Infraestrutura, serviços Web, aplicativos ativados por SMS

Regras de participação no programa Bug Bounty

Registro e Verificação

• Cadastro: para participar do programa você primeiro precisa se cadastrar no site sms-ativar.guru Forneça sua conta Telegram durante o processo de registro para facilitar a comunicação;
• Verificação: Você deve passar pelo processo de verificação para receber pagamentos. Instruções detalhadas serão enviadas a você via Telegram assim que seu relatório for aprovado.

Fornecendo relatórios

• Estudando as regras: Antes de enviar seu relato, familiarize-se com as regras de participação e os tipos de vulnerabilidades que podem ser consideradas;
• Formulário de relatório: use o formulário na página sms-activate.pt/bugbountyForm para enviar seu relatório. Seu relatório deve conter uma descrição clara da vulnerabilidade, etapas para reproduzi-la, evidências (capturas de tela, vídeos) e recomendações para correção;
• Arquivos adicionais: anexe arquivos adicionais para confirmar a vulnerabilidade, se necessário;

Revisão do processo de relatórios

Tipos de vulnerabilidades

Verificação e privacidade

Pagamentos

Normas éticas

Apêndice A

• SECO (relatórios sobre este tipo de vulnerabilidade são aceitos apenas em caso de alto nível de criticidade; o nível de criticidade é determinado pelo nosso especialista quando a vulnerabilidade é confirmada);
• Qualquer tipo de vulnerabilidade XSS, exceto para Stored XSS (relatórios de vulnerabilidade de Stored XSS são aceitos dependendo da importância do recurso web);
• Clickjacking;
• URI de redirecionamento inseguro;
• Listagem de diretório ativada (senhas, backups) e Exposição de dados confidenciais (dependendo dos dados divulgados; relatórios sobre esta vulnerabilidade são aceitos se forem encontrados dados críticos);
• Modo de depuração ativado, que não divulga dados críticos;
• Vulnerabilidades CSRF, encontrado dentro de uma função que não é crítica;
• Divulgação do painel de administração (se o caçador de bugs encontrar o painel de administração, mas não conseguir assumir o controle da conta ou obter outras informações críticas);
• Enumeração de usuários sem divulgação de dados críticos;
• Configuração incorreta de segurança, caso não haja provas de que a ameaça se concretizou;
• Recusar-se a prestar serviços;
• Spam;
• Engenharia social, dirigido a funcionários, prestadores de serviços ou clientes;
• Quaisquer tentativas físicas de obter acesso a propriedades ou data centers
• Proprietário do sistema;
• Relatório criado usando ferramentas e verificações automatizadas;
• Erros em software de terceiros;
• Ausência de cabeçalhos de segurança que não levam diretamente a uma vulnerabilidade;
• Violação de confiança SSL/TLS;
• Vulnerabilidades que afetam apenas usuários de navegadores e plataformas desatualizados ou não licenciados;
• Políticas de recuperação de senha e conta, como a data de expiração de um link de redefinição ou a força da senha;
• Registro DNS desatualizado, apontando para um sistema que não pertence ao proprietário do sistema.