Программа Bybit Kazakhstan Bug Bounty

Есть ли на Bybit Kazakhstan программа вознаграждений за ошибки?

Да, на Bybit Kazakhstan есть программа вознаграждений за ошибки. Если вы заметили уязвимость на Bybit Kazakhstan и хотите получить награду за ошибку, выполните следующие действия:

Шаг 1. Консолидируйте все полученные результаты в аккуратном и организованном формате. Мы будем благодарны за предоставление GIF или видеозаписей об ошибке.

Шаг 2. Отправьте свой отчёт о безопасности и результаты через эту форму и выберите вариант Торговля API / Сообщение об уязвимости безопасности.

Для видеозаписей, пожалуйста, загрузите их на Google Диск и отправьте нам ссылку для общего доступа. Для получения дополнительной информации перейдите по этой ссылке.

Какая награда за ошибку предоставляется при одобрении уязвимости?

Вознаграждение за ошибки доступно в таблице ниже в зависимости от уровня обнаруженной уязвимости.

Как определяются различные уровни ошибок/уязвимостей?

Для получения дополнительной информации ознакомьтесь со списком ниже:

Критические уязвимости

Критическая уязвимость — это уязвимость, которая возникает в основной бизнес-системе (базовой системе контроля, системе управления на местах, системе распределения бизнеса, форс-машине или другом центре контроля, который может управлять большим количеством систем). Это может привести к серьезным последствиям: получению доступа к системе управления бизнесом (в зависимости от фактической ситуации) или персоналу управления основной системой, а также даже к контролю основной системы.

Критические уязвимости включают, помимо прочего:

1. Несколько устройств получают доступ к внутренней сети
2. Получение доступа к базовому серверу суперадминистратора, утечка основных корпоративных данных и серьезное влияние
3. Переполнение смарт-контрактов и условная уязвимость

Уязвимости с высоким риском

1. Получите доступ к системе (getshell, исполнение команд и т. д.)
2. Инъекция в системный SQL (деградация уязвимости на стороне сервера, приоритизация отправки пакета по мере необходимости)
3. Получение несанкционированного доступа к конфиденциальной информации, включая, помимо прочего, прямой доступ к информации об управлении за счёт обхода аутентификации, грубых атак с помощью внутренних паролей или получения SSRF из конфиденциальной информации во внутренней сети и т. д.
4. Произвольное чтение документов
5. Уязвимость XXE, которая может получить доступ к любой информации
6. Несанкционированная операция, которая предполагает обход денег или логики оплаты (должно быть успешно использовано)
7. Серьёзные логические дефекты конструкции и технологического процесса. К ним относятся, помимо прочего, любые уязвимости для входа пользователя, уязвимости изменения пароля для партнёрского аккаунта, логическая уязвимость, связанная с базовым бизнесом предприятия и т. д., за исключением взрыва кода верификации
8. Другие уязвимости, которые влияют на пользователей в крупном масштабе. К ним относятся, помимо прочего, XSS, который может автоматически распространяться на важные страницы, и XSS, который может получить доступ к информации для аутентификации администратора и успешно использоваться
9. Утечка исходного кода
10. Дефекты контроля разрешений в смарт-контракте

Уязвимости со средним риском

1. Уязвимость, которая может повлиять на пользователей в результате взаимодействия, включая, помимо прочего, хранение XSS на общих страницах, CSRF с участием основного бизнеса и т. д.
2. Общая несанкционированная работа, помимо прочего, изменение данных пользователей и выполнение действий пользователей за счёт обхода ограничений
3. Уязвимости типа «отказ в обслуживании», включая, помимо прочего, удаленные уязвимости типа «отказ в обслуживании», вызванные отказом в обслуживании веб-приложений
4. Уязвимости, вызванные успешным взрывом в работе системы, например, любой вход в аккаунт, доступ к паролю и т. д., из-за дефектов логики кода верификации
5. Утечка локально хранимой конфиденциальной информации о ключе аутентификации, которая должна быть доступна для эффективного использования

Уязвимости с низким уровнем риска

1. Локальные уязвимости типа «отказ в обслуживании» включают, помимо прочего, локальные отказы в обслуживании клиентов (разбор форматов файлов, сбои, вызванные сетевыми протоколами), проблемы, вызванные доступом к компонентам Android, общим доступом к приложениям и т. д.
2. Общая утечка информации, не ограничиваясь пересечением веб-пути, пересечением системного пути, просмотром каталога и т. д.
3. XSS (включая DOM XSS/Reflected XSS)
4. Общий CSRF
5. Уязвимость пропуска URL-адреса
6. SMS-бомбы, почтовые бомбы (каждая система принимает только один тип этой уязвимости).
7. Другие уязвимости, которые менее вредны (и не могут быть доказаны, например, уязвимость CORS, которая не может получить доступ к конфиденциальной информации)
8. Отсутствие прибыли и углубленного использования SSRF

Уязвимости, которые в настоящее время не принимаются (даже если такая уязвимость отправлена, она будет проигнорирована)

1. Спуфинг по электронной почте
2. Уязвимость списка пользователей
3. Самостоятельное внедрение в XSS и HTML
4. На веб-страницах отсутствуют политики безопасности CSP и SRI
5. Проблемы с CSRF для неконфиденциальных операций
6. Отдельная проблема, связанная с приложением Android Android:allowBackup=«true», в которой сервис отклонён локально и т. д. (за исключением подробного использования)
7. Такие проблемы, как изменение размера изображения, создание медленных запросов и т. д.
8. Проблемы с утечкой версии, такие как NGINX и т. д.
9. Некоторые функциональные ошибки, которые не представляют риска для безопасности
10. Физическая атака на Bybit Kazakhstan / атака на сотрудников Bybit Kazakhstan с помощью социальной инженерии

Запрещенное поведение

1. Социальная инженерия и/или участие в фишинге
2. Утечка информации об уязвимости
3. Тестирование на уязвимости ограничено PoC (проверкой концепции), а деструктивное тестирование строго запрещено. Если во время тестирования был причинен непреднамеренный вред, об этом необходимо сообщить вовремя. Тем временем в отчете должны быть объяснены конфиденциальные операции, выполняемые во время тестирования, такие как удаление, изменение и другие операции
4. Использование сканера для крупномасштабного сканирования. Если бизнес-система или сеть станут недоступными, то с ними будут обращаться в соответствии с применимыми законами
5. Те, кто проверяет уязвимость, должны избегать прямого изменения страницы, продолжения всплывающего окна сообщения (для проверки xss рекомендуется использовать DNSLog), кражи файлов cookie и/или получения агрессивной полезной нагрузки, такой как информация о пользователе (для тестирования xss вслепую используйте dnslog). Если вы случайно используете более агрессивную полезную нагрузку, немедленно удалите её. В противном случае мы имеем право на исполнение соответствующих юридических обязательств.