Nachytajte nás — získajte odmenu.
Vlastný program. Prijímame nálezy dvoch druhov: klasické zraniteľnosti (trať A) a vyvrátenia našej bezpečnostnej správy (trať B). Platobné úrovne sú spoločné pre oba; odmena sa pripíše na váš zostatok na platforme.
Kde môžete loviť.
V rozsahu
- createyourvpn.com a api.createyourvpn.com
- vaše vlastné domény výkladu
- výslovne určený testovací server
Mimo rozsahu
- servery a údaje partnerov a koncových používateľov
- denial-of-service / záťažové testovanie
- sociálne inžinierstvo, spam, phishing
- fyzický prístup
Aktívne testovanie je povolené len na predprodukčnom stánku (pp.*), takže sa lov nikdy nedotýka živých partnerov ani ich používateľov. Problémy, ktoré sa týkajú aj produkcie, sa stále počítajú — len ich reprodukujte na stánku.
Platobné úrovne.
RCE; prístup k iným serverom alebo SSH kľúčom; obídenie autorizácie; vyvrátenie tvrdenia SR o ukladaní kľúčov
IDOR k údajom iných; XSS s únosom relácie; vyvrátenie iných tvrdení SR
XSS s obmedzeným dopadom; zverejnenie interných informácií
poznámky k osvedčeným postupom; chýbajúca hlavička bez exploitu
Krátko a úprimne.
- Aktívne testy vykonávajte len na určenom predprodukčnom stánku (pp.*) — nikdy proti produkcii, serverom partnerov ani používateľov.
- Odmena patrí len prvému nahlasovateľovi; duplikáty získajú zápis v hall of fame.
- Vyžaduje sa reprodukovateľný proof of concept; „chýba vám hlavička X“ bez exploitu je hall of fame, nie odmena.
- Zodpovedné zverejnenie: 90 dní mlčania; odpovedáme do 72 hodín.
- Bezpečný prístav: dobromyseľný výskum v rámci rozsahu nebudeme stíhať.
- Testujte len na vlastných účtoch.
- Mimo rozsahu: servery a údaje partnerov a používateľov, denial of service, sociálne inžinierstvo, spam, fyzický prístup.
Našli ste niečo?
Pošlite hlásenie s reprodukovateľným proof of concept e-mailom. Nájdete nás aj cez súbor security.txt na našich doménach.