SMS-ACTIVATE
浏览器
Bug Bounty 计划参与规则
欢迎加入 Bug Bounty 计划！您的参与有助于提升我们产品与服务的安全性。请仔细阅读以下规则，以确保高效且符合伦理的合作
注册与验证
- 注册： 要参与本计划，您首先需要在网站上注册账号 sms-activate.ai 在注册过程中提供您的 Telegram 账号，以便轻松沟通；
- 验证： 您需要完成验证流程才能接收付款。一旦您的报告获得批准，我们将通过 Telegram 向您发送详细说明。
提交报告
- 研读规则： 在提交报告之前，请熟悉参与规则以及可被认可的漏洞类型；
- 报告表单： 使用页面上的表单 sms-activate.ai/bugbountyForm 提交您的报告。您的报告应包含对漏洞的清晰描述、复现步骤、证据（截图、视频）以及修复建议；
- 附加文件： 如有必要，请附上额外文件以证实漏洞；
报告审核流程
我们的安全专家将仔细分析您的报告。此过程最多可能需要三个月。在此期间，报告可能会被赋予以下状态之一：“待处理”、“已分类”、“被管理员拒绝”、“需要更多信息”等。
漏洞类型
在
中，您可以找到不符合奖励资格的漏洞类型列表。在
中，规定了评估漏洞重要性级别的标准。
验证与隐私
您为验证目的提供的所有个人数据将仅用于身份识别，未经您同意不会向第三方披露。我们将竭尽全力确保您数据的隐私与安全。
付款
在成功完成验证并确认漏洞后，您将有机会获得奖励。奖励金额将根据漏洞的重要性级别以及所提供报告的质量来确定。
道德规范
我们期望参与者以负责任且合乎道德的方式行事。禁止利用发现的漏洞造成损害、未经授权访问数据或系统，或在漏洞修复之前传播有关该漏洞的信息。
结语
我们感谢您为提升我们产品和服务的安全性所做出的贡献。您的参与有助于为我们所有人创造一个更安全的数字空间。
祝您在漏洞挖掘中好运！您的贡献无价，因此我们衷心感谢您帮助我们保障系统安全。
附录 A
不属于奖励范围的漏洞类型（低危漏洞，即使被利用也不会产生严重后果，包括）：
- IDOR （仅在高危级别情况下接受此类漏洞报告；危急程度由我们的专家在确认漏洞时确定）；
- 各类 XSS 漏洞， 存储型 XSS 除外（存储型 XSS 漏洞报告是否接受取决于 Web 资源的重要性）；
- 点击劫持；
- 不安全的重定向 URI；
- 目录列表启用 （密码、备份等）以及 敏感数据泄露 （视泄露数据而定；仅在发现关键数据时接受此类漏洞报告）；
- 调试模式启用， 但未泄露关键数据；
- CSRF 漏洞， 存在于非关键功能中；
- 管理面板泄露 （如果漏洞猎人发现了管理后台，但无法接管账户或获取其他关键信息）；
- 用户枚举 未泄露关键数据；
- 安全配置错误， 在没有证据表明威胁已实际发生的情况下；
- 拒绝提供服务；
- 垃圾信息；
- 社会工程学攻击， 针对员工、承包商或客户；
- 任何试图物理访问财产或数据中心的行為
- 系统所有者；
- 使用自动化工具和扫描生成的报告；
- 第三方软件中的错误；
- 缺少安全标头 且不会直接导致漏洞；
- SSL / TLS 信任违规；
- 仅影响过时或未授权浏览器及平台用户的漏洞；
- 密码和账户恢复策略， 例如重置链接的有效期或密码强度；
- 过时的 DNS 记录， 指向不属于系统所有者的系统。
目录
附录 B
按严重等级划分的漏洞类型：
漏洞
低
中
高
路径遍历
10
40
70
目录列表启用
10
40
不安全的重定向 URI
5
10
点击劫持
5
暴力破解
5
SQL 注入（空数据库、有效数据库）
10
40
70
XML 外部实体注入
50
70
本地文件包含
50
远程代码执行
10
50
100
身份验证绕过
50
90
账户接管
50
90
不安全的直接对象引用
10
存储型 XSS
20-30
反射型 XSS
10-20
服务器端请求伪造
40-60
跨站请求伪造
10-20
竞争条件
10
90
服务器端模板注入
20
80
路径遍历
低
10
中
40
高
70
目录列表启用
低
10
中
40
高
不安全的重定向 URI
低
5
中
10
高
点击劫持
低
5
中
高
暴力破解
低
5
中
高
SQL 注入（空数据库、有效数据库）
低
10
中
40
高
70
XML 外部实体注入
低
中
50
高
70
本地文件包含
低
中
50
高
远程代码执行
低
10
中
50
高
100
身份验证绕过
低
中
50
高
90
账户接管
低
中
50
高
90
不安全的直接对象引用
低
10
中
高
存储型 XSS
低
20-30
中
高
反射型 XSS
低
10-20
中
高
服务器端请求伪造
低
中
40-60
高
跨站请求伪造
低
10-20
中
高
竞争条件
低
10
中
高
90
服务器端模板注入
低
20
中
高
80
根据漏洞严重等级授予积分，规则如下：
- 低重要性等级 - 0 至 30 分；
- 中等重要性等级 - 31 至 60 分；
- 高重要性等级 - 61 至 100 分。
- sms-activate.ai
- hstock.org
- ipkings.io
奖励
奖励金额取决于漏洞的严重性、利用难度以及对用户数据的影响。严重性等级通常需与开发人员共同评定，因此可能需要更长时间。
漏洞
奖励
远程代码执行 (RCE)
$1500 - $5000
本地文件访问及其他 (LFR, RFI, XXE)
$500 - $3000
注入攻击
$500 - $3000
跨站脚本攻击 (XSS)，不包括 Self-XSS
$100 - $500
SSRF，不包括盲注
$300 - $1000
盲 SSRF
$100 - $500
内存泄漏 / IDOR / 泄露受保护的个人数据或敏感用户信息
$70 - $1150
其他已确认的漏洞
视严重程度而定
所有处理用户数据的 SMS-Activate 应用均包含在内。您可以在以下平台找到我们的应用： Google Play
和 App Store
搜索名称“SMS-Activate”
应用
漏洞
奖励
远程代码执行 (RCE)
$1500 - $5000
本地文件访问及其他 (LFR, RFI, XXE)
$500 - $3000
注入攻击
$500 - $3000
SSRF，不包括盲注
$300 - $1000
盲 SSRF
$100 - $500
内存泄漏 / IDOR / 泄露受保护的个人数据或敏感用户信息
$70 - $1150
跨站请求伪造（CSRF、Flash 跨域请求、CORS）
$35 — $300
其他已确认的漏洞
视严重程度而定