NEW Boga Bug Bounty Program

BOGA

Rp0 ~ Rp2.000.000Total reward

Description

BOGA GROUP

Boga Group is a company engaged in the food and beverage sector. The company already has 13 restaurant brands, as of early 2018, Boga Group has 154 restaurants throughout Indonesia. This number continues to grow over time.
The first restaurant outlet owned by the Boga Group was established 20 years ago. To be precise, in 2002 they formed a partnership with Bakerzin, to open outlets in Indonesia. Their first outlet, opened at Cilandak Town Square (Citos), South Jakarta.

BOGA GROUP

Boga Group merupakan perusahaan yang bergerak di bidang food and beverage. Perusahaan ini sudah memiliki 13 merek restoran, terhitung pada awal 2018 lalu Boga Group telah memiliki 154 restoran di seluruh Indonesia. Jumlah tersebut terus bertambah seiring berjalannya waktu.
Gerai restoran pertama yang dimiliki oleh Boga Group berdiri 20 tahun lalu. Tepatnya, pada 2002 lalu mereka menjalin kerjasama dengan Bakerzin, untuk membuka gerai di Indonesia. Gerai pertama mereka, dibuka di Cilandak Town Square (Citos), Jakarta Selatan.

Target info

SCOPE

The targets included in this program is mobile applications with the URL that can be access at the link below:

Android: https://drive.google.com/file/d/1_S92kePYqZJ1qrKpA7SNHa0PWs0OMjn5/view?usp=sharing

Note: APK will be updated from time to time, please use the most recent version for your testing

Highlighted Features:

  • Transfer point
  • Transfer coupon and family member (birthday coupon)

Known issues:
Please note that the Boga Security Team also actively looks for vulnerabilities across all assets internally. Vulnerabilities listed below known issues and will be marked as Out of scope:

  • SSL Pinning (avoid fake certificate)
  • App code obfuscate (index.bundle.js)
  • Sqlite encryption
  • IDOR that needs UUID (unless if the researcher can find a minimum of 3 user's UUID)
  • MAPS API Key

**WARNING:

  • Any attempt to perform DoS/DDoS is strictly prohibited
  • Any activity intended to disrupt the availability or functionality of this system is strictly prohibited
  • Disclosing all kinds of vulnerabilities / submissions in this program to the public are prohibited
  • Researchers who break the warning above will be banned and all awards will be annulled in this program **

* Boga also want to know the vulnerability in other targets that are out of scope but can have a CRITICAL / HIGH impact on Boga, either directly or indirectly (for example through 3rd party apps). For this reason, if researcher finds a new target outside the list listed above that has a CRITICAL / HIGH risk, please contact the RedStorm team via email to be considered for a reward*

[email protected]

RULE OF THE GAME

Reporting must go through the ’Submit Report’ feature on the RedStorm web application by including evidence and how to exploit it.
The level of risk from the findings can be selected and considered by the researcher provided are:

  • P1 - Critical
  • P2 - High
  • P3 - Moderate
  • P4 - Low
  • P5 - Information / Other

The points to be awarded by the system are:

  • P1 - 100
  • P2 - 50
  • P3 - 20
  • P4 - 10
  • P5 - 5

Prizes / rewards that will be given depend on considerations of security risks following the following scheme:

  • P1 - IDR 2,000,000 (+ Points)
  • P2 - IDR 1,500,000 (+ Points)
  • P3 - IDR 1,000,000 (+ Points)
  • P4 - Points
  • P5 - Points

Researcher must create a Proof of Concept (PoC) demonstrating how the bug can affect minimum three existing user applications of our app ecosystem. The PoC should clearly explain the steps to reproduce the issue, its potential impact, and possible scenarios to help us understand and address the vulnerability effectively.

GUIDELINES FOR CONDUCT

RedStorm wants to create a business environment that is safe and upholds ethical professionalism.
For this reason, there are three main aspects that every security researcher who participates in programs on our platform should pay attention to:

  • CONFIDENTIALITY - All reported security vulnerabilities should not leak into public spaces.
  • INTEGRITY - Only report security issues that are deemed valid and do not use the findings of the security vulnerabilities for tampering purposes. If there is more than 1 report regarding the same security problem, then the first one to report will be considered valid.
  • PROFESSIONALISM - Security researchers are fully responsible for the findings reported and should be contacted if necessary for explanation or other complementary information.

ACCEPTANCE CRITERIA

Submission process
If you believe you have found a security vulnerability, please file a report for the program concerned through RedStorm platform.
Any security vulnerability report submissions will be treated with high priority, including when the report is validated, when we need more information from you, or when you qualify for a reward. Each submission is evaluated by us on a first-in first-served basis.

* Basic Rules *
RedStorm is committed to protecting the interests of security researchers.
The more your behavior follows these rules, the more we can protect you in the event of an uneasy disclosure situation.

Each program can have varying rules.
Please carefully read the Program Summary for specific regulations, if any.
However, the following rules apply to all programs:

  • Research that is carried out should only be on systems listed under the ’Scope’ section of the Program Brief. Any other system is beyond its scope.
  • Unless otherwise stated in the Program Summary, you must create test accounts for research purposes.
  • Submissions must be made EXCLUSIVELY through RedStorm to be considered a prize.
  • Submission-related communications must remain within RedStorm or the official RedStorm support channels during the disclosure process.
  • Actions that affect the integrity of the target program or destabilize it are prohibited. If you notice a decrease in performance on the target system, you should immediately suspend all use of automated tools.
  • The submission must have impact on the target’s security posture. Impact means a reported issue affecting the target user, system, or data security in a significant way. Researcher can be asked to keep the impact confidential in order to be eligible for the prize.
  • Submissions may be closed if the researcher is not responsive to requests for additional information after 7 business days.
  • The existence or details of programs are private or invitation may not be communicated to anyone who is not a RedStorm employee or an authorized employee of the organization responsible for the program.
  • We encourage researchers to include videos or screenshots (proof-of-concept) in reporting security vulnerabilities. These files may not be shared publicly. This includes uploading to any website that is publicly accessible (like Vimeo, Imgur, etc.). If the file exceeds 50 MB, upload the file to a secure online folder such as Dropbox that is protected with password.
  • The RedStorm Disclosure Policy applies to all submissions made through the RedStorm platform, including for Duplicate, Out of Scope, and Not Applicable findings reports. Program owners can choose a Disclosure, Coordinated Disclosure, or Specific Information Disclosure Policy to apply to their program summary. Please see our Additional Disclosure Policy for details on the different Public Disclosure Policies on RedStorm.
  • If a researcher wishes to retain disclosure rights for vulnerabilities that are outside the scope of a program’s scope, he or she must report the problem to the relevant vendor directly. RedStorm can assist researchers in identifying suitable email addresses to contact. Program owners are encouraged to ensure that their program coverage includes all the critical components for which they wish to receive vulnerability reports.
  • Violation of the disclosure policies stated by the program may result in enforcement action as outlined in the RedStorm Terms of Service.

Violation of these rules may result in the cancellation of delivery and confiscation of all prizes, both for current and future programs on the RedStorm platform.

* Types of Accepted Submission *
Below are the types of submission that are preferred to be accepted:

  • Broken authentication
  • Multi Factor Auth Bypass
  • OTP Bypass (Untrusted Devices)
  • Bypass Authorization Schema
  • SQL Injection
  • XSS Injection
  • Sensitive Data Exposure
  • Business Logic
  • Cross-Site Request Forgery (HIGH-CRIT ACTION)
  • Server Side Request Forgery
  • Remote Code Execution
  • Local File Disclosure
  • Server Side Injection Templates

* Types of Submission Excluded *
Some types of submissions are excluded because they are dangerous to assess, or because they have a low security impact on program owners. This section contains issues that Boga cannot accept, which will immediately be marked invalid and not rewarded.

  • Findings from physical testing such as office access (eg open doors, tailgating).
  • Findings originating from social engineering or social engineering (eg phishing, vishing).
  • Findings from applications or systems that are not listed in the ’Scope’ section.
  • Functional, UI and UX bugs and misspellings (typos).
  • Denial-of-service (DoS or DDoS) vulnerabilities at the network level.
  • General submission types that do not include qualifications

Several types of submissions we rate do not qualify for prizes because they have a low security impact for program owners.
Below is a list of issues that are commonly reported and reproducible but do not meet the requirements.
We strongly advise you not to report this problem unless you can demonstrate a possible attack with valid security implications for program owners.

  • Descriptive error messages (eg stack traces, application or server errors).
  • HTTP 404 code / page or other non-200 HTTP code / page.
  • Banner disclosure on public services.
  • Disclosure of known public files or directories (eg Robots.txt).
  • Click-jacking and problems that are only exploited through it.
  • CSRF on a form available to anonymous users (eg contact form).
  • Login / Logout CSRF.
  • Presence of an application or an ’auto-complete’ or ’save password’ function in a web browser.
  • Lack of Secure and HttpOnly flags on cookies.
  • Lack of security speed bumps when leaving the website.
  • Weak captcha or bypass captcha.
  • Enumeration of username/msisdn via login page error message.
  • Enumerate username/msisdn via the message ’Forgot Password’.
  • Brute force on the login page or on the forgot your password page and result in account lockout.
  • HTTP TRACE option enabled.
  • SSL attacks such as BEAST, BREACH, or around a renegotiation vulnerability.
  • SSL forward secrecy.
  • SSL which supports cipher suite algorithms is not secure.
  • MIME-Sniffing or X-Content-Type-Options header.
  • HTTP security header not found.
  • Invalid or missing SPF (Sender Policy Framework) records or related to other e-mails (SPF / DKIM / DMARC).
  • Automated scanning results using tools such as vulnerability scanners (Nessus, nikto, Qualys, OpenVAS, Core Impact, Acunetix, Nexpose, SecureCheq, Retina, MBSA, HIAB, and so on) even though the results include a potential security risk.
  • Absence of Rate Limitation
  • API Key / Secret disclosure

Out of Scope bugs for mobile application:

  • Any URIs leaked because a malicious app has permission to view URIs opened.
  • Lack of Exploit mitigations i.e., PIE, ARC, or Stack Canaries.
  • Absence of certificate pinning.
  • Path disclosure in the binary.
  • Lack of binary protection control in android app.
  • User data stored unencrypted on the file system/external storage.
  • Sensitive data in URLs/request bodies when protected by TLS.
  • Lack of obfuscation.
  • Lack of rooted/jailbreak detection.
  • Crashes due to malformed Intents sent to exported Activity/Service/BroadcastReceiver (exploiting these for sensitive data leakage is commonly in scope).
  • Any kind of sensitive data stored in app private directory.
  • Runtime hacking exploits that are only exploitable on your own device using tools like such as Frida/ Appmon (exploits only possible in a rooted environment).

PROGRAM REWARDS

You will be eligible for a prize if you are the first to report a previously unknown AND vulnerability to code or configuration that could impact to code changes, configuration changes or data changes. Rewards will be sent periodically every month.

CAKUPAN

Target yang termasuk dalam program ini berupa aplikasi mobile dengan URL dibawah ini:

Android: https://drive.google.com/file/d/1_S92kePYqZJ1qrKpA7SNHa0PWs0OMjn5/view?usp=sharing

Note: APK akan diupdate dlam waktu sewaktu, mohon gunakan versi terbaru sebaga testingan Anda

Highlighted Features:

  • Transfer point
  • Transfer coupon dan family member (birthday coupon)

Masalah Yang Sudah Diketahui:
Harap dicatat bahwa Tim Keamanan Boga juga secara aktif mencari kerentanan di semua aset secara internal. Kerentanan yang tercantum di bawah ini adalah masalah yang sudah diketahui dan akan ditandai sebagai Out of scope:

  • SSL Pinning (avoid fake certificate)
  • App code obfuscate (index.bundle.js)
  • Sqlite encryption
  • IDOR that needs UUID (Kecuali jika researcher mendapatkan minimum 3 user's UUID)
  • MAPS API Key

**PERINGATAN:

  • Segala upaya untuk melakukan serangan DoS/DDoS sangat dilarang.
  • Segala aktivitas yang bertujuan untuk mengganggu ketersediaan atau fungsi sistem ini sangat dilarang.
  • Dilarang untuk mendisclose segala macam vulnerability/submission yang ada di program ini ke publik
  • Researcher yg melanggar peringatan diatas akan di ban dan semua bentuk penghargaannya akan di anulir di dalam program ini**

Boga juga berkeinginan untuk mengetahui risiko dalam target lainnya yang out of scope tapi dapat berdampak CRITICAL/HIGH pada Boga baik secara langsung maupun tidak langsung (misalkan melalui 3rd party apps). Untuk itu apabila researcher menemukan sebuah target baru diluar dari daftar yang tertulis diatas yang mempunyai risiko CRITICAL/HIGH maka harap menghubungi tim RedStorm melalui email untuk dipertimbangkan untuk mendapatkan reward

[email protected]

ATURAN MAIN

Perlaporan harus melalui fitur ’Kirim Laporan’ pada aplikasi web RedStorm dengan menyertakan bukti serta cara melakukan eksploitasi.
Tingkat risiko dari temuan dapat dipilih dan dipertimbangkan oleh peneliti dengan ketentuan:

  • P1 - Kritikal
  • P2 - Tinggi
  • P3 - Sedang
  • P4 - Rendah
  • P5 - Bersifat Informasi/Lainnya

Poin yang akan diberikan secara sistem adalah:

  • P1 - 100
  • P2 - 50
  • P3 - 20
  • P4 - 10
  • P5 - 5

Hadiah/reward yang akan diberikan tergantung dari pertimbangan risiko keamanan mengikuti skema berikut:

  • P1 - IDR 2,000,000 (+ Points)
  • P2 - IDR 1,500,000 (+ Points)
  • P3 - IDR 1,000,000 (+ Points)
  • P4 - Points
  • P5 - Points

Researcher harus membuat Proof of Concept (PoC) yang menunjukkan bagaimana bug tersebut dapat memengaruhi setidaknya tiga aplikasi user yang ada dalam ekosistem aplikasi kami. PoC harus dengan jelas menjelaskan langkah-langkah untuk mereproduksi masalah tersebut, potensi dampaknya, dan kemungkinan skenario untuk membantu kami memahami dan menangani kerentanan tersebut secara efektif.

PANDUAN PERILAKU

RedStorm ingin menciptakan lingkungan usaha yang aman serta menjunjung tinggi etika profesionalisme.
Untuk itu, terdapat tiga aspek utama yang perlu diperhatikan oleh setiap peneliti keamanan yang berpartisipasi dalam program pada platform kami:

  • KERAHASIAAN (CONFIDENTIALITY) — Semua kerentanan keamanan yang dilaporkan tidak boleh bocor ke ruang publik.
  • INTEGRITAS (INTEGRITY) — Hanya melaporkan permasalahan keamanan yang dianggap valid dan tidak menggunakan temuan kerentanan keamanan tersebut untuk tujuan merusak. Apabila terdapat lebih dari 1 laporan mengenai permasalahan keamanan yang sama, maka yang pertama melaporkan yang akan dianggap valid.
  • PROFESIONALISME (PROFESSIONALISM) — Peneliti keamanan bertanggung jawab penuh atas temuan yang dilaporkan dan harus dapat dihubungi apabila diperlukan informasi penjelas atau pelengkap lainnya.

KRITERIA LAPORAN YANG DITERIMA

Proses Pengiriman
Jika Anda yakin telah menemukan kerentanan keamanan (security vulnerability), silakan mengajukan laporan untuk program terkait melalui platform RedStorm.
Setiap pengiriman laporan kerentanan keamanan akan diperlakukan dengan prioritas tinggi, termasuk ketika laporan divalidasi, ketika kami membutuhkan lebih banyak informasi dari Anda, atau ketika Anda memenuhi syarat untuk mendapatkan hadiah.

Setiap pengiriman dievaluasi oleh kami atas dasar first-in first-served.

Peraturan Dasar
RedStorm berkomitmen untuk melindungi kepentingan para peneliti keamanan.
Semakin perilaku Anda mengikuti aturan ini, semakin kami dapat melindungi Anda jika terjadi situasi pengungkapan yang tidak mudah.

Setiap program dapat memiliki peraturan yang bervariasi.
Harap baca dengan cermat Ringkasan Program untuk peraturan khusus, jika ada.
Hanya saja, sejumlah peraturan berikut ini berlaku untuk semua program:

  • Penelitian harus dilakukan hanya pada sistem yang terdaftar di bawah bagian ’Pengarahan’ pada Program Brief. Sistem selain itu adalah di luar ruang lingkup.
  • Kecuali jika dinyatakan lain dalam Ringkasan Program, Anda harus membuat akun pengujian untuk tujuan penelitian.
  • Pengajuan harus dilakukan secara EKSKLUSIF melalui RedStorm untuk dapat dipertimbangkan sebagai hadiah.
  • Komunikasi terkait pengiriman harus tetap berada dalam RedStorm atau saluran dukungan RedStorm resmi selama proses pengungkapan (disclosure).
  • Tindakan yang mempengaruhi integritas atau mengganggu stabilitas target program adalah dilarang. Jika Anda melihat penurunan kinerja pada sistem target, Anda harus segera menangguhkan semua penggunaan alat otomatis.
  • Pengajuan harus berdampak pada postur keamanan target. Dampak berarti masalah yang dilaporkan mempengaruhi pengguna target, sistem, atau keamanan data dengan cara yang berarti. Pengirim dapat diminta untuk merahasiakan dampak agar memenuhi syarat untuk mendapatkan hadiah.
  • Pengajuan dapat ditutup jika peneliti tidak responsif terhadap permintaan informasi tambahan setelah 7 hari kerja.
  • Keberadaan atau perincian program bersifat pribadi atau undangan tidak boleh dikomunikasikan kepada siapa pun yang bukan karyawan RedStorm atau karyawan yang berwenang dari organisasi yang bertanggung jawab atas program tersebut.
  • Kami mendorong para peneliti untuk menyertakan video atau screenshot (proof-of-concept) dalam pelaporan kerentanan keamanan. Semua file ini tidak boleh dibagikan secara publik. Ini termasuk mengunggah ke situs web apa pun yang dapat diakses publik (seperti Vimeo, Imgur, dll.). Jika file melebihi 50 MB, unggahlah file tersebut ke folder online yang aman seperti Dropbox dengan dilindungi oleh kata sandi (password).
  • Kebijakan Pengungkapan RedStorm berlaku untuk semua pengiriman yang dilakukan melalui platform RedStorm, termasuk untuk laporan temuan yang bersifat Duplicate, Out of Scope, dan Not Applicable. Pemilik program dapat memilih Kebijakan Pengungkapan, Pengungkapan Terkoordinasi, atau Pengungkapan Informasi Khusus untuk diterapkan pada ringkasan program mereka. Silakan lihat Kebijakan Pengungkapan Tambahan kami untuk detail tentang Kebijakan Pengungkapan Publik yang berbeda di RedStorm.
  • Jika seorang peneliti ingin mempertahankan hak pengungkapan untuk kerentanan yang berada di luar ruang lingkup cakupan suatu program, dia harus melaporkan masalah tersebut ke vendor terkait secara langsung. RedStorm dapat membantu peneliti dalam mengidentifikasi alamat email yang sesuai untuk dihubungi. Pemilik program didorong untuk memastikan bahwa cakupan program mereka telah mencakup semua komponen penting yang ingin mereka terima laporan kerentanannya.
  • Pelanggaran terhadap kebijakan pengungkapan yang dinyatakan oleh program dapat mengakibatkan tindakan penegakan sebagaimana diuraikan dalam Ketentuan Layanan RedStorm.

Pelanggaran terhadap peraturan ini dapat mengakibatkan pembatalan pengiriman dan penyitaan semua hadiah, baik untuk program yang saat ini berjalan maupun untuk masa mendatang di platform RedStorm.

Jenis Kiriman yang Diterima
Dibawah ini jenis jenis kiriman yang diutamakan diterima:

  • Broken authentication
  • Multi Factor Auth Bypass
  • OTP Bypass (Untrusted Devices)
  • Bypass Authorization Schema
  • SQL Injection
  • XSS Injection
  • Sensitive Data Exposure
  • Business Logic
  • Cross-Site Request Forgery (HIGH-CRIT ACTION)
  • Server Side Request Forgery
  • Remote Code Execution
  • Local File Disclosure
  • Server Side Template Injection

Jenis Kiriman yang Dikecualikan
Beberapa jenis pengiriman dikecualikan karena mereka berbahaya untuk dinilai, atau karena mereka memiliki dampak keamanan yang rendah kepada pemilik program. Bagian ini berisi masalah yang tidak dapat diterima oleh Boga, yang akan segera ditandai sebagai tidak valid dan tidak mendapatkan hadiah.

  • Temuan dari pengujian fisik seperti akses kantor (misalnya pintu terbuka, tailgating).
  • Temuan yang berasal dari rekayasa sosial atau social engineering (misalnya phishing, vishing).
  • Temuan dari aplikasi atau sistem yang tidak terdaftar di bagian ‘Target’.
  • Bug fungsional, UI, dan UX serta kesalahan ejaan (typo).
  • Kerentanan denial-of-service (DoS ataupun DDoS) pada tingkat jaringan (network).
  • Jenis pengajuan umum yang tidak termasuk kualifikasi

Beberapa jenis pengajuan kami nilai tidak memenuhi syarat untuk hadiah karena mereka memiliki dampak keamanan yang rendah bagi pemilik program.
Di bawah ini adalah daftar masalah yang pada umumnya dilaporkan dan dapat direproduksi, tetapi tidak memenuhi syarat.
Kami sangat menyarankan Anda untuk tidak melaporkan masalah ini kecuali Anda dapat menunjukkan serangan yang dapat dilakukan disertai dengan dampak keamanan yang valid bagi pemilik program.

  • Pesan kesalahan deskriptif (misalnya stack traces, kesalahan aplikasi atau server).
  • Kode/halaman HTTP 404 atau kode/halaman non-200 HTTP lainnya.
  • Pengungkapan spanduk (banner disclosure) pada layanan umum.
  • Pengungkapan file publik atau direktori yang dikenal (misalkan Robots.txt).
  • Click-jacking dan masalah yang hanya dieksploitasi melaluinya.
  • CSRF pada formulir yang tersedia untuk pengguna anonim (misalnya formulir kontak).
  • Login/Logout CSRF.
  • Kehadiran aplikasi atau fungsi ‘pelengkap otomatis‘ atau ‘simpan sandi’ pada web browser.
  • Kurangnya flag Secure dan HttpOnly pada cookie.
  • Kurangnya speed bump keamanan saat meninggalkan situs web.
  • Captcha yang lemah atau mem-bypass captcha.
  • Enumerasi nama pengguna atau nomor telepon melalui pesan kesalahan halaman login.
  • Enumerasi nama pengguna atau nomor telepon melalui pesan ‘Lupa Kata Sandi‘.
  • Brute force pada halaman login atau pada halaman lupa kata sandi halaman serta mengakibatkan account lockout.
  • Opsi HTTP TRACE yang diaktifkan.
  • Serangan SSL seperti BEAST, BREACH, atau sekisar renegotiation vulnerability.
  • SSL forward secrecy.
  • SSL yang mendukung algoritma cipher suite tidak aman.
  • Header MIME-Sniffing atau X-Content-Type-Options.
  • HTTP security header yang tidak ditemukan.
  • Invalid or missing SPF (Sender Policy Framework) records atau yg berkaitan dengan email lainnya (SPF/DKIM/DMARC).
  • Hasil pemindaian otomatis (automated scanning) menggunakan tool seperti vulnerability scanner (Nessus, nikto, Qualys, OpenVAS, Core Impact, Acunetix, Nexpose, SecureCheq, Retina, MBSA, HIAB, dan sebagainya) meskipun hasilnya mencantumkan potensi risiko keamanan.
  • Tidak adanya Rate Limit
  • Temuan yang mendapatkan API Key / Secret

Bug Out of Scope untuk aplikasi mobile:

  • URI apa pun yang bocor karena aplikasi berbahaya yang memiliki izin untuk melihat URI yang dibuka.
  • Kurangnya mitigasi Eksploitasi yaitu, PIE, ARC, atau Stack Canaries.
  • Tidak adanya Certificate Pinning.
  • Path disclosure dalam Binary.
  • Kurangnya kontrol perlindungan biner di aplikasi android.
  • Data pengguna disimpan tidak terenkripsi di file system/penyimpanan eksternal.
  • Data sensitif di URL / body request saat dilindungi oleh TLS.
  • Kurangnya Obfuscation.
  • Kurangnya deteksi root/jailbreak.
  • Crash karena format Intent yang salah dikirim ke Activity / Service / BroadcastReceiver yang diekspor (mengeksploitasinya untuk kebocoran data sensitif biasanya dalam cakupan).
  • Segala jenis data sensitif yang disimpan dalam direktori pribadi aplikasi.
  • Eksploitasi peretasan runtime yang hanya dapat dieksploitasi di perangkat Anda sendiri menggunakan alat seperti Frida / Appmon (eksploitasi hanya mungkin di lingkungan yang di-rooting).

IMBALAN PROGRAM

Anda akan memenuhi syarat untuk hadiah jika Anda adalah orang pertama yang melaporkan untuk masalah yang sebelumnya tidak diketahui DAN menyangkut kerentanan pada kode atau konfigurasi yang dapat berdampak pada perubahan kode, konfigurasi, atau data.
Pengiriman imbalan akan dilakukan berkala setiap sebulan sekali.

Reward

This program adheres to the RedStorm Vulnerability Rating Taxonomy for the prioritization/rating of findings. if relevant, the deviations from the VRT shoul be listed here in a markdown table:

P1 POINT REWARD 100 Rp2.000.000
P2 POINT REWARD 50 Rp1.500.000
P3 POINT REWARD 20 Rp1.000.000
P4 POINT REWARD 10 Rp0
P5 POINT REWARD 5 Rp0

Targets

In Scope
Alpha APK
Android
Out of scope
Data do not exist yet

1

Vulnerabilities rewarded
Latest hall of fame
Private account
Copyright © 2018 - RedStorm. All rights reserved.TermsPrivacyContact