इन्फ्रास्ट्रक्चर, वेब सेवा, SMS-Activate अॅप्स

बग बाउंटी कार्यक्रमात सहभागाचे नियम

नोंदणी आणि पडताळणी

• नोंदणी: कार्यक्रमात सहभागी होण्यासाठी आपल्याला प्रथम वेबसाइटवर साइन अप करावे लागेल. sms-activate.ai सुलभ संवादासाठी नोंदणी प्रक्रियेदरम्यान आपला Telegram खाते द्या;
• पडताळणी: पेमेंट्स मिळवण्यासाठी आपल्याला पडताळणी प्रक्रियेतून जावे लागेल. आपला अहवाल मंजूर झाल्यावर Telegram द्वारे तपशीलवार सूचना पाठवल्या जातील.

अहवाल सादर करणे

• नियमांचा अभ्यास: आपला अहवाल सबमिट करण्यापूर्वी, कृपया सहभागाचे नियम आणि विचारात घेतल्या जाऊ शकणाऱ्या कमतरतांच्या प्रकारांसह स्वतःला परिचित करा;
• अहवाल फॉर्म: आपला अहवाल सबमिट करण्यासाठी पृष्ठावरील फॉर्म वापरा sms-activate.ai/bugbountyForm आपल्या अहवालात कमतरतेचे स्पष्ट वर्णन, ती पुनरुत्पादित करण्याच्या पायऱ्या, पुरावा (स्क्रीनशॉट्स, व्हिडिओ) आणि ती दुरुस्त करण्यासाठी शिफारसी असणे आवश्यक आहे;
• अतिरिक्त फाइल्स: आवश्यक असल्यास कमतरता सिद्ध करण्यासाठी अतिरिक्त फाइल्स जोडा;

अहवाल पुनरावलोकन प्रक्रिया

कमतरतांचे प्रकार

पडताळणी आणि गोपनीयता

पेमेंट्स

नैतिक नियम

परिशिष्ट A

• IDOR (या प्रकारच्या कमजोरींबाबतचे अहवाल फक्त उच्च गंभीरता असल्यास स्वीकारले जातात; कमजोरी पुष्टी झाल्यावर आमच्या तज्ञांद्वारे गंभीरतेचे स्तर निश्चित केले जाते);
• कोणत्याही प्रकारच्या XSS कमजोरी, फक्त Stored XSS वगळता (Stored XSS कमजोरींबाबतचे अहवाल वेब संसाधनाच्या महत्त्वानुसार स्वीकारले जातात);
• क्लिकजॅकिंग;
• असुरक्षित रीडायरेक्ट URI;
• डायरेक्टरी लिस्टिंग सक्षम (पासवर्ड, बॅकअप) आणि संवेदनशील डेटा उघडकीस येणे (उघडकीस आलेल्या डेटावर अवलंबून; जर गंभीर डेटा सापडला तर या कमतरतेबाबतचे अहवाल स्वीकारले जातात);
• डीबग मोड सक्षम, जो गंभीर डेटा उघड करत नाही;
• CSRF कमतरता, जी अगंभीर फंक्शनमध्ये आढळली आहे;
• प्रशासकीय पॅनेलचे उघडकीस आणणे (जर बग हंटरला प्रशासकीय डॅशबोर्ड सापडले, परंतु तो खाते ताब्यात घेऊ शकत नाही किंवा इतर महत्त्वपूर्ण माहिती मिळवू शकत नाही);
• वापरकर्त्यांची यादी तयार करणे (User Enumeration) कोणतीही गंभीर डेटा लीक न करता;
• सुरक्षा सेटिंग्जमधील चुका, जर धोक्याची अंमलबजावणी झाल्याचा कोणताही पुरावा नसेल;
• सेवा देण्यास नकार देणे;
• स्पॅम；
• सामाजिक अभियांत्रिकी (Social engineering), कर्मचारी, कंत्राटदार किंवा ग्राहकांना लक्ष्य करून;
• मालमत्ता किंवा डेटा सेंटरमध्ये प्रवेश मिळवण्यासाठी कोणतेही भौतिक प्रयत्न
• सिस्टमचा मालक;
• स्वयंचलित साधने आणि स्कॅन्स वापरून तयार केलेला अहवाल;
• तृतीय-पक्ष सॉफ्टवेअरमधील त्रुटी;
• सुरक्षा हेडर्सचा अभाव जे थेट असुरक्षिततेकडे नेत नाहीत;
• SSL / TLS विश्वासार्हतेचे उल्लंघन;
• केवळ जुन्या किंवा बिनापरवाना असलेल्या ब्राउझर आणि प्लॅटफॉर्मच्या वापरकर्त्यांना प्रभावित करणाऱ्या असुरक्षितता;
• पासवर्ड आणि खाते पुनर्प्राप्ती धोरणे, जसे की रीसेट लिंकची समाप्ती तारीख किंवा पासवर्डची ताकद;
• कालबाह्य DNS रेकॉर्ड, अशा सिस्टमकडे निर्देशित करतो जी सिस्टमच्या मालकाची नाही.