SMS-ACTIVATE
瀏覽器
Bug Bounty 計劃參與規則
歡迎加入 Bug Bounty 計劃！您的參與有助於提升我們產品與服務的安全性。請仔細閱讀以下規則，以確保高效且符合道德規範的合作。
註冊與驗證
- 註冊： 若要參與本計劃，您首先需要在網站上註冊帳號 sms-activate.ai 註冊過程中請提供您的 Telegram 帳號，以便於溝通；
- 驗證： 您必須通過驗證程序才能領取獎金。當您的報告獲得批准後，詳細說明將透過 Telegram 發送給您。
提交報告
- 研究規則： 在提交報告之前，請先熟悉參與規則以及可被受理的漏洞類型；
- 報告表單： 使用頁面上的表單 sms-activate.ai/bugbountyForm 來提交您的報告。您的報告應包含對漏洞的清晰描述、重現步驟、證據（截圖、影片）以及修復建議；
- 附加檔案： 如有必要，請附上其他檔案以佐證漏洞存在；
報告審核流程
我們的資安專家將仔細分析您的報告。此過程可能需要長達三個月的時間。在此期間，報告可能會被標記為以下狀態之一：「待處理」、「已分類」、「被審核員拒絕」、「需要更多資訊」等。
漏洞類型
在
中，您可以找到不符合獎勵資格的漏洞類型清單。在
中，則明確規定了評估漏洞重要性等級的標準。
驗證與隱私
您為驗證目的所提供的所有個人資料僅用於身分識別，未經您的同意不會向第三方披露。我們將竭盡全力確保您資料的隱私與安全。
付款
在成功通過驗證並確認漏洞後，您將獲得獎金。獎金金額將根據漏洞的重要性等級以及所提交報告的品質來決定。
道德規範
我們期望參與者以負責任且符合道德的方式行事。禁止利用發現的漏洞造成損害、未經授權存取資料或系統，或在漏洞修復前散播相關資訊。
結語
我們重視您為提升產品與服務安全性所做的貢獻。您的參與有助於為所有人打造更安全的數位環境。
祝您在尋找漏洞的過程中好運連連！您的貢獻無價，因此我們衷心感謝您協助保護我們的系統。
附錄 A
不屬於獎勵範圍的漏洞類型（若被利用不會造成嚴重後果的低階漏洞，包括）：
- IDOR （僅在漏洞具有高嚴重性時才接受此類報告；嚴重性等級由我們的專家在確認漏洞時判定）；
- 任何類型的 XSS 漏洞， 儲存型 XSS 除外（儲存型 XSS 漏洞報告將依據網頁資源的重要性決定是否受理）；
- 點擊劫持（Clickjacking）；
- 不安全的重新導向 URI；
- 啟用目錄清單功能 （密碼、備份檔案）以及 敏感資料外洩 （視外洩資料而定；若發現關鍵資料則受理此漏洞報告）；
- 啟用除錯模式， 且未揭露關鍵資料；
- CSRF 漏洞， 且發生於非關鍵功能中；
- 管理員面板外露 （若漏洞獵人找到管理員儀表板，但無法接管帳號或取得其他關鍵資訊）；
- 使用者枚舉 且未揭露關鍵資料；
- 安全設定錯誤， 且無證據顯示威脅已實際發生；
- 拒絕提供服務；
- 垃圾訊息；
- 社會工程攻擊， 針對員工、承包商或客戶進行；
- 任何試圖實體存取財產或資料中心的行為
- 系統擁有者；
- 使用自動化工具與掃描產生的報告；
- 第三方軟體中的錯誤；
- 缺少安全標頭 且未直接導致漏洞；
- SSL / TLS 信任違規；
- 僅影響過時或未授權瀏覽器及平台使用者的漏洞；
- 密碼與帳號復原政策， 例如重設連結的有效期限或密碼強度；
- 過時的 DNS 記錄， 指向不屬於系統擁有者的系統。
目錄
附錄 B
按嚴重程度分類的漏洞類型：
漏洞
低
中
高
路徑遍歷
10
40
70
啟用目錄清單功能
10
40
不安全重定向 URI
5
10
點擊劫持
5
暴力破解
5
SQL 注入（空資料庫、有用資料庫）
10
40
70
XML 外部實體注入
50
70
本地文件包含
50
遠端代碼執行
10
50
100
身份驗證繞過
50
90
帳號接管
50
90
不安全直接物件參考
10
儲存型 XSS
20-30
反射型 XSS
10-20
伺服器端請求偽造
40-60
跨站請求偽造
10-20
競爭條件
10
90
伺服器端模板注入
20
80
路徑遍歷
低
10
中
40
高
70
啟用目錄清單功能
低
10
中
40
高
不安全重定向 URI
低
5
中
10
高
點擊劫持
低
5
中
高
暴力破解
低
5
中
高
SQL 注入（空資料庫、有用資料庫）
低
10
中
40
高
70
XML 外部實體注入
低
中
50
高
70
本地文件包含
低
中
50
高
遠端代碼執行
低
10
中
50
高
100
身份驗證繞過
低
中
50
高
90
帳號接管
低
中
50
高
90
不安全直接物件參考
低
10
中
高
儲存型 XSS
低
20-30
中
高
反射型 XSS
低
10-20
中
高
伺服器端請求偽造
低
中
40-60
高
跨站請求偽造
低
10-20
中
高
競爭條件
低
10
中
高
90
伺服器端模板注入
低
20
中
高
80
根據漏洞嚴重等級授予積分如下：
- 低重要性等級 - 0 至 30 分；
- 中等重要性等級 - 31 至 60 分；
- 高重要性等級 - 61 至 100 分。
- sms-activate.ai
- hstock.org
- ipkings.io
獎勵
獎勵金額取決於漏洞的嚴重性、利用難易度以及對用戶資料的影響。嚴重性等級通常會與開發人員共同判定，因此可能需要較長時間。
漏洞
獎勵
遠端代碼執行 (RCE)
$1500 - $5000
本地文件存取及其他 (LFR, RFI, XXE)
$500 - $3000
注入攻擊
$500 - $3000
跨站腳本攻擊 (XSS)，不包括 Self-XSS
$100 - $500
SSRF，不包括盲注
$300 - $1000
盲 SSRF
$100 - $500
記憶體洩漏 / IDOR / 揭露受保護的個人資料或敏感使用者資訊
$70 - $1150
其他已確認的漏洞
取決於嚴重程度
所有涉及使用者資料的 SMS-Activate 應用程式均包含在內。您可以在以下平台找到我們的應用程式： Google Play
和 App Store
搜尋名稱「SMS-Activate」
應用程式
漏洞
獎勵
遠端代碼執行 (RCE)
$1500 - $5000
本地文件存取及其他 (LFR, RFI, XXE)
$500 - $3000
注入攻擊
$500 - $3000
SSRF，不包括盲注
$300 - $1000
盲 SSRF
$100 - $500
記憶體洩漏 / IDOR / 揭露受保護的個人資料或敏感使用者資訊
$70 - $1150
跨站請求偽造（CSRF、Flash 跨域請求、CORS）
$35 — $300
其他已確認的漏洞
取決於嚴重程度