SMS-ACTIVATE
เบราว์เซอร์
กฎการเข้าร่วมโปรแกรม Bug Bounty
ยินดีต้อนรับสู่โปรแกรม Bug Bounty! การมีส่วนร่วมของคุณช่วยยกระดับความปลอดภัยของผลิตภัณฑ์และบริการของเรา กรุณาศึกษากฎต่อไปนี้เพื่อให้การทำงานร่วมกันเป็นไปอย่างมีประสิทธิภาพและถูกต้องตามจริยธรรม
การลงทะเบียนและการยืนยันตัวตน
- การลงทะเบียน: ในการเข้าร่วมโปรแกรม คุณต้องสมัครสมาชิกบนเว็บไซต์ก่อน sms-activate.ai ระบุบัญชี Telegram ของคุณระหว่างขั้นตอนการลงทะเบียนเพื่อความสะดวกในการติดต่อสื่อสาร;
- การยืนยันตัวตน: คุณต้องผ่านกระบวนการยืนยันตัวตนเพื่อรับเงินรางวัล คำแนะนำโดยละเอียดจะถูกส่งไปยังคุณผ่าน Telegram เมื่อรายงานของคุณได้รับการอนุมัติ
การส่งรายงาน
- การศึกษากฎกติกา: ก่อนส่งรายงาน กรุณาศึกษากฎการเข้าร่วมและประเภทของช่องโหว่ที่สามารถพิจารณาได้;
- แบบฟอร์มรายงาน: ใช้แบบฟอร์มบนหน้าเว็บ sms-activate.ai/bugbountyForm เพื่อส่งรายงานของคุณ รายงานควรมีคำอธิบายช่องโหว่อย่างชัดเจน ขั้นตอนการทำซ้ำ หลักฐาน (ภาพหน้าจอ วิดีโอ) และคำแนะนำในการแก้ไข;
- ไฟล์เพิ่มเติม: แนบไฟล์เพิ่มเติมเพื่อยืนยันช่องโหว่หากจำเป็น;
กระบวนการตรวจสอบรายงาน
รายงานของคุณจะได้รับการวิเคราะห์อย่างละเอียดโดยผู้เชี่ยวชาญด้านความปลอดภัยของเรา กระบวนการนี้อาจใช้เวลาสูงสุดสามเดือน ในช่วงเวลาดังกล่าว รายงานอาจได้รับสถานะหนึ่งจากต่อไปนี้: "รอดำเนินการ", "จัดหมวดหมู่แล้ว", "ถูกปฏิเสธโดยผู้ดูแลระบบ", "ต้องการข้อมูลเพิ่มเติม" และอื่นๆ
ประเภทของช่องโหว่
ใน
คุณจะพบรายการประเภทช่องโหว่ที่ไม่มีสิทธิ์รับรางวัล ใน
มีการระบุเกณฑ์การประเมินระดับความสำคัญของช่องโหว่
การยืนยันตัวตนและความเป็นส่วนตัว
ข้อมูลส่วนบุคคลทั้งหมดที่คุณให้มาเพื่อการยืนยันตัวตนจะถูกใช้เพื่อวัตถุประสงค์ในการระบุตัวตนเท่านั้น และจะไม่เปิดเผยต่อบุคคลที่สามโดยไม่ได้รับความยินยอมจากคุณ เราพยายามอย่างเต็มที่เพื่อรักษาความเป็นส่วนตัวและความปลอดภัยของข้อมูลของคุณ
การชำระเงิน
หลังจากการยืนยันตัวตนสำเร็จและการยืนยันช่องโหว่ คุณจะได้รับการเสนอเงินรางวัล จำนวนเงินรางวัลจะถูกกำหนดตามระดับความสำคัญของช่องโหว่และคุณภาพของรายงานที่ให้มา
บรรทัดฐานทางจริยธรรม
เราคาดหวังให้ผู้เข้าร่วมปฏิบัติอย่างมีความรับผิดชอบและมีจริยธรรม ไม่อนุญาตให้ใช้ช่องโหว่ที่พบเพื่อสร้างความเสียหาย เข้าถึงข้อมูลหรือระบบโดยไม่ได้รับอนุญาต หรือเผยแพร่ข้อมูลเกี่ยวกับช่องโหว่จนกว่าจะมีการแก้ไข
บทสรุป
เราขอขอบคุณส่วนร่วมของคุณในการยกระดับความปลอดภัยของผลิตภัณฑ์และบริการของเรา การมีส่วนร่วมของคุณช่วยสร้างพื้นที่ดิจิทัลที่ปลอดภัยยิ่งขึ้นสำหรับพวกเราทุกคน
ขอให้คุณโชคดีในการค้นหาช่องโหว่! ส่วนร่วมของคุณมีค่ามหาศาล เราจึงรู้สึกขอบคุณสำหรับความช่วยเหลือของคุณในการรักษาความปลอดภัยให้กับระบบของเรา
ภาคผนวก ก
ประเภทของช่องโหว่ที่ไม่อยู่ในเกณฑ์รับรางวัล (ช่องโหว่ระดับต่ำที่ไม่มีผลกระทบร้ายแรงหากถูกนำไปใช้ รวมถึง):
- IDOR (รายงานช่องโหว่ประเภทนี้จะได้รับการพิจารณาเฉพาะในกรณีที่มีระดับความรุนแรงสูง โดยระดับความรุนแรงจะกำหนดโดยผู้เชี่ยวชาญของเราเมื่อยืนยันการพบช่องโหว่แล้ว);
- ช่องโหว่ XSS ทุกประเภท, ยกเว้น Stored XSS (รายงานช่องโหว่ Stored XSS จะได้รับการพิจารณาตามความสำคัญของทรัพยากรเว็บนั้น);
- Clickjacking;
- URI การเปลี่ยนเส้นทางที่ไม่ปลอดภัย;
- เปิดใช้งานการแสดงรายการไดเรกทอรี (เช่น รหัสผ่าน, ไฟล์สำรองข้อมูล) และ การเปิดเผยข้อมูลสำคัญ (ขึ้นอยู่กับประเภทข้อมูลที่เปิดเผย รายงานช่องโหว่นี้จะได้รับการพิจารณาหากพบข้อมูลที่สำคัญยิ่ง);
- โหมดดีบักที่เปิดใช้งานอยู่, แต่ไม่มีการเปิดเผยข้อมูลสำคัญ;
- ช่องโหว่ CSRF, ที่พบในฟังก์ชันซึ่งไม่มีความสำคัญต่อระบบ;
- การเปิดเผยแผงควบคุมผู้ดูแลระบบ (หากนักล่าบั๊กพบแดชบอร์ดของผู้ดูแลระบบ แต่ไม่สามารถยึดครองบัญชีหรือเข้าถึงข้อมูลสำคัญอื่น ๆ ได้);
- การระบุตัวตนผู้ใช้ (User Enumeration) โดยไม่มีการเปิดเผยข้อมูลสำคัญ;
- การตั้งค่าความปลอดภัยที่ไม่เหมาะสม, ในกรณีที่ไม่มีหลักฐานยืนยันว่าภัยคุกคามได้เกิดขึ้นจริง;
- ปฏิเสธการให้บริการ;
- สแปม；
- วิศวกรรมสังคม, ที่มุ่งเป้าไปยังพนักงาน ผู้รับเหมา หรือลูกค้า;
- ความพยายามทางกายภาพใด ๆ เพื่อเข้าถึงทรัพย์สินหรือศูนย์ข้อมูล
- เจ้าของระบบ;
- รายงานที่สร้างโดยใช้เครื่องมืออัตโนมัติและการสแกน;
- ข้อผิดพลาดในซอฟต์แวร์ของบุคคลที่สาม;
- การขาดส่วนหัวด้านความปลอดภัย (Security Headers) ซึ่งไม่นำไปสู่ช่องโหว่โดยตรง;
- การละเมิดความน่าเชื่อถือของ SSL / TLS;
- ช่องโหว่ที่ส่งผลกระทบต่อผู้ใช้เบราว์เซอร์และแพลตฟอร์มที่ล้าสมัยหรือไม่ได้รับใบอนุญาตเท่านั้น;
- นโยบายการกู้คืนรหัสผ่านและบัญชี, เช่น วันหมดอายุของลิงก์รีเซ็ตรหัสผ่าน หรือความแข็งแกร่งของรหัสผ่าน;
- ระเบียน DNS ล้าสมัย ชี้ไปยังระบบที่ไม่ได้เป็นของผู้ดูแลระบบ
สารบัญ
ภาคผนวก ข
ประเภทช่องโหว่ตามระดับความรุนแรง:
ช่องโหว่
ต่ำ
ปานกลาง
สูง
Path Traversal
10
40
70
เปิดใช้งานการแสดงรายการไดเรกทอรี
10
40
URI การเปลี่ยนเส้นทางที่ไม่ปลอดภัย
5
10
Clickjacking
5
Brute Force
5
SQL Injection (ฐานข้อมูลว่างเปล่า, ฐานข้อมูลที่มีประโยชน์)
10
40
70
XML External Entity Injection
50
70
Local File Inclusion
50
Remote Code Execution
10
50
100
Authentication Bypass
50
90
Account Takeover
50
90
Insecure Direct Object References
10
Stored XSS
20-30
Reflected XSS
10-20
Server-Side Request
40-60
Cross-Site Request Forgery
10-20
Race Condition
10
90
Server-Side Template Injection
20
80
Path Traversal
ต่ำ
10
ปานกลาง
40
สูง
70
เปิดใช้งานการแสดงรายการไดเรกทอรี
ต่ำ
10
ปานกลาง
40
สูง
URI การเปลี่ยนเส้นทางที่ไม่ปลอดภัย
ต่ำ
5
ปานกลาง
10
สูง
Clickjacking
ต่ำ
5
ปานกลาง
สูง
Brute Force
ต่ำ
5
ปานกลาง
สูง
SQL Injection (ฐานข้อมูลว่างเปล่า, ฐานข้อมูลที่มีประโยชน์)
ต่ำ
10
ปานกลาง
40
สูง
70
XML External Entity Injection
ต่ำ
ปานกลาง
50
สูง
70
Local File Inclusion
ต่ำ
ปานกลาง
50
สูง
Remote Code Execution
ต่ำ
10
ปานกลาง
50
สูง
100
Authentication Bypass
ต่ำ
ปานกลาง
50
สูง
90
Account Takeover
ต่ำ
ปานกลาง
50
สูง
90
Insecure Direct Object References
ต่ำ
10
ปานกลาง
สูง
Stored XSS
ต่ำ
20-30
ปานกลาง
สูง
Reflected XSS
ต่ำ
10-20
ปานกลาง
สูง
Server-Side Request
ต่ำ
ปานกลาง
40-60
สูง
Cross-Site Request Forgery
ต่ำ
10-20
ปานกลาง
สูง
Race Condition
ต่ำ
10
ปานกลาง
สูง
90
Server-Side Template Injection
ต่ำ
20
ปานกลาง
สูง
80
คะแนนตามระดับความรุนแรงของช่องโหว่มีดังนี้:
- ระดับความสำคัญต่ำ - 0 ถึง 30 คะแนน;
- ระดับความสำคัญปานกลาง - 31 ถึง 60 คะแนน;
- ระดับความสำคัญสูง - 61 ถึง 100 คะแนน
- sms-activate.ai
- hstock.org
- ipkings.io
รางวัล
จำนวนรางวัลขึ้นอยู่กับความรุนแรงของช่องโหว่ ความง่ายในการโจมตี และผลกระทบต่อข้อมูลผู้ใช้ ระดับความรุนแรงมักจะถูกพิจารณาร่วมกับทีมพัฒนาและอาจใช้เวลานานกว่า
ช่องโหว่
รางวัล
Remote Code Execution (RCE)
$1500 - $5000
การเข้าถึงไฟล์ในเครื่องและอื่นๆ (LFR, RFI, XXE)
$500 - $3000
Injections
$500 - $3000
Cross-Site Scripting (XSS) ยกเว้น Self-XSS
$100 - $500
SSRF ยกเว้นแบบ blind
$300 - $1000
Blind SSRF
$100 - $500
การรั่วไหลของหน่วยความจำ / IDORs / การเปิดเผยข้อมูลที่มีข้อมูลส่วนบุคคลที่ได้รับการปกป้องหรือข้อมูลผู้ใช้ที่ละเอียดอ่อน
$70 - $1150
ช่องโหว่อื่นๆ ที่ได้รับการยืนยันแล้ว
ขึ้นอยู่กับระดับความรุนแรง
แอปพลิเคชัน SMS-Activate ทั้งหมดที่เกี่ยวข้องกับข้อมูลผู้ใช้จะรวมอยู่ด้วย คุณสามารถค้นหาแอปพลิเคชันของเราได้ที่ Google Play
และ App Store
ภายใต้ชื่อ SMS-Activate
แอปพลิเคชัน
ช่องโหว่
รางวัล
Remote Code Execution (RCE)
$1500 - $5000
การเข้าถึงไฟล์ในเครื่องและอื่นๆ (LFR, RFI, XXE)
$500 - $3000
Injections
$500 - $3000
SSRF ยกเว้นแบบ blind
$300 - $1000
Blind SSRF
$100 - $500
การรั่วไหลของหน่วยความจำ / IDORs / การเปิดเผยข้อมูลที่มีข้อมูลส่วนบุคคลที่ได้รับการปกป้องหรือข้อมูลผู้ใช้ที่ละเอียดอ่อน
$70 - $1150
Cross-Site Request Forgery (CSRF, คำขอข้ามโดเมนของ Flash, CORS)
$35 — $300
ช่องโหว่อื่นๆ ที่ได้รับการยืนยันแล้ว
ขึ้นอยู่กับระดับความรุนแรง