آسیب‌پذیری امنیتی
هر ضعفی که به دسترسی غیرمجاز، افشای اطلاعات کاربران یا جابه‌جایی دارایی بدون اجازه‌ی صاحب حساب برسد. شدت این گزارش‌ها با استاندارد CVSS نسخه‌ی ۴ سنجیده می‌شود و جایزه به همان نسبت بالا می‌رود.
برنامه‌ی باگ‌بانتی ایران بیتکوین
باگ پیدا کنید، جایزه بگیرید
اگر در سایت یا اپلیکیشن ایران بیتکوین به حفره‌ی امنیتی یا خطایی در عملکرد برخوردید، به ما خبر بدهید. هر گزارش را تیم فنی بررسی می‌کند و به اولین گزارش‌دهنده‌ی هر مشکلِ تأییدشده جایزه می‌دهیم.
چه چیزی را می‌توانید گزارش کنید؟
خطای عملکردی
محاسبه‌ی اشتباه، فرایندی که کامل نمی‌شود یا بخشی از سایت که درست کار نمی‌کند. این خطاها خطر امنیتی ندارند، ولی رفعشان سرویس را برای همه بهتر می‌کند و جایزه‌ی جداگانه‌ای دارند.
سطح‌بندی شدت و جایزه
هرچه سطح شدت بالاتر باشد، جایزه بیشتر است. مبلغ هر گزارش پس از بررسی و بر اساس اثر واقعی آسیب‌پذیری و کیفیت گزارش تعیین می‌شود.
سطحامتیاز CVSSنمونه
بحرانی
امتیاز CVSS: ۹٫۰ تا ۱۰٫۰
دسترسی کامل به سامانه، افشای گسترده‌ی اطلاعات کاربران یا برداشت از حساب دیگران
بالا
امتیاز CVSS: ۷٫۰ تا ۸٫۹
دسترسی به اطلاعات حساس یا دور زدن احراز هویت، بدون نیاز به شرایط خاص
متوسط
امتیاز CVSS: ۴٫۰ تا ۶٫۹
اثر محدود، یا بهره‌برداری که فقط در شرایط خاص ممکن است
پایین
امتیاز CVSS: ۰٫۱ تا ۳٫۹
اثر ناچیز، یا محدود به حساب خود گزارش‌دهنده
محدوده‌ی برنامه
در محدوده
- وب‌سایت irbtc.app و پنل کاربری
- اپلیکیشن اندروید و نسخه‌ی وب‌اپ
- رابط برنامه‌نویسی (API) که سایت و اپلیکیشن به آن وصل می‌شوند
خارج از محدوده (بدون جایزه)
- مهندسی اجتماعی و فیشینگ علیه کاربران یا کارکنان
- حمله‌های منع سرویس (DoS و DDoS)
- خروجی خام اسکنرهای خودکار، بدون اثبات بهره‌برداری
- نبودِ هدرهای امنیتی یا تنظیمات پیشنهادی، وقتی اثر عملی ندارد
- حمله‌هایی مثل Self-XSS که فقط روی حساب خود گزارش‌دهنده اثر دارند
- آسیب‌پذیری سرویس‌های شرکت‌های دیگر، مثل درگاه پرداخت
- گزارشی که پیش‌تر فرد دیگری ثبت کرده است
قوانین
- ۱فقط روی حساب خودتان آزمایش کنید و به حساب یا دارایی کاربران دیگر دست نزنید.
- ۲اگر آزمایش شما سرویس را مختل کرد، همان لحظه متوقف شوید و به ما خبر بدهید.
- ۳برای اثبات، کمترین داده‌ی ممکن را بردارید. در آزمایش تزریق به پایگاه داده، خواندن چند ردیف کافی است.
- ۴گزارش را بلافاصله پس از کشف بفرستید و از آسیب‌پذیری استفاده‌ی دیگری نکنید.
- ۵تا وقتی مشکل رفع نشده و اجازه‌ی کتبی نگرفته‌اید، جزئیات را جایی منتشر نکنید.
- ۶جایزه به اولین کسی می‌رسد که یک آسیب‌پذیری را گزارش کند.
- ۷سطح شدت و مبلغ جایزه را تیم فنی ایران بیتکوین تعیین می‌کند.
- ۸جایزه به حساب کاربری شما در ایران بیتکوین واریز می‌شود و برای دریافتش، حساب باید احراز هویت شده باشد.
تعهد ما به گزارش‌دهنده
اگر با حسن نیت و در چارچوب همین قوانین آزمایش کنید، ایران بیتکوین علیه شما اقدام قانونی نمی‌کند و حساب کاربری‌تان را به این دلیل محدود نمی‌کند.
گزارش را چطور بفرستید؟
گزارشی که کامل باشد سریع‌تر بررسی می‌شود. این پنج مورد را در آن بیاورید:
- عنوانی کوتاه که نوع مشکل را بگوید
- نشانی صفحه یا بخشی که مشکل در آن دیده می‌شود
- مراحل بازتولید، قدم‌به‌قدم و به ترتیب
- اثر مشکل: مهاجم با آن به چه چیزی می‌رسد؟
- تصویر، ویدئو یا نمونه‌ی درخواست و پاسخ
گزارش را از بخش تیکت‌های پنل کاربری بفرستید و در عنوان تیکت بنویسید «گزارش باگ». نتیجه‌ی بررسی در همان تیکت به شما اعلام می‌شود.
ثبت گزارش