BINGX که در سال 2018 تأسیس شده است ، یک مبادله تجارت اجتماعی رمزنگاری است که دارای خدمات ، مشتقات و خدمات تجارت کپی شده برای بیش از 100 کشور در سراسر جهان است. BINGX با باز کردن باز کردن بازار رمزنگاری سریع برای همه ، ارتباط کاربران با معامله گران متخصص و بستر سرمایه گذاری به روشی ساده ، جذاب و شفاف ، خود را به عنوان مبادله مردم افتخار می کند.

محدوده

در دامنه

*. bingx.com

*. bingx. pro

https://play. google.com/store/apps/details؟id=pro. bonbon. app

https://apps. apple.com/us/app/bingbon-global/id1500217666؟ls=1

https://bingx-api. github. io/docs/swap/introduce.html

خارج از دامنه

support. bingx. pro

support. bingx.com

blog. bingx.com

uat. bingx.com

منطقه تمرکز

آسیب پذیری بحرانی

• آسیب پذیری های جدی به مواردی که در سیستم تجاری سیستم اصلی رخ می دهد (سیستم کنترل اصلی ، کنترل دامنه ، سیستم توزیع تجارت ، ماشین سنگر و سایر سیستم های مدیریت و کنترل که می توانند تعداد زیادی از سیستم ها را مدیریت کنند) اشاره دارد و می تواند تأثیر گسترده ای داشته باشدبشرمحدود) مرجع کنترل سیستم تجاری
• آسیب پذیری های جدی که می تواند اقتدار مدیر سیستم اصلی را بدست آورد و می تواند سیستم اصلی را کنترل کند.
• آسیب پذیری هایی که شامل: اما محدود به آنها نیست:
• کنترل چند دستگاه داخلی
• پس زمینه اصلی حقوق فوق العاده سرپرست به دست آمده و باعث نشت داده های اصلی شرکت در مقیاس بزرگ می شود ، که می تواند تأثیر زیادی داشته باشد
• سرریز قرارداد هوشمند ، آسیب پذیری مسابقه شرطی

آسیب پذیری پرخطر

• دسترسی به سیستم (Getshell ، اجرای فرمان و غیره)
• تزریق SQL از سیستم (آسیب پذیری های پس زمینه کاهش می یابد ، ارسال های بسته بندی شده به صورت مناسب به روز می شوند) دسترسی غیرمجاز به اطلاعات حساس. از جمله اما محدود به دور زدن احراز هویت برای دسترسی مستقیم به پیشینه مدیریت ، رمزعبور مهم پس زمینه ضعیف ، SSRF که مقدار زیادی از اطلاعات حساس در اینترانت و غیره را بدست می آورد)
• هر پرونده ای را بخوانید
• آسیب پذیری xxe برای به دست آوردن اطلاعات دلخواه
• عملیات غیرمجاز شامل پول ، دور زدن منطق پرداخت (نیاز به استفاده نهایی دارد)
• نقص های طراحی منطقی جدی و نقص های پردازش. از جمله اما محدود به آسیب پذیری ورود به سیستم کاربر ، اصلاح دسته ای از آسیب پذیری رمز عبور حساب ، آسیب پذیری منطقی مربوط به تجارت اصلی شرکت و غیره ، به جز انفجار کد تأیید
• سایر آسیب پذیری های تأثیرگذار بر کاربران در مقیاس بزرگ. از جمله اما محدود به XS های ذخیره شده که می توانند به طور خودکار توسط صفحات مهم پخش شوند ، XSS ذخیره شده که می توانند اطلاعات احراز هویت مدیر را بدست آورند و با موفقیت مورد سوء استفاده قرار بگیرند ، و غیره.
• بسیاری از نشت کد منبع
• نقص کنترل مجوز قرارداد هوشمند

آسیب پذیری متوسط

• آسیب پذیری هایی که برای تأثیرگذاری بر کاربران نیاز به تعامل دارند. از جمله اما محدود به XS های ذخیره شده صفحات عمومی ، CSRF شامل تجارت اصلی و غیره نیست.
• عملیات غیرمجاز معمولی. از جمله اما محدود به دور زدن محدودیت ها ، اصلاح اطلاعات کاربر ، انجام عملیات کاربر و غیره
• انکار آسیب پذیری خدمات. از جمله اما محدود به انکار از راه دور از آسیب پذیری های خدمات که باعث انکار خدمات برنامه های وب سایت و غیره می شوند.
• آسیب پذیری هایی که می تواند در اثر انفجار موفقیت آمیز در عملکرد سیستم حساس مانند ورود به حساب خودسرانه و بازیابی رمزعبور خودسرانه به دلیل منطق کد تأیید ایجاد شود
• اطلاعات کلید احراز هویت حساس محلی که به صورت محلی ذخیره می شود ، فاش می شود و باید به طور موثری مورد استفاده قرار گیرد.

آسیب پذیری شدید کم

• انکار محلی از آسیب پذیری خدمات. از جمله اما محدود به تکذیب محلی سرویس در سمت مشتری (قالب های تجزیه و تحلیل پرونده ، خرابی های ناشی از پروتکل های شبکه) ، قرار گرفتن در معرض مجوزهای مؤلفه اندرویدی ، مشکلات ناشی از مجوزهای برنامه مشترک و غیره.
• نشت اطلاعات عمومی. از جمله اما محدود به مسیر وب مسیر ، مسیر مسیر سیستم ، مرور دایرکتوری و غیره نیست.
• XSS منعکس شده (از جمله DOM XSS / Flash XSS)
• CSRF معمولی
• آسیب پذیری تغییر مسیر URL
• بمب پیام کوتاه ، بمب پستی (هر سیستم فقط یک آسیب پذیری از این نوع را می پذیرد)
• آسیب پذیری های دیگر که کمتر مضر هستند و نمی توانند مضر باشند (مانند آسیب پذیری های CORS که نمی توانند اطلاعات حساس را بدست آورند)
• بدون اکو و بدون سوء استفاده از SSRF موفق

آسیب پذیری های خارج از مقیاس

• آسیب پذیری جعل ایمیل
• انفجار جامع رابط آسیب پذیری های نام کاربری ثبت شده
• تزریق خود XSS و HTML
• صفحه وب از دست رفته CSP ، خط مشی امنیتی SRI است
• مسائل CSRF برای عملیات غیر حساس
• Android Android Android جداگانه: مشکلات "واقعی" ، انکار محلی مشکلات خدمات و غیره (به جز استفاده عمیق)
• مشکلاتی مانند درخواست های آهسته ناشی از تغییر اندازه تصویر
• مشکلات مربوط به NGINX یا سایر نشت های نسخه Middleware
• برخی از اشکالات عملکردی نمی توانند خطرات امنیتی ایجاد کنند
• حمله فیزیکی به حمله یک بینگکس/مهندسی اجتماعی به کارمندان بینگکس
• پیکربندی ضبط DMARC از دست رفته است.
• داده های exif از تصاویر بارگذاری شده سلب نشده است

قوانین برنامه

• انجام کار اجتماعی و ماهیگیری برای پرسنل ممنوع است.
• آسیب پذیری ها انتشار خارجی را ممنوع می کنند.
• حفره های آزمایش محدود به تست های اثبات شده است و آزمایش های مخرب کاملاً ممنوع است. اگر آسیب ناخواسته وارد شود ، باید به موقع گزارش شود. در همین زمان ، عملیات حساس انجام شده در طول آزمون ، مانند حذف ، اصلاح و غیره ، باید در گزارش توضیح داده شود.
• استفاده از اسکنرها برای اسکن در مقیاس بزرگ ممنوع است و در دسترس نیست سیستم های تجاری یا شبکه ها مطابق با قوانین مربوطه با آن برخورد می شود.
• برای آزمایش آسیب پذیری ها ، سعی کنید از اصلاح مستقیم صفحه خودداری کنید ، تکرار جعبه بازشو (تأیید XSS برای استفاده از ورود به سیستم توصیه می شود) ، سرقت کوکی ها ، به دست آوردن سایر اطلاعات کاربر و سایر بارهای تهاجمی (اگر در حال آزمایش تایپ لمسی هستید ، لطفاً از DNSLOG استفاده کنید) ؛
• مراقب باشید از یک بار بسیار تهاجمی استفاده کنید ، لطفاً آن را به موقع حذف کنید ، در غیر این صورت ما حق داریم مسئولیت های قانونی مربوطه را دنبال کنیم.

دستورالعمل های افشای

• در مورد این برنامه یا هرگونه آسیب پذیری (حتی موارد حل شده) در خارج از برنامه بدون رضایت صریح سازمان بحث نکنید
• هیچ افشای آسیب پذیری ، از جمله جزئی برای لحظه مجاز است.
• لطفا اشکالات را منتشر و بحث نکنید

صلاحیت و افشای هماهنگ

ما خوشحالیم که از همه کسانی که گزارش های معتبری را ارائه می دهند تشکر می کنیم که به ما در بهبود امنیت کمک می کنند. با این حال ، فقط مواردی که الزامات واجد شرایط بودن زیر را برآورده می کنند ، ممکن است پاداش پولی دریافت کنند:

• شما باید اولین گزارشگر یک آسیب پذیری باشید.
• آسیب پذیری باید یک آسیب پذیری واجد شرایط باشد
• هرگونه آسیب پذیری یافت شده باید حداکثر 24 ساعت پس از کشف و منحصراً از طریق hackenproof.com گزارش شود
• شما باید توضیحات متنی واضح از گزارش را به همراه مراحل تولید مثل مسئله ارسال کنید ، شامل پیوست هایی مانند تصاویر یا اثبات کد مفهوم در صورت لزوم.
• شما نباید یک کارمند سابق یا فعلی ما یا یکی از پیمانکار آن باشید.
• فقط از آدرس ضد هکری خود استفاده کنید (در صورت نقض ، هیچ فضل قابل تعلق نمی گیرد)
• مراحل تفصیلی اما تولید مثل را ارائه دهید

این شرکت یک سپرده فضل را تأمین کرده است ، و این امکان را برای Hackenproop فراهم می کند تا گزارش های اشکال تأیید شده ASAP را پاداش دهد.