Bug Bounty хөтөлбөр
skin1 нь манай олон нийтийн жинхэнэ зүйлс болон жинхэнэ мөнгийг хадгалдаг тул аюулгүй байдал маргаангүй чухал. Хэрэв та эмзэг байдал олбол хариуцлагатайгаар мэдээлээрэй, бид платформыг аюулгүй байлгаж буйд тань шагнал өгнө. Доорх хүрээ нь удирдамж — эцсийн төлбөр нь батлагдсан нөлөө, ашиглах боломж, тайлангийн чанараас хамаарна.
Хамрах хүрээ
Энэ хөтөлбөрт хүчинтэй гэж үзэх зорилтууд.
- Нэвтрэлт, сешн удирдлага, данс булаан авах аргууд
- Арилжаа болон Market-ийн логик — үнийн залилан, зүйл хувилах, давхар зарцуулалт
- Төлбөр болон бэлэн авалтын урсгал, үлдэгдэлд халдах, буцаан олголтыг урвуулан ашиглах
- Серверийн талын injection (SQLi, командын, template) болон RCE
- Баталгаажсан үйлдлүүд дээрх хадгалагдсан эсвэл тусгагдсан XSS болон CSRF
- Бусад хэрэглэгчийн өгөгдөл эсвэл эд хөрөнгийг ил гаргах IDOR / эвдэрсэн хандалтын хяналт
- Steam арилжааны бот интеграц болон inspect холбоос боловсруулалт
- Self-XSS, эмзэг бус хуудсан дээрх clickjacking, ажиллах эксплойтгүй дутуу аюулгүй байдлын толгойнууд
- Хурд хязгаарлах, brute-force эсвэл эзэлхүүнт DoS / DDoS тайлан
- Ажилтнуудын эсрэг нийгмийн инженерчлэл, фишинг эсвэл биет халдлага
- Батлагдсан, давтагдах нөлөөгүй автомат сканнеруудын тайлан
Шагналын шатлал
Ноцтой байдлыг CVSS болон хэрэглэгчийн мөнгө, зүйлст үзүүлэх бодит нөлөөгөөр үнэлнэ.
| Ноцтой байдал | Шагнал | Ердийн олдворууд |
|---|---|---|
| Бага | €50 – €150 | Хязгаарлагдмал нөлөө — өчүүхэн мэдээлэл задрах, бага эрсдэлтэй буруу тохиргоо. |
| Дунд | €150 – €600 | Хадгалагдсан XSS, эмзэг үйлдлүүд дээрх CSRF, хязгаарлагдмал хэрэглэгчийн өгөгдөл ил гаргах IDOR. |
| Өндөр | €600 – €2,500 | Данс булаан авах, хандалтын хяналтыг тойрох, арилжаа/Market-ийн логикийг урвуулан ашиглах. |
| Онц ноцтой | €2,500 – €10,000 | Алсын кодын гүйцэтгэл, олон дансыг эвдэх, эсвэл мөнгө/зүйл хулгайлах. |
- Бага: Хязгаарлагдмал нөлөө — өчүүхэн мэдээлэл задрах, бага эрсдэлтэй буруу тохиргоо.
- Дунд: Хадгалагдсан XSS, эмзэг үйлдлүүд дээрх CSRF, хязгаарлагдмал хэрэглэгчийн өгөгдөл ил гаргах IDOR.
- Өндөр: Данс булаан авах, хандалтын хяналтыг тойрох, арилжаа/Market-ийн логикийг урвуулан ашиглах.
- Онц ноцтой: Алсын кодын гүйцэтгэл, олон дансыг эвдэх, эсвэл мөнгө/зүйл хулгайлах.
Оролцооны дүрэм
- 1Зөвхөн өөрийн данс дээр туршиж, бусад хэрэглэгчийн өгөгдөлд хэзээ ч хандаж, өөрчилж, устгаж болохгүй.
- 2Асуудал бүрийг нууцаар мэдээлж, ил болгохоос өмнө засах боломжийн хугацаа өгнө үү.
- 3Үйлчилгээг сааруулах эсвэл эвдрэлтэй ачаалал үүсгэх автомат сканнер бүү ажиллуул.
- 4Тодорхой, давтагдах баталгааг (proof-of-concept) өгнө үү — тодорхойгүй тайлан шагналд тэнцэхгүй.
Шударгаар, эдгээр дүрмийн дагуу хийсэн судалгаа зөвшөөрөгдсөн. Бид таны эсрэг хууль ёсны арга хэмжээ авахгүй бөгөөд засвар гартал тайлан бүрийг нууц гэж үзнэ.
Давтах алхам, нөлөө, баталгаа бүхий шифрлэгдсэн тайланг имэйлээр илгээ. Шагнал төлөх түрийвч эсвэл PayPal-ээ оруулна уу.
Шагнал нь сайн дурын бөгөөд хүчинтэй, эх, хамрах хүрээнд багтах тайлан шаардлагатай. skin1-ийн ажилтан, гэрээт ажилтнууд тэнцэхгүй.