تیم امنیت اسنپ با راه‌اندازی برنامه باگ بانتی تمام متخصصین تست نفوذ را به چالش این برنامه دعوت می‌کند. اگر علاقه‌مند به کشف باگ‌های امنیتی اپلیکیشن‌ها و سامانه‌های اسنپ هستید ما را از وجود آسیب‌پذیری‌ها آگاه کنید. به آسیب‌پذیری‌های کشف شده پس از داوری در تیم امنیت اسنپ بر اساس قوانین ذکر شده در بخش پایین، پاداش نقدی اختصاص داده می‌شود.
حریم خصوصی تمام کاربران اسنپ رعایت شود. از افشاء، تغییر، سرقت و نابودی اطلاعات جدا جلوگیری شود.
فرآیند تست را تنها با اکانت اسنپ وشماره همراه متعلق به خودتان انجام دهید.
بدون رضایت تیم امنیت اسنپ آسیب‌پذیری کشف شده نباید افشاء شود.
قبل از شروع تست با بررسی بخش محدوده برنامه از قرار گرفتن دامنه در حوزه باگ بانتی اطمینان پیدا کنید.
به یک آسیب‌پذیری مشابه در دو یا چند دامین متفاوت تنها یک بانتی تعلق می‌گیرد.
از استفاده اسکنرهای آسیب‌پذیری و ابزارهای خودکارسازی که باعث ارسال درخواست‌های زیاد به سمت زیرساخت‌های اسنپ می‌شود جدا خودداری کنید.
از ارسال و کنسل کردن درخواست سفر به صورت انبوه خودداری کنید.
از هرگونه انجام تست که در فرآیند کسب و کار اسنپ خلل ایجاد می کند خودداری کنید.
آسیب‌پذیری‌های ارائه شده باید قابلیت بهره‌برداری داشته باشند و نحوه بهره‌برداری باید در گزارش به صورت PoC ارائه شود، در غیر اینصورت به گزارش جایزه‌ای تعلق نمی‌گیرد.
پاداش سطح Vital تنها شامل آسیب‌پذیری‌هایی می‌شود که هکر کلاه سفید بتواند به اطلاعات تمام کاربران اسنپ در حجم وسیع دسترسی پیدا کند. بنابراین آسیب‌پذیری که منجر به نشت اطلاعات برخی از کاربران اسنپ شود شامل این سطح از آسیب‌پذیری نیست.
فرآیند پاسخگویی به ایمیل‌ها بین بازه 7 تا 14 روز کاری انجام خواهد شد.
گزارش ارسال شده باید با جزییات کامل آسیب‌پذیری را توضیح دهد و نحوه بهره‌برداری از باگ به صورت مرحله به مرحله همراه با شواهد کافی توضیح داده شود
توضیحات باید به گونه ای بیان شده باشد که امکان بهره‌برداری دوباره از آسیب‌پذیری وجود داشته باشد.
ارسال ویدئو به تنهایی مورد قبول نیست و ارسال گزارش مکتوب الزامی است.
گزارش‌های خود را به ایمیل bugbounty@snapp.cab ارسال کنید.
هرگونه نقص امنیتی که بر محرمانگی و جامعیت اطلاعات کاربران تاثیر منفی بگذارد جزو حوزه این باگ بانتی است. مثال‌هایی از آسیب‌پذیری‌های مرسوم:
Insecure direct object references (IDOR)
Authentication flaws
Authorization flaws
Server-side code execution
Cross-site scripting (XSS)
Server-side request forgery(SSRF)
SQL injection
Data leakage
Other
Business Logic
Open redirect
XML External Entity (XXE)
SMS-Bombing
Clickjacking
Brute-force
Self XSS
Missing best practices in SSL/TLS configuration
DOS and DDOS (Application and Network)
Social Engineering
Lack of SPF/DKIM/DMARC implementation
Missing secure flag in Cookie
Missing secure HTTP headers
Disclosure of server or software version numbers
Reports extracted from vulnerability scans
Password complexity
Username / email enumeration
Disclosure of JavaScript API keys (e.g. API key for map service)
CSRF and CORS misconfiguration with no security impact
حوزه باگ بانتی اسنپ محدود به دامنه‌های مشخص شده زیر است. هر گونه گزارش خارج از محدوده ذکر شده قابل قبول نیست.
*.snapp.ir
*.snapp.site
*.snapp.taxi
*.snappcloud.io
*.snapp.cab
*.snapp.tech
*.snapp-box.com
*.snappmaps.ir
*.snpb.ir
*.snapppay.ir
*.snappfintech.ir
snappfood.ir
food.snapp.ir
superapp.snappfood.ir
psa.snappfood.ir
m.snappfood.ir
ap.snappfood.ir
dakhl.snappfood.ir
newapi.zoodfood.com
*.snapp.market
snappshop.ir
apix.snappshop.ir
seller.snappshop.ir
shop-payment.snappfood.ir
snapp.express
api.snapp.express
hrdesk.snapp.ir
family.snapp.cab
biker.snapp-box.com
order.snapp-box.com
kb.snapp.ir
esupport.snapp.ir
ticket.snapp.ir
room.snapp.ir
flight.snapp.ir
presta.snapppay.ir
plugin.snapppay.ir
45.159.113.108
snapppay.talasea.ir
اسنپ‌تریپ
اسنپ‌روم
اسنپ‌دکتر
اسنپ‌ساپلای
(اسنپ‌کب، اسنپ‌باکس، اسنپ‌مارکت، اسنپ‌شاپ، اسنپ‌اکسپرس ، اسنپ‌پی و اسنپ‌فود)
پس از تایید آسیب‌پذیری، پاداش نقدی بر اساس سطح آسیب‌پذیری و استاندارد CVSS پرداخت خواهد شد.
Vital تا 150,000,000 تومان
Medium تا 5،000،000 تومان
High تا 15،000،000 تومان
Critical تا 25،000،000 تومان
| شکارچی | وضعیت | تاریخ پرداخت |
|---|---|---|
 PentestoR | پرداخت‌شده | 1403/11/21 |
 Omid Shojaei | پرداخت‌شده | 1403/10/17 |
 Mobin Feyzian | پرداخت‌شده | 1403/10/05 |
 Mohammad Reza Omrani | پرداخت‌شده | 1403/08/12 |
Mohammad Reza Omrani | پرداخت‌شده | 1403/08/05 |
Mohammad Reza Omrani | پرداخت‌شده | 1403/08/05 |
Mohammad Reza Omrani | پرداخت‌شده | 1403/08/05 |
باگ بانتی (Bug Bounty) برنامه‌ای است که شرکت‌ها برای تشویق محققان امنیتی، هکرهای کلاه سفید و توسعه‌دهندگان به شناسایی و گزارش آسیب‌پذیری‌های امنیتی در نرم‌افزارها، وب‌سایت‌ها یا اپلیکیشن‌هایشان راه‌اندازی می‌کنند. به ازای این گزارش‌ها، این افراد پاداش مالی یا جوایز دیگری دریافت می‌کنند.
۱. هدف: شناسایی و رفع نقص‌های امنیتی قبل از سوءاستفاده افراد مخرب. ۲. شرکت‌کننده‌ها: محققان امنیتی، هکرهای کلاه سفید و توسعه‌دهندگان. ۳. فرآیند: شناسایی آسیب‌پذیری‌ها، گزارش از طریق پلتفرم امن، بررسی و تایید توسط سازمان، اعطای جایزه. ۴. پاداش: شامل پاداش‌های مالی، قدردانی و فرصت‌های شغلی. ۵. تالار مشاهیر: لیست عمومی تقدیر از محققان امنیتی و هکرهای کلاه سفید که نقص‌های مهم را گزارش داده‌اند.
این برنامه‌ها نه تنها امنیت محصول را افزایش می‌دهند، بلکه باعث همکاری بین شرکت‌ها و جامعه امنیتی می‌شوند. اگر به امنیت سایبری علاقه‌مند هستید، این یک روش عالی برای آزمایش مهارت‌های خود و کمک به بهبود فناوری و افزایش امنیت است.