Infrastruktur, Layanan Web, aplikasi SMS-Aktifkan

Aturan partisipasi dalam program Bug Bounty

Pendaftaran dan Verifikasi

• Pendaftaran: untuk berpartisipasi dalam program ini, Anda harus terlebih dahulu mendaftar ke situs web sms-aktifkan.guru Berikan akun Telegram Anda selama proses pendaftaran untuk kemudahan komunikasi;
• Verifikasi: Anda harus melalui proses verifikasi untuk menerima pembayaran. Instruksi terperinci akan dikirimkan kepada Anda melalui Telegram setelah laporan Anda disetujui.

Memberikan laporan

• Mempelajari Aturan: Sebelum mengirimkan laporan Anda, harap pahami aturan partisipasi dan jenis kerentanan yang dapat dipertimbangkan;
• Formulir Pelaporan: gunakan formulir di halaman sms-activate.id/bugbountyForm untuk menyampaikan laporan Anda. Laporan Anda harus berisi deskripsi yang jelas tentang kerentanan, langkah-langkah untuk mereproduksinya, bukti (tangkapan layar, video) dan rekomendasi untuk memperbaikinya;
• File tambahan: lampirkan file tambahan untuk mengonfirmasi kerentanan jika perlu;

Proses peninjauan laporan

Jenis kerentanan

Verifikasi dan privasi

Pembayaran

Norma etika

Lampiran A

• KERING (laporan mengenai jenis kerentanan ini hanya diterima jika tingkat kekritisan tinggi; tingkat kekritisan ditentukan oleh spesialis kami ketika kerentanan terkonfirmasi);
• Segala jenis kerentanan XSS, kecuali untuk XSS Tersimpan (Laporan kerentanan XSS Tersimpan diterima tergantung pada pentingnya sumber daya web);
• Pembajakan klik;
• URI Pengalihan Tidak Aman;
• Daftar Direktori Diaktifkan (kata sandi, cadangan) dan Paparan data sensitif (tergantung pada data yang diungkapkan; laporan mengenai kerentanan ini diterima jika data penting ditemukan);
• Mode debug diaktifkan, itu tidak mengungkapkan data penting;
• kerentanan CSRF, ditemukan dalam suatu fungsi yang tidak kritis;
• Pengungkapan panel admin (jika pemburu bug menemukan dasbor admin, tetapi tidak dapat melakukan pengambilalihan akun atau memperoleh informasi penting lainnya);
• Pencacahan Pengguna tanpa mengungkapkan data penting;
• Kesalahan Konfigurasi Keamanan, dalam hal tidak ada bukti bahwa ancaman telah terjadi;
• Menolak untuk memberikan layanan;
• Spam;
• Rekayasa sosial, ditujukan untuk karyawan, kontraktor atau pelanggan;
• Segala upaya fisik untuk mendapatkan akses ke properti atau pusat data
• Pemilik sistem;
• Laporan dibuat dengan menggunakan alat dan pemindaian otomatis;
• Kesalahan pada perangkat lunak pihak ketiga;
• Tidak adanya header keamanan hal tersebut tidak secara langsung mengarah pada kerentanan;
• Pelanggaran kepercayaan SSL/TLS;
• Kerentanan hanya memengaruhi pengguna browser dan platform yang sudah ketinggalan zaman atau tidak berlisensi;
• Kebijakan pemulihan kata sandi dan akun, misalnya tanggal habis masa berlaku tautan penyetelan ulang atau kekuatan kata sandi;
• Catatan DNS kedaluwarsa, menunjuk ke sistem yang bukan milik pemilik sistem.