SMS-ACTIVATE
ເບຣາເຊີ
ກົດລະບຽບການເຂົ້າຮ່ວມໂຄງການ Bug Bounty
ຍິນດີຕ້ອນຮັບສູ່ໂຄງການ Bug Bounty! ການເຂົ້າຮ່ວມຂອງທ່ານຈະຊ່ວຍປັບປຸງຄວາມປອດໄພຂອງຜະລິດຕະພັນ ແລະ ບໍລິການຂອງພວກເຮົາ. ກະລຸນາສຶກສາກົດລະບຽບຕໍ່ໄປນີ້ເພື່ອຮັບປະກັນການຮ່ວມມືທີ່ມີປະສິດທິພາບ ແລະ ຖືກຕ້ອງຕາມຈັນຍາບັນ
ການລົງທະບຽນ ແລະ ການຢັ້ງຢືນຕົວຕົນ
- ການລົງທະບຽນ: ເພື່ອເຂົ້າຮ່ວມໂຄງການ, ທ່ານຕ້ອງລົງທະບຽນໃນເວັບໄຊກ່ອນ sms-activate.ai ໃຫ້ບັນຊີ Telegram ຂອງທ່ານໃນລະຫວ່າງການລົງທະບຽນເພື່ອຄວາມສະດວກໃນການຕິດຕໍ່ສື່ສານ;
- ການຢັ້ງຢືນຕົວຕົນ: ທ່ານຕ້ອງຜ່ານຂັ້ນຕອນການຢັ້ງຢືນຕົວຕົນເພື່ອຮັບການຊຳລະເງິນ. ຄຳແນະນຳລາຍລະອຽດຈະຖືກສົ່ງໃຫ້ທ່ານຜ່ານ Telegram ເມື່ອລາຍງານຂອງທ່ານໄດ້ຮັບການອະນຸມັດ.
ການສະໜອງລາຍງານ
- ການສຶກສາກົດລະບຽບ: ກ່ອນສົ່ງລາຍງານ, ກະລຸນາສຶກສາກົດລະບຽບການເຂົ້າຮ່ວມ ແລະ ປະເພດຂອງຈຸດອ່ອນທີ່ສາມາດພິຈາລະນາໄດ້;
- ແບບຟອມລາຍງານ: ໃຊ້ແບບຟອມໃນໜ້າ sms-activate.ai/bugbountyForm ເພື່ອສົ່ງລາຍງານຂອງທ່ານ. ລາຍງານຂອງທ່ານຄວນປະກອບດ້ວຍຄຳອະທິບາຍຈຸດອ່ອນຢ່າງຊັດເຈນ, ຂັ້ນຕອນການສ້າງສະຖານະການຊ້ຳ, ຫຼັກຖານ (ຮູບໜ້າຈໍ, ວິດີໂອ) ແລະ ຄຳແນະນຳໃນການແກ້ໄຂ;
- ໄຟລ໌ເພີ່ມເຕີມ: ແນບໄຟລ໌ເພີ່ມເຕີມເພື່ອຢັ້ງຢືນຈຸດອ່ອນ ຖ້າຈຳເປັນ;
ຂັ້ນຕອນການກວດສອບລາຍງານ
ລາຍງານຂອງທ່ານຈະຖືກວິເຄາະຢ່າງລະອຽດໂດຍຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຂອງພວກເຮົາ. ຂັ້ນຕອນນີ້ອາດໃຊ້ເວລາສູງສຸດ 3 ເດືອນ. ໃນລະຫວ່າງນີ້, ລາຍງານອາດຖືກກຳນົດສະຖານະໜຶ່ງໃນສະຖານະຕໍ່ໄປນີ້: "ລໍຖ້າ", "ຈັດປະເພດແລ້ວ", "ຖືກປະຕິເສດໂດຍຜູ້ກວດສອບ", "ຕ້ອງການຂໍ້ມູນເພີ່ມເຕີມ" ແລະ ອື່ນໆ.
ປະເພດຂອງຈຸດອ່ອນ
ໃນ
ທ່ານຈະພົບລາຍຊື່ປະເພດຈຸດອ່ອນທີ່ບໍ່ມີສິດໄດ້ຮັບລາງວັນ. ໃນ
ໄດ້ກຳນົດເກນການປະເມີນລະດັບຄວາມສຳຄັນຂອງຈຸດອ່ອນ.
ການຢັ້ງຢືນຕົວຕົນ ແລະ ຄວາມເປັນສ່ວນຕົວ
ຂໍ້ມູນສ່ວນຕົວທັງໝົດທີ່ທ່ານໃຫ້ເພື່ອຈຸດປະສົງໃນການຢັ້ງຢືນຕົວຕົນ ຈະຖືກນຳໃຊ້ເພື່ອການລະບຸຕົວຕົນເທົ່ານັ້ນ, ແລະ ຈະບໍ່ເປີດເຜີຍຕໍ່ບຸກຄົນທີສາມໂດຍບໍ່ມີຄວາມຍິນຍອມຂອງທ່ານ. ພວກເຮົາພະຍາຍາມຢ່າງສູງສຸດເພື່ອຮັບປະກັນຄວາມເປັນສ່ວນຕົວ ແລະ ຄວາມປອດໄພຂອງຂໍ້ມູນຂອງທ່ານ.
ການຊຳລະເງິນ
ຫຼັງຈາກຜ່ານການຢັ້ງຢືນຕົວຕົນ ແລະ ຢັ້ງຢືນຈຸດອ່ອນສຳເລັດ, ທ່ານຈະໄດ້ຮັບລາງວັນ. ຈຳນວນລາງວັນຈະຖືກກຳນົດໂດຍອີງໃສ່ລະດັບຄວາມສຳຄັນຂອງຈຸດອ່ອນ ແລະ ຄຸນນະພາບຂອງລາຍງານທີ່ສະໜອງ.
ບັນຍັດຈັນຍາບັນ
ເຮົາຄາດຫວັງໃຫ້ຜູ້ເຂົ້າຮ່ວມປະຕິບັດໜ້າທີ່ຢ່າງມີຄວາມຮັບຜິດຊອບ ແລະ ຕາມຫຼັກຈັນຍາບັນ. ບໍ່ອະນຸຍາດໃຫ້ນຳໃຊ້ຊ່ອງໂຫວ່ທີ່ພົບເພື່ອກໍ່ຄວາມເສຍຫາຍ, ເຂົ້າເຖິງຂໍ້ມູນ ຫຼື ລະບົບໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດ, ຫຼື ແຜ່ຂ່າວກ່ຽວກັບຊ່ອງໂຫວ່ນັ້ນຈົນກວ່າຈະໄດ້ຮັບການແກ້ໄຂ.
ສະຫຼຸບ
ເຮົາໃຫ້ຄຸນຄ່າຕໍ່ການປະກອບສ່ວນຂອງທ່ານໃນການປັບປຸງຄວາມປອດໄພຂອງຜະລິດຕະພັນ ແລະ ບໍລິການຂອງເຮົາ. ການເຂົ້າຮ່ວມຂອງທ່ານຊ່ວຍສ້າງພື້ນທີ່ດິຈິຕອນທີ່ປອດໄພຂຶ້ນສຳລັບທຸກຄົນ.
ເຮົາຂໍອວຍພອນໃຫ້ທ່ານໂຊກດີໃນການຄົ້ນຫາຊ່ອງໂຫວ່! ການປະກອບສ່ວນຂອງທ່ານມີຄຸນຄ່າຫຼາຍ, ດັ່ງນັ້ນເຮົາຈຶ່ງຂອບໃຈສຳລັບຄວາມຊ່ວຍເຫຼືອຂອງທ່ານໃນການຮັກສາຄວາມປອດໄພຂອງລະບົບຂອງເຮົາ.
ພາກເສີມ A
ປະເພດຂອງຊ່ອງໂຫວ່ທີ່ບໍ່ຢູ່ໃນເກນການໃຫ້ລາງວັນ (ຊ່ອງໂຫວ່ລະດັບຕ່ຳທີ່ບໍ່ສົ່ງຜົນກະທົບຮ້າຍແຮງຖ້າຖືກນຳໃຊ້, ລວມມີ):
- IDOR (ລາຍງານກ່ຽວກັບຊ່ອງໂຫວ່ປະເພດນີ້ຈະຖືກຍອມຮັບສະເພາະໃນກໍລະນີທີ່ມີລະດັບຄວາມສຳຄັນສູງ; ລະດັບຄວາມສຳຄັນຈະຖືກກຳນົດໂດຍຜູ້ຊ່ຽວຊານຂອງເຮົາເມື່ອຢືນຢັນຊ່ອງໂຫວ່ໄດ້);
- ຊ່ອງໂຫວ່ XSS ທຸກປະເພດ, ຍົກເວັ້ນ Stored XSS (ລາຍງານຊ່ອງໂຫວ່ Stored XSS ຈະຖືກຍອມຮັບຂຶ້ນກັບຄວາມສຳຄັນຂອງແຫຼ່ງເວັບ);
- Clickjacking;
- URI ການເລີ່ມໃໝ່ທີ່ບໍ່ປອດໄພ;
- ເປີດໃຫ້ເບິ່ງລາຍຊື່ໄຟລ์ໃນໂຟນເດີ (ລະຫັດຜ່ານ, ຂໍ້ມູນສຳຮອງ) ແລະ ການເປີດເຜີຍຂໍ້ມູນທີ່ອ່ອນໄຫວ (ຂຶ້ນກັບຂໍ້ມູນທີ່ເປີດເຜີຍ; ລາຍງານຊ່ອງໂຫວ່ນີ້ຈະຖືກຍອມຮັບຖ້າພົບຂໍ້ມູນທີ່ສຳຄັນ);
- ເປີດໂໝດ Debug, ທີ່ບໍ່ເປີດເຜີຍຂໍ້ມູນທີ່ສຳຄັນ;
- ຊ່ອງໂຫວ່ CSRF, ທີ່ພົບໃນຟັງຊັນທີ່ບໍ່ສຳຄັນ;
- ການເປີດເຜີຍແຜງຄວບຄຸມ Admin (ຖ້າຜູ້ຄົ້ນຫາຊ່ອງໂຫວ່ພົບແຜງຄວບຄຸມ Admin ແຕ່ບໍ່ສາມາດຍຶດຄອງບັນຊີ ຫຼື ໄດ້ຮັບຂໍ້ມູນສຳຄັນອື່ນໆ);
- ການລະບຸຜູ້ໃຊ້ ໂດຍບໍ່ເປີດເຜີຍຂໍ້ມູນທີ່ສຳຄັນ;
- ການຕັ້ງຄ່າຄວາມປອດໄພທີ່ຜິດພາດ, ໃນກໍລະນີທີ່ບໍ່ມີຫຼັກຖານວ່າໄພຄຸກຄາມໄດ້ເກີດຂຶ້ນແທ້;
- ປະຕິເສດການໃຫ້ບໍລິການ;
- ສະແປມ；
- ວິສະວະກຳສັງຄົມ, ທີ່ມີເປົ້າໝາຍໃສ່ພະນັກງານ, ຜູ້ຮັບເໝົາ ຫຼື ລູກຄ້າ;
- ການພະຍາຍາມທາງກາຍະພາບທຸກຮູບແບບເພື່ອເຂົ້າເຖິງຊັບສິນ ຫຼື ສູນຂໍ້ມູນ
- ເຈົ້າຂອງລະບົບ;
- ລາຍງານທີ່ສ້າງຂຶ້ນໂດຍໃຊ້ເຄື່ອງມືອັດຕະໂນມັດ ແລະ ການສະແກນ;
- ຂໍ້ຜິດພາດໃນຊອບແວຂອງບຸກຄົນທີສາມ;
- ການຂາດຫົວຂໍ້ຄວາມປອດໄພ ທີ່ບໍ່ນຳໄປສູ່ຊ່ອງໂຫວ່ໂດຍກົງ;
- ການລະເມີດຄວາມໄວ້ວາງໃຈ SSL / TLS;
- ຊ່ອງໂຫວ່ທີ່ສົ່ງຜົນກະທົບຕໍ່ຜູ້ໃຊ້ຂອງບຣາວເຊີ ແລະ ແພລດຟອມທີ່ລ້າສະໄໝ ຫຼື ບໍ່ມີໃບອະນຸຍາດເທົ່ານັ້ນ;
- ນະໂຍບາຍການກູ້ຄືນລະຫັດຜ່ານ ແລະ ບັນຊີ, ເຊັ່ນ: ວັນທີໝົດອາຍຸຂອງລິ້ງສ້າງລະຫັດໃໝ່ ຫຼື ຄວາມແຂງແກ່ນຂອງລະຫັດຜ່ານ;
- ບັນທຶກ DNS ທີ່ລ້າສະໄໝ, ຊີ້ໄປຍັງລະບົບທີ່ບໍ່ແມ່ນຂອງເຈົ້າຂອງລະບົບ.
ເນື້ອຫາ
ພາກເສີມ B
ປະເພດຂອງຊ່ອງໂຫວ່ຕາມລະດັບຄວາມຮ້າຍແຮງ:
ຊ່ອງໂຫວ່
ຕ່ຳ
ປານກາງ
ສູງ
ການເຂົ້າເຖິງໄຟລ໌ຜ່ານ Path Traversal
10
40
70
ເປີດໃຫ້ເບິ່ງລາຍຊື່ໄຟລ์ໃນໂຟນເດີ
10
40
URI ການ redirect ທີ່ບໍ່ປອດໄພ
5
10
Clickjacking
5
Brute Force
5
SQL Injection (ຖານຂໍ້ມູນວ່າງ, ຖານຂໍ້ມູນທີ່ມີປະໂຫຍດ)
10
40
70
XML External Entity Injection
50
70
Local File Inclusion
50
Remote Code Execution
10
50
100
ການຂ້າມຂັ້ນຕອນການຢັ້ງຢືນຕົວຕົນ
50
90
ການຍຶດຄອງບັນຊີ
50
90
Insecure Direct Object References
10
Stored XSS
20-30
Reflected XSS
10-20
Server-Side Request
40-60
Cross-Site Request Forgery
10-20
Race Condition
10
90
Server-Side Template Injection
20
80
ການເຂົ້າເຖິງໄຟລ໌ຜ່ານ Path Traversal
ຕ່ຳ
10
ປານກາງ
40
ສູງ
70
ເປີດໃຫ້ເບິ່ງລາຍຊື່ໄຟລ์ໃນໂຟນເດີ
ຕ່ຳ
10
ປານກາງ
40
ສູງ
URI ການ redirect ທີ່ບໍ່ປອດໄພ
ຕ່ຳ
5
ປານກາງ
10
ສູງ
Clickjacking
ຕ່ຳ
5
ປານກາງ
ສູງ
Brute Force
ຕ່ຳ
5
ປານກາງ
ສູງ
SQL Injection (ຖານຂໍ້ມູນວ່າງ, ຖານຂໍ້ມູນທີ່ມີປະໂຫຍດ)
ຕ່ຳ
10
ປານກາງ
40
ສູງ
70
XML External Entity Injection
ຕ່ຳ
ປານກາງ
50
ສູງ
70
Local File Inclusion
ຕ່ຳ
ປານກາງ
50
ສູງ
Remote Code Execution
ຕ່ຳ
10
ປານກາງ
50
ສູງ
100
ການຂ້າມຂັ້ນຕອນການຢັ້ງຢືນຕົວຕົນ
ຕ່ຳ
ປານກາງ
50
ສູງ
90
ການຍຶດຄອງບັນຊີ
ຕ່ຳ
ປານກາງ
50
ສູງ
90
Insecure Direct Object References
ຕ່ຳ
10
ປານກາງ
ສູງ
Stored XSS
ຕ່ຳ
20-30
ປານກາງ
ສູງ
Reflected XSS
ຕ່ຳ
10-20
ປານກາງ
ສູງ
Server-Side Request
ຕ່ຳ
ປານກາງ
40-60
ສູງ
Cross-Site Request Forgery
ຕ່ຳ
10-20
ປານກາງ
ສູງ
Race Condition
ຕ່ຳ
10
ປານກາງ
ສູງ
90
Server-Side Template Injection
ຕ່ຳ
20
ປານກາງ
ສູງ
80
ການໃຫ້ຄະແນນຕາມລະດັບຄວາມຮ້າຍແຮງຂອງຊ່ອງໂຫວ່ ມີດັ່ງນີ້:
- ລະດັບຄວາມສຳຄັນຕ່ຳ - ຕັ້ງແຕ່ 0 ຫາ 30 ຄະແນນ;
- ລະດັບຄວາມສຳຄັນປານກາງ - ຕັ້ງແຕ່ 31 ຫາ 60 ຄະແນນ;
- ລະດັບຄວາມສຳຄັນສູງ - ຕັ້ງແຕ່ 61 ຫາ 100 ຄະແນນ.
- sms-activate.ai
- hstock.org
- ipkings.io
ລາງວັນ
ຈຳນວນລາງວັນຂຶ້ນກັບລະດັບຄວາມຮ້າຍແຮງຂອງຊ່ອງໂຫວ່, ຄວາມງ່າຍໃນການນຳໃຊ້ຊ່ອງໂຫວ່, ແລະ ຜົນກະທົບຕໍ່ຂໍ້ມູນຜູ້ໃຊ້. ລະດັບຄວາມຮ້າຍແຮງມັກຈະຖືກກຳນົດຮ່ວມກັບນັກພັດທະນາ ແລະ ອາດໃຊ້ເວລາດົນກວ່າ.
ຊ່ອງໂຫວ່
ລາງວັນ
Remote Code Execution (RCE)
$1500 - $5000
ການເຂົ້າເຖິງໄຟລ໌ທ້ອງຖິ່ນ ແລະ ອື່ນໆ (LFR, RFI, XXE)
$500 - $3000
ການສັ່ງ Inject
$500 - $3000
Cross-Site Scripting (XSS), ຍົກເວັ້ນ Self-XSS
$100 - $500
SSRF, ຍົກເວັ້ນກໍລະນີ blind
$300 - $1000
SSRF ແບບ Blind
$100 - $500
ການຮົ່ວໄຫລຂອງ Memory / IDORs / ການເປີດເຜີຍຂໍ້ມູນທີ່ມີຂໍ້ມູນສ່ວນຕົວທີ່ຖືກປົກປ້ອງ ຫຼື ຂໍ້ມູນຜູ້ໃຊ້ທີ່ອ່ອນໄຫວ
$70 - $1150
ຊ່ອງໂຫວ່ອື່ນໆທີ່ຢືນຢັນແລ້ວ
ຂຶ້ນກັບລະດັບຄວາມຮຸນແຮງ
ແອັບພລິເຄຊັນ SMS-Activate ທັງໝົດທີ່ກ່ຽວຂ້ອງກັບຂໍ້ມູນຜູ້ໃຊ້ແມ່ນຖືກນຳມາພິຈາລະນາ. ທ່ານສາມາດຊອກຫາແອັບພລິເຄຊັນຂອງພວກເຮົາໄດ້ທີ່ Google Play
ແລະ App Store
ໂດຍຊື່ SMS-Activate
ແອັບ
ຊ່ອງໂຫວ່
ລາງວັນ
Remote Code Execution (RCE)
$1500 - $5000
ການເຂົ້າເຖິງໄຟລ໌ທ້ອງຖິ່ນ ແລະ ອື່ນໆ (LFR, RFI, XXE)
$500 - $3000
ການສັ່ງ Inject
$500 - $3000
SSRF, ຍົກເວັ້ນກໍລະນີ blind
$300 - $1000
SSRF ແບບ Blind
$100 - $500
ການຮົ່ວໄຫລຂອງ Memory / IDORs / ການເປີດເຜີຍຂໍ້ມູນທີ່ມີຂໍ້ມູນສ່ວນຕົວທີ່ຖືກປົກປ້ອງ ຫຼື ຂໍ້ມູນຜູ້ໃຊ້ທີ່ອ່ອນໄຫວ
$70 - $1150
Cross-Site Request Forgery (CSRF, ການຂໍ້ມູນ Flash crossdomain, CORS)
$35 — $300
ຊ່ອງໂຫວ່ອື່ນໆທີ່ຢືນຢັນແລ້ວ
ຂຶ້ນກັບລະດັບຄວາມຮຸນແຮງ