SMS-ACTIVATE
ব্রাউজার
বাগ বাউন্টি প্রোগ্রামে অংশগ্রহণের নিয়মাবলী
বাগ বাউন্টি প্রোগ্রামে আপনাকে স্বাগতম! আপনার অংশগ্রহণ আমাদের পণ্য ও সেবার নিরাপত্তা উন্নত করতে সাহায্য করে। কার্যকর এবং নৈতিক সহযোগিতা নিশ্চিত করতে অনুগ্রহ করে নিচের নিয়মগুলো ভালোভাবে পড়ে নিন
রেজিস্ট্রেশন এবং যাচাইকরণ
- রেজিস্ট্রেশন: প্রোগ্রামে অংশগ্রহণ করার জন্য আপনাকে প্রথমে ওয়েবসাইটে সাইন আপ করতে হবে sms-activate.ai সহজ যোগাযোগের জন্য রেজিস্ট্রেশন প্রক্রিয়া চলাকালীন আপনার Telegram অ্যাকাউন্ট প্রদান করুন;
- যাচাইকরণ: অর্থপ্রদান গ্রহণ করার জন্য আপনাকে যাচাইকরণ প্রক্রিয়া সম্পন্ন করতে হবে। আপনার রিপোর্ট অনুমোদিত হলে Telegram-এর মাধ্যমে বিস্তারিত নির্দেশনা পাঠানো হবে।
রিপোর্ট প্রদান
- নিয়মাবলী অধ্যয়ন: আপনার রিপোর্ট জমা দেওয়ার আগে, অনুগ্রহ করে অংশগ্রহণের নিয়মাবলী এবং যে ধরনের দুর্বলতাগুলো বিবেচনাযোগ্য তা সম্পর্কে জানুন;
- রিপোর্টিং ফর্ম: আপনার রিপোর্ট জমা দিতে পৃষ্ঠায় থাকা ফর্মটি ব্যবহার করুন sms-activate.ai/bugbountyForm আপনার রিপোর্টে দুর্বলতার একটি পরিষ্কার বর্ণনা, এটি পুনরুৎপাদনের ধাপগুলো, প্রমাণ (স্ক্রিনশট, ভিডিও) এবং এটি সংশোধনের সুপারিশ থাকতে হবে;
- অতিরিক্ত ফাইলসমূহ: প্রয়োজন হলে দুর্বলতা নিশ্চিত করতে অতিরিক্ত ফাইল সংযুক্ত করুন;
রিপোর্ট পর্যালোচনা প্রক্রিয়া
আমাদের নিরাপত্তা বিশেষজ্ঞরা আপনার রিপোর্টটি যত্ন সহকারে বিশ্লেষণ করবেন। এই প্রক্রিয়াটি তিন মাস পর্যন্ত সময় নিতে পারে। এই সময়ে, রিপোর্টটিকে "pending", "sorted", "rejected by moderator", "more information required" এবং অন্যান্য স্ট্যাটাসগুলোর মধ্যে যেকোনো একটি দেওয়া হতে পারে।
দুর্বলতার ধরনসমূহ
IN
-তে আপনি সেই সব দুর্বলতার তালিকা পাবেন যা পুরস্কার পাওয়ার যোগ্য নয়। In
-তে দুর্বলতার গুরুত্বের মাত্রা মূল্যায়নের মানদণ্ড উল্লেখ করা হয়েছে।
যাচাইকরণ এবং গোপনীয়তা
যাচাইকরণের উদ্দেশ্যে আপনার প্রদান করা সকল ব্যক্তিগত ডেটা শুধুমাত্র শনাক্তকরণের উদ্দেশ্যে ব্যবহার করা হবে এবং আপনার সম্মতি ছাড়া তৃতীয় পক্ষের কাছে প্রকাশ করা হবে না। আমরা আপনার ডেটার গোপনীয়তা এবং নিরাপত্তা নিশ্চিত করতে সর্বোচ্চ চেষ্টা করি।
অর্থপ্রদান
সফল যাচাইকরণ এবং দুর্বলতা নিশ্চিত হওয়ার পর, আপনাকে একটি পুরস্কার দেওয়া হবে। পুরস্কারের পরিমাণ দুর্বলতার গুরুত্বের মাত্রা এবং প্রদত্ত রিপোর্টের গুণমানের ভিত্তিতে নির্ধারিত হয়।
নৈতিক মানদণ্ড
আমরা অংশগ্রহণকারীদের দায়িত্বশীল ও নৈতিক আচরণের প্রত্যাশা করি। কোনো ক্ষতি সাধন, ডেটা বা সিস্টেমে অননুমোদিত প্রবেশাধিকার লাভ অথবা দুর্বলতা সংশোধনের পূর্বে সে সম্পর্কিত তথ্য ছড়ানোর উদ্দেশ্যে আবিষ্কৃত দুর্বলতার অপব্যবহার করা নিষিদ্ধ।
উপসংহার
আমাদের পণ্য ও পরিষেবার নিরাপত্তা উন্নয়নে আপনার অবদানের মূল্য আমরা দিই। আপনার অংশগ্রহণ আমাদের সকলের জন্য একটি নিরাপদ ডিজিটাল পরিবেশ তৈরি করতে সহায়তা করে।
দুর্বলতা খোঁজার ক্ষেত্রে আমরা আপনাকে শুভকামনা জানাই! আপনার অবদান অমূল্য, তাই আমাদের সিস্টেম সুরক্ষিত করতে আপনার সহায়তার জন্য আমরা কৃতজ্ঞ।
Appendix A
যে ধরনের দুর্বলতাগুলো পুরস্কারের আওতায় পড়ে না (নিম্ন-স্তরের দুর্বলতা যা শোষণ করলে গুরুতর পরিণতি হয় না, যার মধ্যে রয়েছে):
- IDOR (এই ধরনের দুর্বলতার রিপোর্ট কেবল উচ্চ গুরুত্বপূর্ণ স্তরের ক্ষেত্রে গ্রহণযোগ্য; দুর্বলতা নিশ্চিত হলে আমাদের বিশেষজ্ঞ গুরুত্বপূর্ণ স্তর নির্ধারণ করেন);
- যেকোনো ধরনের XSS দুর্বলতা, Stored XSS ব্যতীত (Stored XSS দুর্বলতার রিপোর্ট ওয়েব রিসোর্সের গুরুত্বের ওপর ভিত্তি করে গ্রহণ করা হয়);
- ক্লিকজ্যাকিং;
- অনিরাপদ রিডাইরেক্ট URI;
- ডিরেক্টরি লিস্টিং সক্রিয় (পাসওয়ার্ড, ব্যাকআপ) এবং সংবেদনশীল ডেটা ফাঁস (প্রকাশিত ডেটার ওপর নির্ভর করে; এই দুর্বলতার রিপোর্ট গুরুত্বপূর্ণ ডেটা পাওয়া গেলে গ্রহণযোগ্য);
- ডিবাগ মোড সক্রিয়, যা গুরুত্বপূর্ণ ডেটা ফাঁস করে না;
- CSRF দুর্বলতা, যা এমন কোনো ফাংশনের মধ্যে পাওয়া গেছে যা গুরুত্বপূর্ণ নয়;
- অ্যাডমিন প্যানেল ফাঁস (যদি বাগ হান্টার অ্যাডমিন ড্যাশবোর্ড খুঁজে পান, কিন্তু অ্যাকাউন্ট টেকওভার করতে বা অন্য কোনো গুরুত্বপূর্ণ তথ্য সংগ্রহ করতে ব্যর্থ হন);
- ইউজার এনুমারেশন যাতে কোনো গুরুত্বপূর্ণ ডেটা ফাঁস হয় না;
- নিরাপত্তা ভুল কনফিগারেশন, যদি হুমকি বাস্তবায়নের কোনো প্রমাণ না থাকে;
- পরিষেবা প্রদানে অস্বীকৃতি;
- স্প্যাম；
- সোশ্যাল ইঞ্জিনিয়ারিং, যা কর্মচারী, চুক্তিবদ্ধ কর্মী বা গ্রাহকদের লক্ষ্য করে;
- সম্পত্তি বা ডেটা সেন্টারে প্রবেশাধিকার লাভের যেকোনো শারীরিক প্রচেষ্টা
- সিস্টেমের মালিক;
- অটোমেটেড টুল এবং স্ক্যান ব্যবহার করে তৈরি করা রিপোর্ট;
- থার্ড-পার্টি সফটওয়্যারে ত্রুটি;
- নিরাপত্তা হেডারের অনুপস্থিতি যা সরাসরি কোনো দুর্বলতার দিকে নিয়ে যায় না;
- SSL / TLS ট্রাস্ট লঙ্ঘন;
- যেসব দুর্বলতা কেবল outdated বা অবৈধ লাইসেন্সযুক্ত ব্রাউজার ও প্ল্যাটফর্মের ব্যবহারকারীদের প্রভাবিত করে;
- পাসওয়ার্ড এবং অ্যাকাউন্ট পুনরুদ্ধার নীতিমালা, যেমন রিসেট লিংকের মেয়াদ শেষ হওয়া বা পাসওয়ার্ডের শক্তি;
- অপ্রচলিত DNS রেকর্ড, এমন একটি সিস্টেমের দিকে নির্দেশ করে যা সিস্টেম মালিকের অন্তর্ভুক্ত নয়।
বিষয়বস্তু
Appendix B
গুরুত্বের স্তর অনুযায়ী দুর্বলতার ধরণসমূহ:
দুর্বলতা
নিম্ন
মাঝারি
উচ্চ
পাথ ট্রাভার্সাল
10
40
70
ডিরেক্টরি লিস্টিং সক্রিয়
10
40
অনিরাপদ রিডাইরেক্ট URI
5
10
ক্লিকজ্যাকিং
5
ব্রুট ফোর্স আক্রমণ
5
SQL ইনজেকশন (খালি ডেটাবেস, কার্যকরী ডেটাবেস)
10
40
70
XML এক্সটার্নাল এন্টিটি ইনজেকশন
50
70
লোকাল ফাইল ইনক্লুশন
50
রিমোট কোড এক্সিকিউশন
10
50
100
অথেন্টিকেশন বাইপাস
50
90
অ্যাকাউন্ট টেকওভার
50
90
অনিরাপত সরাসরি অবজেক্ট রেফারেন্স
10
স্টোর্ড XSS
20-30
রিফ্লেক্টেড XSS
10-20
সার্ভার-সাইড রিকোয়েস্ট
40-60
ক্রস-সাইট রিকোয়েস্ট ফোর্জারি
10-20
রেস কন্ডিশন
10
90
সার্ভার-সাইড টেমপ্লেট ইনজেকশন
20
80
পাথ ট্রাভার্সাল
নিম্ন
10
মাঝারি
40
উচ্চ
70
ডিরেক্টরি লিস্টিং সক্রিয়
নিম্ন
10
মাঝারি
40
উচ্চ
অনিরাপদ রিডাইরেক্ট URI
নিম্ন
5
মাঝারি
10
উচ্চ
ক্লিকজ্যাকিং
নিম্ন
5
মাঝারি
উচ্চ
ব্রুট ফোর্স আক্রমণ
নিম্ন
5
মাঝারি
উচ্চ
SQL ইনজেকশন (খালি ডেটাবেস, কার্যকরী ডেটাবেস)
নিম্ন
10
মাঝারি
40
উচ্চ
70
XML এক্সটার্নাল এন্টিটি ইনজেকশন
নিম্ন
মাঝারি
50
উচ্চ
70
লোকাল ফাইল ইনক্লুশন
নিম্ন
মাঝারি
50
উচ্চ
রিমোট কোড এক্সিকিউশন
নিম্ন
10
মাঝারি
50
উচ্চ
100
অথেন্টিকেশন বাইপাস
নিম্ন
মাঝারি
50
উচ্চ
90
অ্যাকাউন্ট টেকওভার
নিম্ন
মাঝারি
50
উচ্চ
90
অনিরাপত সরাসরি অবজেক্ট রেফারেন্স
নিম্ন
10
মাঝারি
উচ্চ
স্টোর্ড XSS
নিম্ন
20-30
মাঝারি
উচ্চ
রিফ্লেক্টেড XSS
নিম্ন
10-20
মাঝারি
উচ্চ
সার্ভার-সাইড রিকোয়েস্ট
নিম্ন
মাঝারি
40-60
উচ্চ
ক্রস-সাইট রিকোয়েস্ট ফোর্জারি
নিম্ন
10-20
মাঝারি
উচ্চ
রেস কন্ডিশন
নিম্ন
10
মাঝারি
উচ্চ
90
সার্ভার-সাইড টেমপ্লেট ইনজেকশন
নিম্ন
20
মাঝারি
উচ্চ
80
দুর্বলতার গুরুত্বের স্তর অনুযায়ী পয়েন্ট প্রদান করা হয় নিম্নরূপ:
- নিম্ন গুরুত্বের স্তর - ০ থেকে ৩০ পয়েন্ট;
- মাঝারি গুরুত্বের স্তর - ৩১ থেকে ৬০ পয়েন্ট;
- উচ্চ গুরুত্বের স্তর - ৬১ থেকে ১০০ পয়েন্ট।
- sms-activate.ai
- hstock.org
- ipkings.io
পুরস্কার
পুরস্কারের পরিমাণ দুর্বলতার গুরুত্ব, শোষণের সহজতা এবং ব্যবহারকারীর ডেটার ওপর প্রভাবের ওপর নির্ভর করে। গুরুত্বের স্তরটি প্রায়শই ডেভেলপারদের সাথে আলোচনা করে নির্ধারণ করা হয় এবং এতে বেশি সময় লাগতে পারে।
দুর্বলতা
পুরস্কার
রিমোট কোড এক্সিকিউশন (RCE)
$1500 - $5000
লোকাল ফাইল অ্যাক্সেস এবং অন্যান্য (LFR, RFI, XXE)
$500 - $3000
ইনজেকশন
$500 - $3000
ক্রস-সাইট স্ক্রিপ্টিং (XSS), সেলফ-XSS বাদে
$100 - $500
SSRF, ব্লাইন্ড SSRF ব্যতীত
$300 - $1000
ব্লাইন্ড এসএসআরএফ
$100 - $500
মেমোরি লিক / আইডিওআর / সুরক্ষিত ব্যক্তিগত ডেটা বা সংবেদনশীল ব্যবহারকারীর তথ্য ফাঁস হওয়া
$70 - $1150
অন্যান্য নিশ্চিত করা দুর্বলতা
গুরুত্বের ওপর নির্ভর করে
ব্যবহারকারীর ডেটা নিয়ে কাজ করা সমস্ত SMS-Activate অ্যাপ জড়িত। আমাদের অ্যাপ্লিকেশনগুলো পাওয়া যাবে Google Play
এবং App Store
SMS-Activate নামে
অ্যাপস
দুর্বলতা
পুরস্কার
রিমোট কোড এক্সিকিউশন (RCE)
$1500 - $5000
লোকাল ফাইল অ্যাক্সেস এবং অন্যান্য (LFR, RFI, XXE)
$500 - $3000
ইনজেকশন
$500 - $3000
SSRF, ব্লাইন্ড SSRF ব্যতীত
$300 - $1000
ব্লাইন্ড এসএসআরএফ
$100 - $500
মেমোরি লিক / আইডিওআর / সুরক্ষিত ব্যক্তিগত ডেটা বা সংবেদনশীল ব্যবহারকারীর তথ্য ফাঁস হওয়া
$70 - $1150
ক্রস-সাইট রিকোয়েস্ট ফোর্জারি (CSRF, ফ্ল্যাশ ক্রসডোমেইন রিকোয়েস্ট, CORS)
$35 — $300
অন্যান্য নিশ্চিত করা দুর্বলতা
গুরুত্বের ওপর নির্ভর করে