Πιάστε μας — κερδίστε μια ανταμοιβή.
Το δικό μας πρόγραμμα. Δεχόμαστε δύο είδη ευρημάτων: κλασικές ευπάθειες (track A) και αντικρούσεις της αναφοράς ασφαλείας μας (track B). Τα επίπεδα πληρωμής είναι κοινά και για τα δύο· η ανταμοιβή πιστώνεται στο υπόλοιπο της πλατφόρμας σας.
Πού μπορείτε να κυνηγήσετε.
Εντός πεδίου
- createyourvpn.com και api.createyourvpn.com
- τα δικά σας domains βιτρίνας
- ένας ρητά καθορισμένος δοκιμαστικός διακομιστής
Εκτός πεδίου
- διακομιστές και δεδομένα συνεργατών και τελικών χρηστών
- denial-of-service / δοκιμές καταπόνησης (stress testing)
- κοινωνική μηχανική, spam, phishing
- φυσική πρόσβαση
Η ενεργή δοκιμή επιτρέπεται μόνο στο περιβάλλον preprod (pp.*), ώστε το κυνήγι να μην αγγίζει ποτέ ενεργούς συνεργάτες ή τους χρήστες τους. Τα ζητήματα που επηρεάζουν και την παραγωγή εξακολουθούν να μετρούν — απλώς αναπαραγάγετέ τα στο περιβάλλον preprod.
Επίπεδα πληρωμής.
RCE· πρόσβαση σε άλλους διακομιστές ή κλειδιά SSH· παράκαμψη εξουσιοδότησης· αντίκρουση ενός ισχυρισμού SR σχετικά με την αποθήκευση κλειδιών
IDOR σε δεδομένα τρίτων· XSS με υποκλοπή συνεδρίας· αντίκρουση άλλων ισχυρισμών SR
XSS με περιορισμένη επίδραση· αποκάλυψη εσωτερικών πληροφοριών
σημειώσεις βέλτιστων πρακτικών· μια κεφαλίδα που λείπει χωρίς exploit
Σύντομοι και ειλικρινείς.
- Εκτελείτε ενεργές δοκιμές μόνο στο καθορισμένο περιβάλλον preprod (pp.*) — ποτέ εναντίον της παραγωγής ή διακομιστών συνεργατών ή χρηστών.
- Η ανταμοιβή πηγαίνει μόνο στον πρώτο που αναφέρει· τα διπλότυπα λαμβάνουν αναφορά στον πίνακα τιμής.
- Απαιτείται μια αναπαραγώγιμη απόδειξη ιδέας (proof of concept)· το «σας λείπει η κεφαλίδα X» χωρίς exploit είναι πίνακας τιμής, όχι ανταμοιβή.
- Υπεύθυνη αποκάλυψη: 90 ημέρες σιωπής· απαντάμε εντός 72 ωρών.
- Ασφαλές λιμάνι (safe harbor): δεν θα καταδιώξουμε καλόπιστη έρευνα εντός πεδίου.
- Δοκιμάστε μόνο στους δικούς σας λογαριασμούς.
- Εκτός πεδίου: διακομιστές και δεδομένα συνεργατών και χρηστών, denial of service, κοινωνική μηχανική, spam, φυσική πρόσβαση.
Βρήκατε κάτι;
Στείλτε μια αναφορά με μια αναπαραγώγιμη απόδειξη ιδέας μέσω email. Μπορείτε επίσης να μας βρείτε μέσω του αρχείου security.txt στα domains μας.