağının önemine bağlı olarak kabul edilir);
- Clickjacking;
- Güvenli Olmayan Yönlendirme URI'si;
- Dizin Listeleme Etkin (parolalar, yedeklemeler) ve Hassas verilerin ifşası (ifşa edilen verilere bağlı olarak; bu güvenlik açığına ilişkin raporlar, kritik veriler bulunması halinde kabul edilir);
- Etkin hata ayıklama modu, kritik verileri ifşa etmeyen;
- CSRF güvenlik açıkları, kritik olmayan bir işlev içinde bulunan;
- Yönetici panelinin ifşası (açık avcısı yönetici panosunu bulursa ancak hesap devralma işlemi gerçekleştiremiyor veya diğer kritik bilgilere ulaşamıyorsa);
- Kullanıcı Numaralandırma kritik verileri ifşa etmeden;
- Güvenlik Yanlış Yapılandırması, tehdidin gerçekleştiğine dair kanıt olmaması durumunda;
- Hizmet vermeyi reddetmek;
- Spam；
- Sosyal mühendislik, çalışanlara, yüklenicilere veya müşterilere yönelik;
- Mülke veya veri merkezlerine erişim elde etmeye yönelik her türlü fiziksel girişim
- Sistem sahibi;
- Otomatik araçlar ve taramalar kullanılarak oluşturulan raporlar;
- Üçüncü taraf yazılımlardaki hatalar;
- Doğrudan bir güvenlik açığına yol açmayan güvenlik üstbilgilerinin eksikliği
- SSL / TLS güven ihlali;
- Yalnızca eski veya lisanssız tarayıcı ve platform kullanıcılarını etkileyen güvenlik açıkları;
- Parola ve hesap kurtarma politikaları, sıfırlama bağlantısının son kullanma tarihi veya parola gücü gibi;
- Güncel olmayan DNS kaydı, Sistem sahibine ait olmayan bir sisteme yönlendirme.
İçerik
Ek B
Kritiklik düzeyine göre güvenlik açıklığı türleri:
Güvenlik Açığı
Düşük
Orta
Yüksek
Yol Geçişi (Path Traversal)
10
40
70
Dizin Listeleme Etkin
10
40
Güvenli Olmayan Yönlendirme URI'si
5
10
Clickjacking
5
Kaba Kuvvet Saldırısı (Brute Force)
5
SQL Enjeksiyonu (boş veritabanı, kullanışlı veritabanı)
10
40
70
XML Harici Varlık Enjeksiyonu
50
70
Yerel Dosya Dahil Etme
50
Uzaktan Kod Çalıştırma
10
50
100
Kimlik Doğrulama Atlatma
50
90
Hesap Ele Geçirme
50
90
Güvenli Olmayan Doğrudan Nesne Referansları
10
Kalıcı XSS
20-30
Yansıtmalı XSS
10-20
Sunucu Taraflı İstek
40-60
Siteler Arası İstek Sahteciliği
10-20
Yarış Durumu
10
90
Sunucu Taraflı Şablon Enjeksiyonu
20
80
Yol Geçişi (Path Traversal)
Düşük
10
Orta
40
Yüksek
70
Dizin Listeleme Etkin
Düşük
10
Orta
40
Yüksek
Güvenli Olmayan Yönlendirme URI'si
Düşük
5
Orta
10
Yüksek
Clickjacking
Düşük
5
Orta
Yüksek
Kaba Kuvvet Saldırısı (Brute Force)
Düşük
5
Orta
Yüksek
SQL Enjeksiyonu (boş veritabanı, kullanışlı veritabanı)
Düşük
10
Orta
40
Yüksek
70
XML Harici Varlık Enjeksiyonu
Düşük
Orta
50
Yüksek
70
Yerel Dosya Dahil Etme
Düşük
Orta
50
Yüksek
Uzaktan Kod Çalıştırma
Düşük
10
Orta
50
Yüksek
100
Kimlik Doğrulama Atlatma
Düşük
Orta
50
Yüksek
90
Hesap Ele Geçirme
Düşük
Orta
50
Yüksek
90
Güvenli Olmayan Doğrudan Nesne Referansları
Düşük
10
Orta
Yüksek
Kalıcı XSS
Düşük
20-30
Orta
Yüksek
Yansıtmalı XSS
Düşük
10-20
Orta
Yüksek
Sunucu Taraflı İstek
Düşük
Orta
40-60
Yüksek
Siteler Arası İstek Sahteciliği
Düşük
10-20
Orta
Yüksek
Yarış Durumu
Düşük
10
Orta
Yüksek
90
Sunucu Taraflı Şablon Enjeksiyonu
Düşük
20
Orta
Yüksek
80
Puanlar, güvenlik açığının kritiklik düzeyine göre aşağıdaki şekilde verilir:
- Düşük önem düzeyi - 0 ile 30 puan;
- Orta önem düzeyi - 31 ile 60 puan;
- Yüksek önem düzeyi - 61 ile 100 puan.
- sms-activate.ai
- hstock.org
- ipkings.io
Ödüller
Ödül miktarı, güvenlik açığının kritikliğine, istismar edilme kolaylığına ve kullanıcı verileri üzerindeki etkisine bağlıdır. Kritiklik düzeyi genellikle geliştiricilerle birlikte belirlenir ve daha uzun zaman alabilir.
Güvenlik Açığı
Ödül
Uzaktan Kod Çalıştırma (RCE)
$1500 - $5000
Yerel dosyalara erişim ve diğerleri (LFR, RFI, XXE)
$500 - $3000
Enjeksiyonlar
$500 - $3000
Siteler Arası Komut Dosyası Çalıştırma (XSS), Self-XSS hariç
$100 - $500
SSRF, kör SSRF hariç
$300 - $1000
Kör SSRF
$100 - $500
Bellek sızıntıları / IDOR'lar / Korunan kişisel veriler veya hassas kullanıcı bilgileri içeren bilgi ifşası
$70 - $1150
Diğer doğrulanmış güvenlik açıkları
Kritiklik düzeyine bağlıdır
Kullanıcı verileriyle çalışan tüm SMS-Activate uygulamaları dahildir. Uygulamalarımızı şurada bulabilirsiniz: Google Play
ve App Store
SMS-Activate adıyla
Uygulamalar
Güvenlik Açığı
Ödül
Uzaktan Kod Çalıştırma (RCE)
$1500 - $5000
Yerel dosyalara erişim ve diğerleri (LFR, RFI, XXE)
$500 - $3000
Enjeksiyonlar
$500 - $3000
SSRF, kör SSRF hariç
$300 - $1000
Kör SSRF
$100 - $500
Bellek sızıntıları / IDOR'lar / Korunan kişisel veriler veya hassas kullanıcı bilgileri içeren bilgi ifşası
$70 - $1150
Siteler Arası İstek Sahteciliği (CSRF, Flash çapraz alan istekleri, CORS)
$35 — $300
Diğer doğrulanmış güvenlik açıkları
Kritiklik düzeyine bağlıdır