Bug Bounty програма
skin1 чува вистински предмети и вистински пари за нашата заедница, па безбедноста не е за преговарање. Ако најдеш ранливост, пријави ја одговорно и ќе те наградиме што ја чуваш платформата безбедна. Опсезите подолу се насоки — конечните исплати зависат од потврдено влијание, искористливост и квалитет на пријавата.
Опфат
Што сметаме за важечки цели за оваа програма.
- Автентикација, управување со сесии и вектори за преземање на сметка
- Логика на размена и Market — манипулација со цени, дуплирање предмети, двојно трошење
- Тек на плаќања и исплати, манипулација со баланс, злоупотреба на поврати
- Инјекција на страна на серверот (SQLi, команда, шаблон) и RCE
- Складиран или рефлектиран XSS и CSRF на автентикувани дејства
- IDOR / нарушена контрола на пристап што изложува податоци или инвентар на други корисници
- Интеграција на Steam trade-bot и обработка на inspect линкови
- Self-XSS, clickjacking на неосетливи страници и недостасувачки безбедносни заглавија без работечки експлоит
- Пријави за ограничување на стапка, brute-force или волуметриски DoS / DDoS
- Социјален инженеринг, phishing или физички напади врз персоналот
- Пријави од автоматски скенери без потврдено, репродуцибилно влијание
Нивоа на награди
Сериозноста се проценува со CVSS плус реалното влијание врз средствата и предметите на корисниците.
| Сериозност | Награда | Типични наоди |
|---|---|---|
| Ниска | €50 – €150 | Ограничено влијание — мало откривање информации, неправилна конфигурација со низок ризик. |
| Средна | €150 – €600 | Складиран XSS, CSRF на осетливи дејства, IDOR што изложува ограничени кориснички податоци. |
| Висока | €600 – €2,500 | Преземање на сметка, заобиколување на контрола на пристап, злоупотреба на логика на размена/Market. |
| Критична | €2,500 – €10,000 | Далечинско извршување код, масовна компромитација на сметки или кражба на средства/предмети. |
- Ниска: Ограничено влијание — мало откривање информации, неправилна конфигурација со низок ризик.
- Средна: Складиран XSS, CSRF на осетливи дејства, IDOR што изложува ограничени кориснички податоци.
- Висока: Преземање на сметка, заобиколување на контрола на пристап, злоупотреба на логика на размена/Market.
- Критична: Далечинско извршување код, масовна компромитација на сметки или кражба на средства/предмети.
Правила на ангажман
- 1Тестирај само против твојата сопствена сметка и никогаш не пристапувај, менувај или уништувај податоци на други корисници.
- 2Пријави го секој проблем приватно и дај ни разумно време за поправка пред какво било објавување.
- 3Не пуштај автоматски скенери што ја деградираат услугата или создаваат нарушувачко оптоварување.
- 4Обезбеди јасен, репродуцибилен доказ на концепт — нејасните пријави не се квалификуваат за награда.
Истражувањето спроведено во добра волја и во согласност со овие правила е овластено. Нема да преземеме правни дејства против тебе и секоја пријава ја третираме како доверлива додека не се објави поправка.
Испрати шифрирана пријава со чекори за репродукција, влијание и доказ на концепт. Вклучи го твојот паричник или PayPal за исплата на награда.
Наградите се по дискреција и бараат важечка, оригинална пријава во опфат. Персоналот и изведувачите на skin1 не се квалификуваат.