Infraestructura, servicios web y aplicaciones de SMS-Activate

Normas de participación en el programa Bug Bounty

Registro y verificación

• Registro: para participar en el programa, primero debes registrarte en el sitio web; sms-activate.ai Indica tu cuenta de Telegram durante el proceso de registro para facilitar la comunicación;
• Verificación: Debes completar el proceso de verificación para recibir los pagos. Una vez aprobado tu informe, te enviaremos instrucciones detalladas a través de Telegram.

Envío de informes

• Estudio de las normas: Antes de enviar tu informe, familiarízate con las normas de participación y los tipos de vulnerabilidades que pueden considerarse;
• Formulario de informe: utiliza el formulario de la página sms-activate.ai/bugbountyForm para enviar tu informe. Tu informe debe contener una descripción clara de la vulnerabilidad, los pasos para reproducirla, pruebas (capturas de pantalla, vídeos) y recomendaciones para solucionarla;
• Archivos adicionales: adjunta archivos adicionales para confirmar la vulnerabilidad si es necesario;

Proceso de revisión de informes

Tipos de vulnerabilidades

Verificación y privacidad

Pagos

Normas éticas

el Apéndice A

• IDOR (los informes sobre este tipo de vulnerabilidad se aceptan solo en caso de un alto nivel de criticidad; el nivel de criticidad lo determina nuestro especialista cuando se confirma la vulnerabilidad);
• Cualquier tipo de vulnerabilidades XSS, excepto Stored XSS (los informes de vulnerabilidad Stored XSS se aceptan dependiendo de la importancia del recurso web);
• Clickjacking;
• URI de redirección insegura;
• Listado de directorios habilitado (contraseñas, copias de seguridad) y Exposición de datos sensibles (dependiendo de los datos revelados; los informes sobre esta vulnerabilidad se aceptan si se encuentran datos críticos);
• Modo de depuración habilitado, que no divulgue datos críticos;
• Vulnerabilidades CSRF, encontradas dentro de una función que no es crítica;
• Divulgación del panel de administración (si el cazador de errores encuentra el panel de administración, pero no puede realizar la toma de control de la cuenta u obtener otra información crítica);
• Enumeración de usuarios sin revelar datos críticos;
• Configuración incorrecta de seguridad, en caso de que no haya evidencia de que la amenaza se haya materializado;
• Negarse a prestar servicios;
• Spam；
• Ingeniería social, dirigida a empleados, contratistas o clientes;
• Cualquier intento físico de acceder a propiedades o centros de datos
• Propietario del sistema;
• Informe creado mediante herramientas automatizadas y escaneos;
• Errores en software de terceros;
• Ausencia de encabezados de seguridad que no conduzcan directamente a una vulnerabilidad;
• Violación de confianza SSL / TLS;
• Vulnerabilidades que afectan solo a usuarios de navegadores y plataformas obsoletos o sin licencia;
• Políticas de recuperación de contraseñas y cuentas, como la fecha de caducidad de un enlace de restablecimiento o la fortaleza de la contraseña;
• Registro DNS obsoleto, que apunta a un sistema que no pertenece al propietario del sistema.