인프라, 웹 서비스, SMS-Activate 앱

버그 바운티 프로그램 참여 규칙

등록 및 인증

• 등록: 프로그램에 참여하려면 먼저 웹사이트에 가입해야 합니다. sms-activate.ai 원활한 소통을 위해 등록 과정에서 Telegram 계정을 제공하세요;
• 인증: 결제금을 받기 위해서는 인증 절차를 거쳐야 합니다. 보고서가 승인되면 Telegram을 통해 상세한 안내 사항을 보내드립니다.

보고서 제출

• 규칙 숙지: 보고서를 제출하기 전에 참여 규칙과 취약점으로 간주될 수 있는 유형을 충분히 숙지해 주세요;
• 신고 양식: 페이지의 양식을 사용하여 sms-activate.ai/bugbountyForm 보고서를 제출하세요. 보고서에는 취약점에 대한 명확한 설명, 재현 단계, 증거(스크린샷, 동영상) 및 수정 권장 사항이 포함되어야 합니다;
• 추가 파일: 필요한 경우 취약점을 입증할 수 있는 추가 파일을 첨부하세요;

보고서 검토 절차

취약점 유형

검증 및 개인정보 보호

지급

윤리 규범

부록 A

• IDOR (이 유형의 취약점 보고서는 높은 중요도 수준일 경우에만 수락되며, 중요도 수준은 취약점이 확인될 때 당사 전문가가 결정합니다);
• 모든 종류의 XSS 취약점, 단, 저장형 XSS는 제외됩니다(저장형 XSS 취약점 보고서는 웹 리소스의 중요도에 따라 수락됩니다);
• 클릭재킹;
• 안전하지 않은 리디렉션 URI;
• 디렉터리 리스팅 활성화 (비밀번호, 백업) 및 민감한 데이터 노출 (노출된 데이터에 따라 달라지며, 이 취약점 보고서는 중요한 데이터가 발견된 경우 수락됩니다);
• 디버그 모드 활성화, 중요한 데이터를 노출하지 않는 경우;
• CSRF 취약점, 중요하지 않은 기능 내에서 발견된 경우;
• 관리자 패널 노출 (버그 헌터가 관리자 대시보드를 찾았지만, 계정 탈취나 기타 중요한 정보 획득이 불가능한 경우);
• 사용자 열거 중요한 데이터를 노출하지 않는 경우;
• 보안 설정 오류, 위협이 실제로 발생했다는 증거가 없는 경우;
• 서비스 제공 거부;
• 스팸；
• 사회 공학, 직원, 계약자 또는 고객을 대상으로 한 행위;
• 재산이나 데이터 센터에 물리적으로 접근하려는 모든 시도
• 시스템 소유자;
• 자동화 도구 및 스캔을 사용하여 생성된 보고서;
• 서드파티 소프트웨어의 오류;
• 보안 헤더 부재 직접적인 취약점으로 이어지지 않는 경우;
• SSL/TLS 신뢰 위반;
• 구식 브라우저나 플랫폼, 또는 라이선스가 없는 브라우저와 플랫폼 사용자만 영향을 받는 취약점;
• 비밀번호 및 계정 복구 정책, 예: 재설정 링크 만료 날짜 또는 비밀번호 강도;
• 사용되지 않는 DNS 기록, 시스템 소유자와 관련 없는 시스템을 가리킵니다.