مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL)
بسمه تعالي
در این مسابقه به متخصصین و هکرهای کلاه سفیدی که موفق به کشف حفره امنیتی در سامانه پست الکترونیک چاپار شوند، جایزه داده خواهد شد. گزارش های ارسالی شما طی 7 روز بررسی خواهد شد.
ثبت گزارش
جهت پرداخت جایزه، مدارک قابل استناد که آسیب پذیری را تائید کند (مانند فیلم، عکس از صفحه مانیتور و اسکریپت) مورد نیاز است.
برای بررسی فنی آسیب پذیری گزارش شده، مراحل تولید مجدد آن لازم است. خواهشمند است که مقادیر ورودی و عملیات انجام شده مورد نیاز برای بهره برداری از آسیب پذیری را در گزارش قرار دهید.اگر تیم امنیتی نتواند آسیب پذیری را مجدداً ایجاد و تایید کند، جایزه تعلق نخواهد گرفت.
در یک گزارش خوب انتظار می رود که موارد زیر مشخص شده باشد:
- نوع آسیب پذیری ( SQL Injection، Cross-Site Scripting و ... )
- نوع و نسخه سیستم عامل، مرورگر وسایر برنامه های مورد استفاده
- هرگونه تنظیم خاصی که مورد نیاز است تا حمله را بازسازی کند.
- دستورالعمل مرحله به مرحله برای بازسازی حمله
- آسیب پذیری شرح داده شود. چگونه این آسیب می تواند مورد سوء استفاده قرار گیرد.
دامنه های مورد نظر
کلیه زیردامنه‌های پست الکترونیک چاپار:
https://*.chmail.ir
دامنه های غیر قابل قبول:
sms.chmail.ir
www.chaapaar.ir
آسيب پذيري هاي قابل قبول و جوايز
كليه آسيب پذيري ها در سطوح برنامه كاربردي، سرويس دهنده وب، سيستم عامل، پايگاه داده و كليه اجزاي نرم افزاري وابسته به سايت فوق که قابل بهره برداری هستند، مد نظر است. جوايز بر اساس جدول زير و بر اساس نظركارشناسان سايت كلاه سفيد به متخصصين پرداخت خواهد شد.
|
نوع آسیب پذیری |
میزان تشویقی |
|
Remote code execution |
4 میلیون تومان |
|
Local files access and manipulation |
2 میلیون تومان |
|
Injections |
2 میلیون تومان |
|
Cross-Site Scripting(XSS) |
500 هزار تومان |
|
Cross-Site Requests Forgery (CSRF/XSRF) |
200 تا 400 هزار تومان |
|
Other Low Risk* |
حداکثر 400 هزار تومان |
|
Other Medium Risk* |
400 تا 999 هزار تومان |
|
Other High Risk* |
1 تا 4 میلیون تومان |
* Based on CVSSv2 Vulnerability Scoring System
- برای تشویقی هایی که محدوده تعیین شده، داوران سامانه كلاه سفيد بر اساس پارامترهای Exploitability و Impact تصمیم گیری خواهد کرد و صرفاً نظر این کارشناسان معیار خواهد بود.
- آسیب پذیری های مشابه که مثلاً مربوط به یک پارامتر خاص است و ممکن است در صفحات مختلفی دیده شود، یک بار محسوب می شود.
- در صورتی واجد شرایط جایزه هستید که اولین نفری باشید که یک آسیب پذیری ناشناخته را گزارش کنید.
- زمان قابل قبولی برای تیم امنیتی در نظر گرفته میشود تا آسیب پذیری گزارش شده را ترمیم کنند و قبل از آن نباید اطلاعات گزارش علنی شود.
- افشا آسیب پذیری ها فقط بر اساس قوانین سایت کلاه سفید و توسط این سایت انجام می شود. هر گونه افشا اطلاعات توسط متخصص قبل از آن مغایر با قوانین سایت است.
آسيب‌پذيري هاي غير قابل قبول
آسيب پذيري هاي زير پذيرفته نمي شوند:
- حملات از كار اندازي سرويس (DoS)
- حملات مهندسي اجتماعي و Phishing
- آسيب پذيري در دامنه ها و آدرس هاي IP غير از آدرس هدف
- Best Practice ها، شامل حداقل طول كلمات عبور و غيره.
- آسیب پذیری ها و Best Practice های مربوط به SSL
- حمله Brute force
- آسیب پذیری هایی که به تعامل با کاربر نیاز است.
- آسیب پذیری های مربوط به مرورگر های قدیمی
- نامه نگاری الکترونیکی جعلی (E-mail spoofing)
- حمله Self XSS
- هر موردی مربوط به بدست آوردن نام های کاربری (Account/e-mail enumeration)
- آسیب پذیری هایی که قبلاً توسط سایر متخصصین گزارش شده
- آسیب پذیری های گزارش شده توسط اسکنر ها و سایر ابزار های اتوماتیک
- گزارش پایین بودن ورژن کتابخانه ها و نرم افزار های به کار برده شده در صورت عدم بهره برداری
| نام | مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL) |
|---|---|
| نام سازمان | پست الکترونیک چاپار |
| وضعیت مسابقه | غیرفعال |
| نوع مسابقه | عمومی |
| تاریخ شروع | 1397/2/16 |
| تاریخ پایان | 1398/6/15 |
| زمان ساخت | یکشنبه ۱۶ اردیبهشت ۱۳۹۷ ۱۳:۳۱:۵۱ |
| زمان به روز رسانی | چهارشنبه ۱۱ دی ۱۳۹۸ ۱۴:۰۵:۱۷ |
| مبلغ کل جوایز | 50,000,000 (ریال) |
| حداقل جایزه برای هر باگ | |
| حداکثر جایزه برای هر باگ | 20,000,000 (ریال) |
| ارزش جوایز پرداخت‌شده | 39,425,000 (ریال) |
| حفره‌های گزارش‌شده | 47 |
| حفره‌های تایید‌شده | 21 |
| حفره‌های تایید‌نشده | 20 |
| حفره‌های تکراری | 6 |
| حفره‌های در حال بررسی | 0 |
فعالیت های این مسابقه (فقط جوایز بالاتر از ۵۰۰۰۰۰ ریال)
| # | نام مسابقه | شناسه گزارش | متخصص | نوع فعالیت | نوع آسیب‌پذیری / باگ | مبلغ جایزه (ریال) | مشاهده | زمان |
|---|---|---|---|---|---|---|---|---|
| 31 | مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL) | 1662 | hoseinroot | ارسال گزارش | Access Control Bugs | - | - | پنجشنبه ۲۷ تیر ۱۳۹۸ ۱۵:۱۳:۵۴ |
| 32 | مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL) | 1553 | dzakar | دریافت جایزه | Cross-Site Scripting | 4,500,000 | - | دوشنبه ۲۴ تیر ۱۳۹۸ ۱۶:۳۱:۴۹ |
| 33 | مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL) | 1553 | dzakar | پذیرش گزارش | Cross-Site Scripting | در حال برآورد | - | یکشنبه ۹ تیر ۱۳۹۸ ۱۵:۵۳:۴۳ |
| 34 | مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL) | 1553 | dzakar | ارسال گزارش | Cross-Site Scripting | - | - | سه شنبه ۴ تیر ۱۳۹۸ ۲۲:۵۷:۵۳ |
| 35 | مسابقه کشف باگ در پست الکترونیک چاپار (CHMAIL) | 556 | hoseinroot | دریافت جایزه | Access Control Bugs | 750,000 | - | سه شنبه ۱۶ مرداد ۱۳۹۷ ۱۲:۱۹:۰۶ |
نظرهای این مسابقه
kolahadmin
-
شنبه ۹ شهریور ۱۳۹۸ ۰۹:۳۳:۴۴
موضوع: مسابقات جدید
به زودی مسابقات جدید و متنوعی بر روی سامانه کلاه سفید قرار خواهد گرفت.
