SMS-ACTIVATE
براوزر
د باګ بانتي (Bug Bounty) پروګرام کې د ګډون قواعد
د باګ بانتي پروګرام ته ښه راغلاست! ستاسو ګډون زموږ د محصولاتو او خدماتو امنیت ته وده ورکوي. مهرباني وکړئ، د اغیزمن او اخلاقي همکارۍ لپاره له لاندې قواعدو سره آشنا شئ.
ثبت نام او تایید
- ثبت نام: د پروګرام کې د ګډون لپاره، تاسو باید لومړی په ویب سایټ کې ثبت نام وکړئ. sms-activate.ai د اسانه اړیکې لپاره، د ثبت نام پروسې پر مهال خپل Telegram حساب وړاندې کړئ؛
- تایید: د پیسو ترلاسه کولو لپاره، تاسو باید د تایید پروسه بشپړه کړئ. کله چې ستاسو راپور ومنل شي، نو تفصيلي لارښوونې به ستاسو Telegram له لارې واستول شي.
راپورونه وړاندې کول
- د قواعدو مطالعه: مخکې له دې چې خپل راپور وسپارئ، مهرباني وکړئ د ګډون له قواعدو او د هغو نیمګړتیاوو له ډولونو سره چې په پام کې نیول کیږي، آشنا شئ؛
- د راپور فورمه: خپل راپور د سپارلو لپاره په صفحه کې موجوده فورمه وکاروئ sms-activate.ai/bugbountyForm . ستاسو راپور باید د نیمګړتیا روښانه توضیحات، د بیا تولید ګامونه، شواهد (سکرین شاټونه، ویډیوګانې) او د هغې د حل لارې وړاندیزونه ولري؛
- اضافي فایلونه: که اړینه وي، د نیمګړتیا د تایید لپاره اضافي فایلونه ضمیمه کړئ؛
د راپورونو بیاکتنه پروسه
ستاسو راپور به زموږ د امنیتي متخصصینو له خوا په دقت سره تحلیل شي. دا پروسه تر درې میاشتو پورې وخت نیسي. په دې موده کې، راپور ته یو له لاندې حالتونو څخه ورکول کیدی شي: "انتظار"، "ترتیب شوی"، "د مدیر له خوا رد شوی"، "نورو معلوماتو ته اړتیا ده"، او نور.
د نیمګړتیاوو ډولونه
په
کې، تاسو به د نیمګړتیاوو هغه ډولونه ومومئ چې د جایزې ترلاسه کولو وړ نه دي. په
کې، د نیمګړتیا د اهمیت کچې د ارزونې معیارونه مشخص شوي دي.
تایید او محرمیت
ستاسو لخوا د تایید موخو لپاره چمتو شوي ټول شخصي معلومات به یوازې د پیژندنې لپاره وکارول شي، او پرته له ستاسو هوکړې به دریمو غاړو ته ونه ښودل شي. موږ خپله هره هڅه کوو ترڅو ستاسو د معلوماتو محرمیت او امنیت تضمین کړو.
پرداختونه
له بریالي تایید او د نیمګړتیا د تصدیق وروسته، تاسو ته یوه جایزه وړاندیز کیږي. د جایزې اندازه د نیمګړتیا د اهمیت کچې او د وړاندې شوي راپور د کیفیت پر بنسټ معلومیږي.
اخلاقي معیارونه
موږ تمه لرو چې ګډونوال په مسؤله او اخلاقي توګه عمل وکړي. د زیان رسولو، غیر مجاز لاسرسي ترلاسه کولو یا د معلوماتو او سیسټمونو ته د لاسرسي موندلو، یا د نیمګړتیا اړوند معلومات خپرول تر هغه چې اصلاح شي، اجازه نلري.
پایله
موږ ستاسو مرسته زموږ د محصولاتو او خدماتو د امنیت ښه کولو کې ارزښتمنه ګڼو. ستاسو ګډون د ټولو لپاره یو خوندي دیجیټال چاپیریال جوړولو کې مرسته کوي.
موږ هیله لرو چې تاسو په نیمګړتیاوو موندلو کې بریالي شئ! ستاسو مرسته بې قیمته ده، نو موږ ستاسو د مرستې منندوی یو چې زموږ سیسټمونه خوندي ساتي.
ضمیمه A
د نیمګړتیاوو ډولونه چې د انعام موضوع نه دي (ټیټې کچې نیمګړتیاوې چې که exploite شي نو بحراني پایلې نلري، په شمول):
- IDOR (د دې ډول نیمګړتیا راپورونه یوازې د لوړ بحراني کچې په صورت کې منل کیږي؛ د بحراني کچه زموږ د متخصص لخوا ټاکل کیږي کله چې نیمګړتیا تایید شي)؛
- د XSS نیمګړتیاوو هر ډول، پرته له Stored XSS (د Stored XSS نیمګړتیا راپورونه د ویب سرچینې د اهمیت پر بنسټ منل کیږي)؛
- Clickjacking؛
- ناامن Redirect URI؛
- فعال شوی Directory Listing (پاسورډونه، بیک اپونه) او حساسو معلوماتو افشا کیدل (د افشا شویو معلوماتو پر بنسټ؛ د دې نیمګړتیا راپورونه منل کیږي که چیرې بحراني معلومات وموندل شي)؛
- فعال شوی debug حالت، چې بحراني معلومات نه افشا کوي؛
- CSRF نیمګړتیاوې، چې په یوه غیر بحراني فنکشن کې موندل شوي وي؛
- د ادمین پینل افشا کیدل (که چیرې باګ هنټر ادمین ډشبورډ ومومي، مګر د اکاؤنټ نیولو یا نورو بحراني معلوماتو ترلاسه کولو توان ونلري)؛
- د کارونکو شمیرل (User Enumeration) پرته له دې چې بحراني معلومات افشا شي؛
- د امنیت ناسم تنظیمات، په دې صورت کې چې د تهدید د تطبیق شوي ثبوت شتون ونلري؛
- د خدماتو ورکولو څخه انکار؛
- سپام؛
- ټولنیز انجینري، چې د کارمندانو، قرارداد لرونکو یا مشتریانو په لور وي؛
- هر فزیکي هڅه چې د ملکیت یا ډاټا سینټرونو ته لاسرسی ومومي
- د سیسټم مالک؛
- راپور چې د اتوماتیک وسیلو او سکینونو په کارولو سره جوړ شوی وي؛
- دریم ګوني سافټویر کې تېروتنې؛
- د امنیتي هیډرونو نشتوالی چې مستقیمًا نیمګړتیا ته نه رسوي؛
- د SSL / TLS اعتماد سرغړونه؛
- نیمګړتیاوې چې یوازې د زاړه یا غیر مجاز براوزرونو او پلیټفارمونو کارونکو اغیزمنوي؛
- د پاسورډ او اکاؤنټ بیرته ترلاسه کولو پالیسۍ، لکه د ریسیټ لینک د پای تاریخ یا د پاسورډ قوت؛
- د DNS زوړ ریکارډ، چې یو سیسټم ته اشاره کوي چې د سیسټم مالک پورې اړه نلري.
منځپانګه
ضمیمه B
د زیانونو ډولونه د بحراني کچې له مخې:
زیان
ټیټ
منځنی
لوړ
د لارې تیریدل (Path Traversal)
10
40
70
فعال شوی Directory Listing
10
40
ناامن ریډایرکټ URI
5
10
کلیک جیکنګ (Clickjacking)
5
بروت فورس (Brute Force)
5
SQL انجیکشن (خالي ډیټابیس، ګټور ډیټابیس)
10
40
70
XML بهرنۍ انتیتي انجیکشن
50
70
محلي فایل شاملول (LFI)
50
له لرې کوډ اجرا کول (RCE)
10
50
100
د تصدیق تیریدل (Authentication Bypass)
50
90
د اکاؤنټ نیول
50
90
ناامن مستقیم شیانو حوالې (IDOR)
10
ذخیره شوی XSS
20-30
انعکاس شوی XSS
10-20
سرور خوا ته غوښتنه (SSRF)
40-60
د سایټونو ترمنځ د غوښتنې جعل (CSRF)
10-20
د سیالۍ حالت (Race Condition)
10
90
سرور خوا ته د نمونې انجیکشن
20
80
د لارې تیریدل (Path Traversal)
ټیټ
10
منځنی
40
لوړ
70
فعال شوی Directory Listing
ټیټ
10
منځنی
40
لوړ
ناامن ریډایرکټ URI
ټیټ
5
منځنی
10
لوړ
کلیک جیکنګ (Clickjacking)
ټیټ
5
منځنی
لوړ
بروت فورس (Brute Force)
ټیټ
5
منځنی
لوړ
SQL انجیکشن (خالي ډیټابیس، ګټور ډیټابیس)
ټیټ
10
منځنی
40
لوړ
70
XML بهرنۍ انتیتي انجیکشن
ټیټ
منځنی
50
لوړ
70
محلي فایل شاملول (LFI)
ټیټ
منځنی
50
لوړ
له لرې کوډ اجرا کول (RCE)
ټیټ
10
منځنی
50
لوړ
100
د تصدیق تیریدل (Authentication Bypass)
ټیټ
منځنی
50
لوړ
90
د اکاؤنټ نیول
ټیټ
منځنی
50
لوړ
90
ناامن مستقیم شیانو حوالې (IDOR)
ټیټ
10
منځنی
لوړ
ذخیره شوی XSS
ټیټ
20-30
منځنی
لوړ
انعکاس شوی XSS
ټیټ
10-20
منځنی
لوړ
سرور خوا ته غوښتنه (SSRF)
ټیټ
منځنی
40-60
لوړ
د سایټونو ترمنځ د غوښتنې جعل (CSRF)
ټیټ
10-20
منځنی
لوړ
د سیالۍ حالت (Race Condition)
ټیټ
10
منځنی
لوړ
90
سرور خوا ته د نمونې انجیکشن
ټیټ
20
منځنی
لوړ
80
د زیان د بحراني کچې سره سم نقطې په لاندې ډول ورکول کیږي:
- د اهمیت ټیټه کچه - له 0 څخه تر 30 نقطو پورې؛
- د اهمیت منځنۍ کچه - له 31 څخه تر 60 نقطو پورې؛
- د اهمیت لوړه کچه - له 61 څخه تر 100 نقطو پورې.
- sms-activate.ai
- hstock.org
- ipkings.io
انعامونه
د انعام اندازه د زیان د بحراني کچې، د استخراج اسانتیا، او د کارونکو ډیټا باندې اغیزې پورې اړه لري. د بحراني کچې پرېکړه اکثرا د پرمختیا کونکو سره یوځای کیږي او ممکن ډیر وخت ونیسي.
زیان
انعام
له لرې کوډ اجرا کول (RCE)
$1500 - $5000
د محلي فایلونو لاسرسی او نور (LFR, RFI, XXE)
$500 - $3000
انجیکشنونه
$500 - $3000
د سایټونو ترمنځ سکریپټینګ (XSS)، پرته له Self-XSS
$100 - $500
SSRF، پرته له blind څخه
$300 - $1000
بلاینډ SSRF
$100 - $500
د حافظې لیکونه / IDORs / د خوندي شوي شخصي معلوماتو یا حساس کارن معلوماتو افشا کول
$70 - $1150
نور تایید شوي زیانمنۍ
په اهمیت پورې اړه لري
ټول هغه SMS-Activate اپلیکیشنونه چې د کارن معلوماتو سره کار کوي شامل دي. زموږ غوښتنلیکونه موندل کیږي په Google Play
او App Store
د SMS-Activate نوم لاندې
اپلیکیشنونه
زیان
انعام
له لرې کوډ اجرا کول (RCE)
$1500 - $5000
د محلي فایلونو لاسرسی او نور (LFR, RFI, XXE)
$500 - $3000
انجیکشنونه
$500 - $3000
SSRF، پرته له blind څخه
$300 - $1000
بلاینډ SSRF
$100 - $500
د حافظې لیکونه / IDORs / د خوندي شوي شخصي معلوماتو یا حساس کارن معلوماتو افشا کول
$70 - $1150
د سایټونو ترمنځ د غوښتنو جعل (CSRF، فلش کراس ډومین غوښتنې، CORS)
$35 — $300
نور تایید شوي زیانمنۍ
په اهمیت پورې اړه لري