زمان این مسابقه به پایان رسیده است یا مسابقه غیرفعال میباشد. اگر می خواهید گزارشی ثبت کنید با مدیر سایت در میان بگذارید.

درگاه ملی مجوز های کشور (sam.g4b.ir)

ثبت نام و گزارش حفره امنیتی

باسمه تعالی

 

هدف از این مسابقه، ارزیابی برق آسای درگاه ملی مجوز های کشور(sam.g4b.ir) توسط متخصصان امنیتی است. ارزیابی برق آسا به منظور کشف باگ‌های مشهود سامانه پیش از برگزاری مسابقه اصلی است و در مدت زمان کوتاه برگزار می‌شود. گزارش‌های ارسالی شما طی 14 روز کاری بررسی خواهد شد. کارشناسان مربوطه، مشتاقانه منتظر گزارش‌های امنیتی و باگ‌های کشف شده هستند.

نکات مهم

  • متخصصین گرامی حتماً به لیست آسیب‌پذیری‌های قابل قبول و غیرقابل قبول دقت نمایند.
  • مدت زمان مسابقه حدود 15 ساعت است و زمان مسابقه از ساعت 17 امروز تا ساعت 10 صبح فردا خواهد بود.
  • با توجه به این که سامانه در حال حاضر فعال است لطفا مواردی که منجر به اختلال در سیستم می شود را اجرا ننمایید. 
  • با توجه به این که باگ‌هایی که در این نوع مسابقات مد نظر هستند نیازمند تلاش زیادی نیستند مبلغ جوایز نسبت به مسابقات نوبت دوم متفاوت و کمتر خواهد بود.
  • در صورتی که تعداد گزارش های ارسالی روی یک نوع باگ زیاد باشد سقف مبلغ پرداختی برای کل جوایزآن باگ بین متخصصین تقسیم می‌گردد.
  • متخصصین تنها مجاز به ارزیابی امنیتی دامنه‌ مشخص‌ شده در مسابقه هستند و دیگر سامانه‌ها، سرویس‌ها  و زیردامنه ها در حیطه مسابقه نیست لذا هیچ‌گونه جوایزی به آن‌ها تعلق نمی‌گیرد.
  • متخصصین در صورت کشف باگ‌، حق علنی کردن باگ (در شبکه‌­های اجتماعی و غیره) پیش از هماهنگی با کلاه سفید و سازمان را ندارند و مسئولیت حقوقی چنین اقدامی متوجه متخصص است.
  • متخصصین در صورت کشف باگ، حق صدمه زدن به سامانه یا سوءاستفاده از باگ را نداشته و صرفا مجاز به ارائه شواهد وجود باگ هستند.

ثبت گزارش

جهت پرداخت جایزه، مدارک قابل استناد که آسیب­‌پذیری را تائید کند (مانند فیلم، عکس از صفحه مانیتور و اسکریپت) مورد نیاز است.

برای بررسی فنی آسیب­‌پذیری گزارش شده، مراحل تولید مجدد آن لازم است. خواهشمند است مقادیر ورودی و عملیات انجام شده برای بهره­‌برداری از آسیب­‌پذیری را در گزارش قرار دهید.اگر تیم امنیتی نتواند آسیب‌­پذیری را مجدداً ایجاد و تایید کند، جایزه تعلق نخواهد گرفت.

در یک گزارش خوب انتظار می­رود که موارد زیر مشخص شده باشد:

  • نوع آسیب­‌پذیری ( SQL Injection، Cross-Site Scripting و ... )
  • نوع و نسخه سیستم عامل، مرورگر وسایر برنامه­‌های مورد استفاده
  • هرگونه تنظیم خاصی که مورد نیاز است تا حمله را بازسازی کند.
  • دستورالعمل مرحله به مرحله برای بازسازی حمله
  • آسیب‌­پذیری شرح داده شود و بیان کنید که این آسیب چگونه می تواند مورد سوء استفاده قرار گیرد.

دامنه‌ هدف:

sam.g4b.ir

دقت کنید که هیچ زیردامنه یا سایت دیگری در محدوده مسابقه قرار ندارد و متخصصین گرامی تنها مجاز به ارزیابی دامنه فوق هستند. 

 

آسيب‌پذيری‌های قابل قبول و جوايز

كليه آسيب‌­پذيری­‌ها در سطوح برنامه كاربردي، سرويس دهنده وب، سيستم عامل، پايگاه داده و كليه اجزای نرم افزاری وابسته به سايت فوق که قابل بهره­‌برداری هستند، مدنظر است. جوايز بر اساس توافق فی‌مابین کلاه سفید و سازمان و همچنین بر اساس نظر كارشناسان سايت كلاه سفيد و بر اساس ضریبی از جدول زیر به متخصصين پرداخت خواهد شد.

 لازم به تاکید است به گزارش‌هایی جایزه داده خواهد شد که سناریوی حمله و نحوه بهره‌برداری از آسیب‌پذیری به صورت کامل شرح داده شده باشد و همچنین شواهد نفوذ به سیستم و یا دسترسی به داده‌های حساس به طور کامل گزارش شده باشند.

میزان تشویقی

نوع آسیب‌پذیری

2 میلیون تومان

Remote code execution 

2 میلیون تومان

دسترسی مدیریتی به CMS و امکان حذف، ویرایش یا افزودن مطالب

1.5 میلیون تومان

Local files access and manipulation

1 میلیون تومان

Injections

حداکثر تا 500 هزار تومان

Cross-Site Scripting (XSS)

 حداکثر تا 1 میلیون تومان

Other Medium Risk*

حداکثر تا 2 میلیون تومان

Other High Risk*

Based on CVSSv3 Vulnerability Scoring System*

 

  • برای تشویقی­‌هایی که محدوده تعیین شده، داوران سامانه كلاه سفيد بر اساس پارامترهای Exploitability و Impact  تصمیم‌گیری خواهد کرد و صرفاً نظر این کارشناسان معیار خواهد بود.
  • آسیب‌پذیری­‌های مشابه که مثلاً مربوط به یک پارامتر خاص است و ممکن است در صفحات مختلفی دیده شود، یک‌بار محسوب می شود.
  • آسیب‌پذیری مشابه در پارامترهای مختلف یک صفحه و همچنین آسیب‌پذیری یک پارامتر در صفحات مختلف، یک بار محسوب می‌شود. 
  • در صورتی واجد شرایط جایزه هستید که اولین نفری باشید که در این مسابقه یک آسیب‌پذیری ناشناخته را گزارش کنید.
  • در صورتی که تعداد گزارش های ارسالی روی یک نوع باگ زیاد باشد سقف مبلغ پرداختی برای کل جوایزآن باگ بین متخصصین تقسیم می‌گردد. به عنوان نمونه سقف مبلغ پرداختی برای کل جوایز  Injectionsمبلغ 10,000,000 ریال می‌باشد که بین متخصصین تقسیم می‌گردد.
  • افشای آسیب­‌پذیری­‌ها فقط بر اساس قوانین سایت کلاه سفید و توسط این سایت انجام می­شود. هر گونه افشای اطلاعات توسط متخصص، مغایر با قوانین سایت است و مسئولیت حقوقی چنین اقدامی متوجه فرد افشاکننده است.

آسیب‌­پذیری‌های غير قابل قبول

آسیب­‌پذیری‌­های زير پذيرفته نمی‌شوند:

  • آسیب پذیری های با سطح ریسک پایین
  •  (Cross-Site Requests Forgery (CSRF/XSRF
  • (Click Jacking (X-Frame-Options
  • SSL/TLS Misconfigurations
  • Host Header Injection
  • Tabnabbing
  • OWASP Secure Headers
  • انواع حملات منع سرويس
  • انواع حملات مهندسی اجتماعی و Phishing
  • آسيب پذيري در دامنه ها و آدرس هاي IP غير از آدرس هدف
  • Best Practice ها، شامل حداقل طول كلمات عبور و غيره.
  • آسیب پذیری ها و Best Practice های مربوط به SSL
  • حمله Brute force
  • آسیب پذیری های مربوط به مرورگر های قدیمی
  • نامه نگاری الکترونیکی جعلی (E-mail spoofing)
  • حمله Self XSS
  • هر موردی مربوط به بدست آوردن نام های کاربری یا آدرس‌های ایمیل
    (Account/e-mail enumeration)
  • آسیب پذیری هایی که قبلاً توسط سایر متخصصین گزارش شده
  • آسیب پذیری های گزارش شده توسط اسکنر ها و سایر ابزار های اتوماتیک که قابل بهره‌برداری نیستند.
  • گزارش پایین بودن ورژن کتابخانه ها و نرم افزار های به کار برده شده در صورت عدم بهره برداری
  • گزارش باز بودن پورت ها در صورت عدم بهره برداری از آسیب پذیری 
  • آسیب‌پذیری‌های مربوط به نشت اطلاعات نوع و نسخه وب‌سرور یا اطلاعات نوع و نسخه زبان برنامه‌نویسی یا فعال بودن متودهای اضافی مثل OPTIONS
  • تنظیم نبودن فلگ‌های امنیتی کوکی ها (مثل Secure یا HttpOnly)
نامدرگاه ملی مجوز های کشور (sam.g4b.ir)
نام سازمانسازمان فناوری اطلاعات ایران
وضعیت مسابقهغیرفعال
نوع مسابقهعمومی
تاریخ شروع1400/4/28
تاریخ پایان1400/4/29
زمان ساختدوشنبه ۲۸ تیر ۱۴۰۰ ۱۵:۱۶:۳۱
زمان به روز رسانیسه شنبه ۲۹ تیر ۱۴۰۰ ۱۰:۱۳:۴۱
مبلغ کل جوایز100,000,000 (ریال)
حداقل جایزه برای هر باگ
حداکثر جایزه برای هر باگ
ارزش جوایز پرداخت‌شده46,700,000 (ریال)
حفره‌های گزارش‌شده7
حفره‌های تایید‌شده6
حفره‌های تایید‌نشده1
حفره‌های تکراری0
حفره‌های در حال بررسی0

نظرهای این مسابقه

نتیجه‌ای یافت نشد.