SMS-ACTIVATE
ब्राउज़र
बग बाउंटी कार्यक्रम में भागीदारी के नियम
बग बाउंटी कार्यक्रम में आपका स्वागत है! आपकी भागीदारी हमारे उत्पादों और सेवाओं की सुरक्षा को बेहतर बनाने में मदद करती है। प्रभावी और नैतिक सहयोग सुनिश्चित करने के लिए कृपया निम्नलिखित नियमों से परिचित हों
पंजीकरण और सत्यापन
- पंजीकरण: कार्यक्रम में भाग लेने के लिए आपको सबसे पहले वेबसाइट पर साइन अप करना होगा sms-activate.ai आसान संचार के लिए पंजीकरण प्रक्रिया के दौरान अपना Telegram खाता प्रदान करें;
- सत्यापन: भुगतान प्राप्त करने के लिए आपको सत्यापन प्रक्रिया से गुजरना होगा। आपकी रिपोर्ट स्वीकृत होने के बाद विस्तृत निर्देश आपको Telegram के माध्यम से भेजे जाएंगे।
रिपोर्ट प्रदान करना
- नियमों का अध्ययन: अपनी रिपोर्ट जमा करने से पहले, कृपया भागीदारी के नियमों और उन कमजोरियों के प्रकारों से परिचित हों जिन्हें माना जा सकता है;
- रिपोर्टिंग फ़ॉर्म: अपनी रिपोर्ट जमा करने के लिए पेज पर दिए गए फ़ॉर्म का उपयोग करें sms-activate.ai/bugbountyForm । आपकी रिपोर्ट में कमजोरी का स्पष्ट विवरण, इसे पुन: उत्पन्न करने के चरण, सबूत (स्क्रीनशॉट, वीडियो) और इसे ठीक करने के लिए सिफारिशें शामिल होनी चाहिए;
- अतिरिक्त फ़ाइलें: यदि आवश्यक हो, तो कमजोरी की पुष्टि करने के लिए अतिरिक्त फ़ाइलें संलग्न करें;
रिपोर्ट समीक्षा प्रक्रिया
हमारे सुरक्षा विशेषज्ञ आपकी रिपोर्ट का ध्यानपूर्वक विश्लेषण करेंगे। इस प्रक्रिया में तीन महीने तक का समय लग सकता है। इस अवधि के दौरान, रिपोर्ट को निम्नलिखित स्थितियों में से एक assigned किया जा सकता है: "प्रतीक्षारत", "वर्गीकृत", "मॉडरेटर द्वारा अस्वीकृत", "अधिक जानकारी आवश्यक", और अन्य।
कमजोरियों के प्रकार
में
आपको उन कमजोरियों के प्रकारों की सूची मिलेगी जिनके लिए पुरस्कार प्राप्त करने का पात्र नहीं हैं।
में, कमजोरी के महत्व स्तर का आकलन करने के मानदंड निर्दिष्ट किए गए हैं।
सत्यापन और गोपनीयता
सत्यापन के उद्देश्य से आपके द्वारा प्रदान किया गया सभी व्यक्तिगत डेटा केवल पहचान के उद्देश्यों के लिए उपयोग किया जाएगा, और आपकी सहमति के बिना तीसरे पक्ष को प्रकट नहीं किया जाएगा। हम आपके डेटा की गोपनीयता और सुरक्षा सुनिश्चित करने के लिए अपना सर्वश्रेष्ठ प्रयास करते हैं।
भुगतान
सफल सत्यापन और कमजोरी की पुष्टि के बाद, आपको एक पुरस्कार दिया जाएगा। पुरस्कार की राशि कमजोरी के महत्व स्तर और प्रदान की गई रिपोर्ट की गुणवत्ता के आधार पर निर्धारित की जाती है।
नैतिक मानदंड
हम उम्मीद करते हैं कि प्रतिभागी जिम्मेदारी और नैतिकता के साथ कार्य करेंगे। क्षति पहुंचाने, डेटा या सिस्टम तक अनधिकृत पहुंच प्राप्त करने, या कमजोरी के ठीक होने तक उसके बारे में जानकारी फैलाने के लिए पाई गई कमजोरियों का शोषण करना अनुमत नहीं है।
निष्कर्ष
हमारे उत्पादों और सेवाओं की सुरक्षा में सुधार करने में आपके योगदान की सराहना करते हैं। आपकी भागीदारी हम सभी के लिए एक सुरक्षित डिजिटल स्पेस बनाने में मदद करती है।
हम कमजोरियों की खोज में आपको शुभकामनाएं देते हैं! आपका योगदान अमूल्य है, इसलिए हमारी प्रणालियों को सुरक्षित बनाने में आपकी मदद के लिए हम आभारी हैं।
परिशिष्ट A
ऐसी कमजोरियों के प्रकार जो पुरस्कार के विषय नहीं हैं (निम्न-स्तरीय कमजोरियां जिनके शोषण होने पर गंभीर परिणाम नहीं होते, जिसमें शामिल हैं):
- IDOR (इस प्रकार की कमजोरी पर रिपोर्ट केवल उच्च स्तर की गंभीरता के मामले में स्वीकार की जाती हैं; गंभीरता का स्तर कमजोरी की पुष्टि होने पर हमारे विशेषज्ञ द्वारा निर्धारित किया जाता है);
- किसी भी प्रकार की XSS कमजोरियां, सिवाय Stored XSS के (Stored XSS कमजोरी रिपोर्ट वेब संसाधन के महत्व के आधार पर स्वीकार की जाती हैं);
- क्लिकजैकिंग;
- असुरक्षित रीडायरेक्ट URI;
- डायरेक्टरी लिस्टिंग सक्षम (पासवर्ड, बैकअप) और संवेदनशील डेटा का खुलासा (प्रकट किए गए डेटा के आधार पर; यदि महत्वपूर्ण डेटा पाया जाता है तो इस कमजोरी पर रिपोर्ट स्वीकार की जाती हैं);
- डीबग मोड सक्षम, जो महत्वपूर्ण डेटा का खुलासा नहीं करता;
- CSRF कमजोरियां, जो एक ऐसे फ़ंक्शन के भीतर पाई गई हैं जो महत्वपूर्ण नहीं है;
- एडमिन पैनल का खुलासा (यदि बग हंटर एडमिन डैशबोर्ड ढूंढ लेता है, लेकिन खाता टेकओवर करने या अन्य महत्वपूर्ण जानकारी प्राप्त करने में असमर्थ होता है);
- उपयोगकर्ता एनुमरेशन बिना किसी महत्वपूर्ण डेटा के खुलासे के;
- सुरक्षा मिस्कॉन्फ़िगरेशन, यदि यह साबित करने का कोई सबूत नहीं है कि खतरा वास्तविक हुआ है;
- सेवाएं प्रदान करने से इनकार करें;
- स्पैम;
- सोशल इंजीनियरिंग, जो कर्मचारियों, ठेकेदारों या ग्राहकों को लक्षित करता है;
- संपत्ति या डेटा सेंटर तक पहुँचने के लिए कोई भी भौतिक प्रयास
- सिस्टम का मालिक;
- स्वचालित टूल और स्कैन का उपयोग करके बनाई गई रिपोर्ट;
- तृतीय-पक्ष सॉफ़्टवेयर में त्रुटियाँ;
- सुरक्षा हेडर की अनुपस्थिति जो सीधे किसी कमजोरी का कारण नहीं बनते;
- SSL / TLS ट्रस्ट उल्लंघन;
- कमजोरियाँ जो केवल पुराने या बिना लाइसेंस वाले ब्राउज़र और प्लेटफ़ॉर्म के उपयोगकर्ताओं को प्रभावित करती हैं;
- पासवर्ड और खाता पुनर्प्राप्ति नीतियाँ, जैसे रीसेट लिंक की समाप्ति तिथि या पासवर्ड की मजबूती;
- पुराना DNS रिकॉर्ड, जो उस सिस्टम की ओर इशारा करता है जो सिस्टम मालिक का नहीं है।
विषय सूची
परिशिष्ट B
गंभीरता के स्तर के अनुसार कमजोरियों के प्रकार:
कमजोरी
कम
मध्यम
उच्च
पाथ ट्रावर्सल
10
40
70
डायरेक्टरी लिस्टिंग सक्षम
10
40
असुरक्षित रीडायरेक्ट URI
5
10
क्लिकजैकिंग
5
ब्रूट फोर्स
5
SQL इंजेक्शन (खाली डेटाबेस, उपयोगी डेटाबेस)
10
40
70
XML बाहरी इकाई इंजेक्शन
50
70
स्थानीय फ़ाइल समावेशन
50
रिमोट कोड निष्पादन
10
50
100
प्रमाणीकरण बायपास
50
90
खाता अधिग्रहण
50
90
असुरक्षित प्रत्यक्ष वस्तु संदर्भ
10
स्टोर्ड XSS
20-30
रिफ्लेक्टेड XSS
10-20
सर्वर-साइड अनुरोध
40-60
क्रॉस-साइट अनुरोध जालसाजी
10-20
रेस कंडीशन
10
90
सर्वर-साइड टेम्पलेट इंजेक्शन
20
80
पाथ ट्रावर्सल
कम
10
मध्यम
40
उच्च
70
डायरेक्टरी लिस्टिंग सक्षम
कम
10
मध्यम
40
उच्च
असुरक्षित रीडायरेक्ट URI
कम
5
मध्यम
10
उच्च
क्लिकजैकिंग
कम
5
मध्यम
उच्च
ब्रूट फोर्स
कम
5
मध्यम
उच्च
SQL इंजेक्शन (खाली डेटाबेस, उपयोगी डेटाबेस)
कम
10
मध्यम
40
उच्च
70
XML बाहरी इकाई इंजेक्शन
कम
मध्यम
50
उच्च
70
स्थानीय फ़ाइल समावेशन
कम
मध्यम
50
उच्च
रिमोट कोड निष्पादन
कम
10
मध्यम
50
उच्च
100
प्रमाणीकरण बायपास
कम
मध्यम
50
उच्च
90
खाता अधिग्रहण
कम
मध्यम
50
उच्च
90
असुरक्षित प्रत्यक्ष वस्तु संदर्भ
कम
10
मध्यम
उच्च
स्टोर्ड XSS
कम
20-30
मध्यम
उच्च
रिफ्लेक्टेड XSS
कम
10-20
मध्यम
उच्च
सर्वर-साइड अनुरोध
कम
मध्यम
40-60
उच्च
क्रॉस-साइट अनुरोध जालसाजी
कम
10-20
मध्यम
उच्च
रेस कंडीशन
कम
10
मध्यम
उच्च
90
सर्वर-साइड टेम्पलेट इंजेक्शन
कम
20
मध्यम
उच्च
80
कमजोरी की गंभीरता के स्तर के अनुसार अंक इस प्रकार दिए जाते हैं:
- महत्व का निम्न स्तर - 0 से 30 अंक;
- महत्व का मध्यम स्तर - 31 से 60 अंक;
- महत्व का उच्च स्तर - 61 से 100 अंक।
- sms-activate.ai
- hstock.org
- ipkings.io
पुरस्कार
पुरस्कार की राशि कमजोरी की गंभीरता, इसके शोषण की आसानी और उपयोगकर्ता डेटा पर प्रभाव पर निर्भर करती है। गंभीरता का स्तर अक्सर डेवलपर्स के साथ मिलकर तय किया जाता है और इसमें अधिक समय लग सकता है।
कमजोरी
इनाम
रिमोट कोड एक्जीक्यूशन (RCE)
$1500 - $5000
स्थानीय फ़ाइलों तक पहुँच और अन्य (LFR, RFI, XXE)
$500 - $3000
इंजेक्शन
$500 - $3000
क्रॉस-साइट स्क्रिप्टिंग (XSS), सेल्फ-XSS को छोड़कर
$100 - $500
SSRF, ब्लाइंड को छोड़कर
$300 - $1000
ब्लाइंड SSRF
$100 - $500
मेमोरी लीक / IDOR / संरक्षित व्यक्तिगत डेटा या संवेदनशील उपयोगकर्ता जानकारी का खुलासा
$70 - $1150
अन्य पुष्ट कमजोरियाँ
गंभीरता पर निर्भर करता है
उपयोगकर्ता डेटा से जुड़े सभी SMS-Activate ऐप्स शामिल हैं। हमारे एप्लिकेशन आपको यहाँ मिल सकते हैं: Google Play
और App Store
SMS-Activate नाम से
ऐप्स
कमजोरी
इनाम
रिमोट कोड एक्जीक्यूशन (RCE)
$1500 - $5000
स्थानीय फ़ाइलों तक पहुँच और अन्य (LFR, RFI, XXE)
$500 - $3000
इंजेक्शन
$500 - $3000
SSRF, ब्लाइंड को छोड़कर
$300 - $1000
ब्लाइंड SSRF
$100 - $500
मेमोरी लीक / IDOR / संरक्षित व्यक्तिगत डेटा या संवेदनशील उपयोगकर्ता जानकारी का खुलासा
$70 - $1150
क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF, फ्लैश क्रॉसडोमेन रिक्वेस्ट, CORS)
$35 — $300
अन्य पुष्ट कमजोरियाँ
गंभीरता पर निर्भर करता है