مسابقه کشف آسیبپذیری
در طلاین، باور داریم که امنیت حاصل تلاش جمعی است. اگر در بررسی سامانهها و خدمات ما به نقطهی ضعف یا آسیبپذیری احتمالی برخورد کردید، خوشحال میشویم یافتهتان را با ما در میان بگذارید. مشارکت شما میتواند نقش مهمی در مقاومسازی زیرساختها و افزایش ایمنی کاربران ایفا کند.
محدوده و آدرسها
طلاین برای حفاظت از امنیت و اطلاعات کاربران خود، همواره بهدنبال همکاری با متخصصین امنیت است. از شما دعوت میکنیم تا با شناسایی و گزارش آسیبپذیریها، در ارتقای سطح امنیت سیستمها و خدمات ما مشارکت کنید.
app.tlyn.ir
my.tlyn.ir
(قیمتها به میلیون تومان)
- آسیبپذیری با درجه تأثیر بحرانیتا ۱۵۰
- آسیبپذیری با درجه تأثیر بالاتا ۵۰
- آسیبپذیری با درجه تأثیر متوسطتا ۱۵
- آسیبپذیری با درجه تأثیر پایینتا ۵
*.tlyn.ir
*.taline.ir
(قیمتها به میلیون تومان)
- آسیبپذیری با درجه تأثیر بحرانیتا ۸۰
- آسیبپذیری با درجه تأثیر بالاتا ۲۵
- آسیبپذیری با درجه تأثیر متوسطتا ۶
- آسیبپذیری با درجه تأثیر پایینتا ۲
سطوح شدت آسیبپذیری
Any vulnerability that threatens or disrupts the continuity of business operations
Mass Account Takeover, Injection, Payment Gateway Exploits: Double Spending & Unauthorized Wallet Top-ups, Access to Private API Keys/Secrets
Vertical/Horizontal Privilege Escalation, Insecure Direct Object Reference, Authorization/Authentication Bypass, Source Code Disclosure, Stored XSS (Non-Privileged User to Privileged user), Bypassing Registered Card Restriction, Withdraw Limit Bypass
Account Takeover by User Interaction, Reflected XSS, OAuth misusable misconfiguration
Open Redirect (GET-Based), SSRF (External), CRLF Injection
شرایط و قوانین
قوانین کلیدی و تعهدات (Golden Rules)
حفظ حریم خصوصی: به دلیل حساسیت بالای اطلاعات کاربران، شما متعهد میشوید که تمامی آزمایشها را تنها بر روی حساب کاربری خودتان انجام دهید. هرگونه دسترسی غیرمجاز، تغییر یا افشای دادههای شخصی سایر کاربران اکیداً ممنوع است.
مدیریت اطلاعات حساس: در صورتی که آسیبپذیریای مرتبط با نشت اطلاعات (Data Leak) شناسایی کردید، از کپی کردن یا انتشار هرگونه اطلاعات حساس خودداری کنید. پس از تأیید نهایی گزارش و دریافت جایزه، تمام اطلاعات مرتبط باید به صورت کامل حذف گردند.
موارد خارج از محدوده (Out of Scope)
گزارشهای مربوط به موارد زیر پذیرفته نخواهند شد و مشمول پاداش نمیشوند:
آسیبپذیریهای سمت کاربر (Local): آسیبپذیریهایی که به صورت محلی (Local) و با فرض دسترسی قبلی به دستگاه، سیستمعامل یا مرورگر کاربر (مانند دسترسی فیزیکی، نصب بدافزار، یا حملات Man-in-the-Middle) قابل پیادهسازی هستند.
سرویسهای شخص ثالث (Third Party): تمامی زیردامنهها و سرویسهایی که خارج از مجموعه سرویسدهی طلاین هستند (مانند سرویسهای میزبانی، ابزارهای تحلیلی و غیره).
محیطهای غیرعملیاتی: تمامی زیردامنههایی که برای تست (Staging)، دیباگینگ یا مقاصد مشابه استفاده میشوند.
وردپرس: گزارشهای مربوط به آسیبپذیریهای پلتفرم وردپرس تحت پوشش این برنامه قرار نمیگیرند. (اما طبق بخش گزارشدهی، پذیرای دریافت محرمانه آن هستیم).
شرایط پذیرش و پاداش
قابل اکسپلویت بودن: گزارش شما تنها در صورتی تأیید و مشمول پاداش خواهد شد که آسیبپذیری کشفشده، قابل بهرهبرداری (Exploitable) و دارای سناریوی حملهی مشخص باشد.
گزارشهای تکراری: برای یک آسیبپذیری مشابه در چند دامنه یا زیردامنه مختلف، تنها یک گزارش (معمولاً اولین گزارش دریافتی) تأیید شده و یک جایزه به فرد تعلق میگیرد.
فرآیند گزارشدهی و پاسخگویی
گزارشدهی محرمانه: در صورتی که هرگونه آسیبپذیری (چه شامل بounty و چه خارج از آن مانند وردپرس) کشف کردید، لطفاً آن را به طور محرمانه و انحصاراً از طریق ایمیل به طلاین گزارش دهید.
زمانبندی بررسی: فرآیند بررسی و پاسخگویی اولیه به گزارشها، بین ۷ تا ۱۴ روز کاری پس از دریافت گزارش انجام خواهد شد.
سیاست افشای عمومی
ممنوعیت انتشار عمومی: انتشار هرگونه گزارش آسیبپذیری یا جزئیات آن در فضای عمومی، وبلاگها یا شبکههای اجتماعی، تنها با تأیید کتبی و رسمی طلاین امکانپذیر است.
آسیبپذیریهای خارج از محدوده
- Self XSS
- Internal open redirect
- Brute Forcing accounts
- DOS/DDOS attacks
- Vulnerabilities related to rate limit are considered outside the scope of bug bounty until they lead to a vulnerability with a higher degree of importance.
- Social engineering attacks
- Physical attacks or exploits
- Vulnerabilities on third-party websites or applications
- Vulnerabilities already reported by others
- Vulnerabilities requiring physical access to devices
- Spam or phishing vulnerabilities
- Issues related to outdated or unsupported browsers/clients
- Email spoofing
- lack of security headers
- Issues related to insecure SSL/TLS cipher suites or protocols
- SSRF (DNS Query Only)
- Open Redirect (POST-Based)
- Captcha brute force & OCR Captcha By-Pass
آدرس و IPهای خارج از محدوده
SHA256 of Address/IP
- 402bbd0f0ebc2718f1b4ce962a23a608518258b6cd83e2a6a2a67161ccb2ccf6
- c44153d272bd5759fa937db9922480bfd58c9eb3c1ebdb5fd862a7ab18d0feaa
- 03dd6dadbc17074a759783eae885309912b499fff39b9d4b7ab94dd772807e93
- 8cad095c5dd7dfb06c45de5207fda701e165b03f5aae9aabc352389ed99afb71
- a2a1e7f548a2d0cc2d616a9791b0460e0e806c33231f198e52620d0f71b33bb7
- e97d80cf1113e8b317fed93ec8074b255e4c37e465452010e66ef2934328a757
- e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
ویژگی گزارشها
- لطفاً گزارش آسیبپذیری را با تمام جزئیات لازم تهیه کرده تا تیم امنیت بتواند به سرعت آن را آزمایش و بررسی کند.
- برای کمک به سرعت و دقت بررسی، ارسال ویدیو همراه با گزارش متنی بسیار مؤثر است.
- در ابتدای ویدیوی خود ابتدا وبسایت time.ir را باز کرده و با انجام دستور Refresh زمان دقیق انجام کار خود را نمایش دهید. سپس آدرس IP خود را از طریق api.ipify.org نشان دهید.
- در گزارش متنی، آسیبپذیری را بهطور مرحله به مرحله شرح دهید. اگر از ابزار یا پیلود خاصی برای شناسایی آسیبپذیری استفاده کردهاید، حتماً در گزارش به آن اشاره کنید.
- برای تسهیل در داوری و بررسی، هر آسیبپذیری را در یک گزارش مجزا ارسال کنید.