Что-то нашли? Канал открыт.
Мы сами пентестеры и уважаем тех, кто находит дефекты на нашей собственной поверхности. Защищённый канал, реальные сроки ответа и публичное упоминание для исследователей, действующих в рамках объявленных границ.
contato@basilisk.com.br
Отпечаток PGP: A4B2 9E3C 7F10 D8E4 4F55 · 6C1A 98D2 0B73 EE21 3AAF
Как это устроено
проверяемые срокиЗашифрованное сообщение
Используйте опубликованный ключ PGP или зашифрованную форму на /contato. Приложите пошаговое воспроизведение, доказательства и наблюдаемые последствия.
Подтверждение в течение 48 рабочих часов
Мы подтверждаем получение и присваиваем внутренний номер обращения. Вы получите уведомление, когда начнётся техническая проверка.
Разбор и исправление
Опасность классифицируется по CVSS. Критические получают экстренное исправление в течение 72 часов, высокие — в течение 2 недель, средние — в течение 30 дней.
Признание
С вашего согласия мы указываем ваше имя в публичном зале признательности. Денежное вознаграждение мы не выплачиваем, но можем предложить сувениры и официальную техническую рекомендацию.
Границы
- ▸basilisk.com.br и публичные поддомены
- ▸Формы обращения и документированный публичный API
- ▸Технические уязвимости: RCE, SQLi, XSS, SSRF, IDOR, дефекты аутентификации и логики
- ✕Активы и инфраструктура клиентов (обращайтесь напрямую к клиенту)
- ✕Атаки типа «отказ в обслуживании» (DoS/DDoS)
- ✕Социальная инженерия против сотрудников, партнёров или клиентов
- ✕Физическая безопасность офисов
- ✕Атаки на сторонние сервисы
- ✕Self-XSS, кликджекинг без последствий, отсутствующие заголовки без вектора
Правила для исследователей
- 01Исследуйте только то, что необходимо для демонстрации дефекта. Не обращайтесь к данным, не изменяйте и не выгружайте их сверх того, что нужно для доказательства.
- 02Не ухудшайте работу сервиса и не проводите проверки, создающие ненормальную нагрузку.
- 03Не раскрывайте публично до того, как исправление выйдет в продуктив и запрет на публикацию будет снят по взаимному согласию.
- 04Если наткнулись на чувствительные данные третьих лиц, немедленно остановитесь и сообщите нам.
- 05К исследователям, действующим добросовестно в рамках этих правил, Basilisk не применяет юридических мер.
Исследователи, которые нам помогли
Публикуем с согласия. Новые упоминания добавляются после того, как исправление вышло в продуктив.