SMS-ACTIVATE
ブラウザ
バグバウンティプログラム参加規約
バグバウンティプログラムへようこそ！あなたの参加は、当社製品とサービスのセキュリティ向上に貢献します。効果的で倫理的な協力関係を築くため、以下のルールをご確認ください。
登録と認証
- 登録： プログラムに参加するには、まずウェブサイトにサインアップする必要があります。 sms-activate.ai 円滑なコミュニケーションのため、登録プロセス中にTelegramアカウントを提供してください。
- 認証： お支払いを受け取るには、認証プロセスを完了する必要があります。レポートが承認されると、詳細な手順がTelegram経由で送信されます。
レポートの提出
- ルールの確認： レポートを提出する前に、参加規約および対象となる脆弱性の種類をご確認ください。
- 報告フォーム： ページ上のフォームを使用し、 sms-activate.ai/bugbountyForm からレポートを提出してください。レポートには、脆弱性の明確な説明、再現手順、証拠（スクリーンショット、動画）、および修正のための推奨事項を含める必要があります。
- 追加ファイル： 必要に応じて、脆弱性を証明するための追加ファイルを添付してください。
レポート審査プロセス
提出されたレポートは、当社のセキュリティ専門家によって慎重に分析されます。このプロセスには最大3ヶ月かかる場合があります。その間、レポートには「保留中」「分類済み」「モデレーターにより拒否」「追加情報が必要」などのステータスが割り当てられることがあります。
脆弱性の種類
IN
には、報酬の対象外となる脆弱性の種類の一覧が記載されています。
では、脆弱性の重要度レベルを評価するための基準が定められています。
認証とプライバシー
認証目的で提供されたすべての個人データは、識別目的のみで使用され、お客様の同意なしに第三者に開示されることはありません。私たちは、データのプライバシーとセキュリティを確保するために最善を尽くします。
お支払い
認証の成功と脆弱性の確認後、報酬が提供されます。報酬額は、脆弱性の重要度レベルと提出されたレポートの質に基づいて決定されます。
倫理規範
参加者には責任ある倫理的な行動を期待しています。発見した脆弱性を悪用して損害を与えたり、データやシステムへの不正アクセスを行ったり、修正されるまで脆弱性に関する情報を拡散したりすることは禁止されています。
結論
当社製品およびサービスのセキュリティ向上にご協力いただき、ありがとうございます。皆様のご参加により、私たち全員にとってより安全なデジタル空間が実現します。
脆弱性の探索において幸運をお祈りします！皆様のご貢献は計り知れない価値があり、システムのセキュリティ強化にご協力いただけることに感謝いたします。
付録A
報奨金の対象外となる脆弱性の種類（悪用されても重大な結果を招かない低レベルの脆弱性。以下を含む）：
- IDOR （この種の脆弱性に関する報告は、重要度が高い場合にのみ受理されます。重要度は脆弱性が確認された際に当社の専門家が判断します）；
- あらゆる種類のXSS脆弱性。 ただし、保存型XSSを除きます（保存型XSSの報告は、Webリソースの重要性に応じて受理されます）；
- クリックジャッキング；
- 安全でないリダイレクトURI；
- ディレクトリリスティングの有効化 （パスワード、バックアップなど）および 機密データの露呈 （開示されたデータの内容によります。この脆弱性の報告は、重要なデータが見つかった場合に受理されます）；
- デバッグモードの有効化 ただし、重要なデータが開示されない場合；
- CSRF脆弱性 重要ではない機能内で発見されたもの；
- 管理パネルの公開 （バグハンターが管理ダッシュボードを発見しても、アカウントの乗っ取りやその他の重要な情報の取得ができない場合）；
- ユーザー列挙 重要なデータが開示されない場合；
- セキュリティ設定の不備 脅威が現実化した証拠がない場合；
- サービスの提供拒否；
- スパム；
- ソーシャルエンジニアリング 従業員、契約者、または顧客を対象としたもの；
- 財産やデータセンターへの物理的なアクセスを試みる行為
- システムの所有者；
- 自動化ツールやスキャンを使用して作成されたレポート；
- サードパーティ製ソフトウェアのエラー；
- セキュリティヘッダーの欠如 直接的に脆弱性につながらないもの；
- SSL/TLSの信頼違反；
- 古いブラウザやライセンスのないプラットフォームのユーザーのみに影響する脆弱性；
- パスワードおよびアカウント回復ポリシー リセットリンクの有効期限やパスワードの強度など；
- 古いDNSレコード、 システム所有者に属さないシステムを指しています。
目次
付録B
重要度レベル別の脆弱性の種類：
脆弱性
低
中
高
パストラバーサル
10
40
70
ディレクトリリスティングの有効化
10
40
安全でないリダイレクトURI
5
10
クリックジャッキング
5
ブルートフォース攻撃
5
SQLインジェクション（空のデータベース、有用なデータベース）
10
40
70
XML外部エンティティインジェクション
50
70
ローカルファイルインクルージョン
50
リモートコード実行
10
50
100
認証バイパス
50
90
アカウント乗っ取り
50
90
安全でない直接オブジェクト参照
10
保存型XSS
20-30
反射型XSS
10-20
サーバーサイドリクエスト
40-60
クロスサイトリクエストフォージェリ
10-20
競合状態
10
90
サーバーサイドテンプレートインジェクション
20
80
パストラバーサル
低
10
中
40
高
70
ディレクトリリスティングの有効化
低
10
中
40
高
安全でないリダイレクトURI
低
5
中
10
高
クリックジャッキング
低
5
中
高
ブルートフォース攻撃
低
5
中
高
SQLインジェクション（空のデータベース、有用なデータベース）
低
10
中
40
高
70
XML外部エンティティインジェクション
低
中
50
高
70
ローカルファイルインクルージョン
低
中
50
高
リモートコード実行
低
10
中
50
高
100
認証バイパス
低
中
50
高
90
アカウント乗っ取り
低
中
50
高
90
安全でない直接オブジェクト参照
低
10
中
高
保存型XSS
低
20-30
中
高
反射型XSS
低
10-20
中
高
サーバーサイドリクエスト
低
中
40-60
高
クロスサイトリクエストフォージェリ
低
10-20
中
高
競合状態
低
10
中
高
90
サーバーサイドテンプレートインジェクション
低
20
中
高
80
脆弱性の重要度レベルに応じて、以下のようにポイントが付与されます：
- 重要度「低」 - 0〜30ポイント；
- 重要度「中」 - 31〜60ポイント；
- 重要度「高」 - 61〜100ポイント。
- sms-activate.ai
- hstock.org
- ipkings.io
報酬
報酬額は、脆弱性の重要度、悪用の容易さ、ユーザーデータへの影響によって異なります。重要度の判定は開発者と協議して行われることが多く、時間がかかる場合があります。
脆弱性
報酬
リモートコード実行（RCE）
$1500 - $5000
ローカルファイルアクセスおよびその他（LFR、RFI、XXE）
$500 - $3000
インジェクション
$500 - $3000
クロスサイトスクリプティング（XSS）、セルフXSSを除く
$100 - $500
SSRF（ブラインドSSRFを除く）
$300 - $1000
ブラインドSSRF
$100 - $500
メモリリーク / IDOR / 保護された個人データや機密性の高いユーザー情報の開示
$70 - $1150
その他確認済みの脆弱性
重大度に応じて異なります
ユーザーデータを扱うすべてのSMS-Activateアプリが対象です。当社のアプリケーションは以下でご覧いただけます。 Google Play
および App Store
「SMS-Activate」という名前で検索
アプリ
脆弱性
報酬
リモートコード実行（RCE）
$1500 - $5000
ローカルファイルアクセスおよびその他（LFR、RFI、XXE）
$500 - $3000
インジェクション
$500 - $3000
SSRF（ブラインドSSRFを除く）
$300 - $1000
ブラインドSSRF
$100 - $500
メモリリーク / IDOR / 保護された個人データや機密性の高いユーザー情報の開示
$70 - $1150
クロスサイトリクエストフォージェリ（CSRF、Flashクロスドメインリクエスト、CORS）
$35 — $300
その他確認済みの脆弱性
重大度に応じて異なります