Resumen
site:forobeta.com/mobidea Mobidea es una red de afiliados de programación móvil para compradores de medios y webmasters. Nos especializamos en la adquisición de usuarios enfocada en las campañas de CPA (costo por adquisición) e CPI (costo por instalación), convirtiendo su tráfico móvil como ningún otro.
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-2.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-3.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-4.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-5.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-6.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-7.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-8.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-9.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-10.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-11.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-2.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-3.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-4.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-5.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-6.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-7.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-8.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-9.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-10.html
http://forobeta.com/mobidea/582138-mobidea-review-del-mobidea-tracker-2017-a-11.html
Datos y Seguridad
Nuestros afiliados confían en nosotros con información muy importante y es por eso que hemos decidido lanzar nuestro Bug Bounty Program (BBP). Necesitamos tener el mejor sistema de seguridad posible y, a través del BBP, recompensaremos a los investigadores de seguridad si y cuando reportan una vulnerabilidad de seguridad VÁLIDA.
Blancos
- Sitio web de Mobidea: https://www.mobidea.com
- Aplicación Mobidea para Android: https://play.google.com/store/apps/details?id=com.olamobile.mobidea
- Aplicación Mobidea Iphone: https://itunes.apple.com/us/app/mobidea/id1110797867
Divulgación responsable
- Abstenerse de lo siguiente: a) acceder a información privada (pruebe en sus cuentas); B) realizar acciones que puedan afectar negativamente a los usuarios de Mobidea (spam, denegación de servicio); C) intentar penetrar en cualquiera de las oficinas de Mobidea o intentar ataques de phishing contra nuestros empleados.
- Usted NO DEBE revelar la vulnerabilidad de Mobidea al público, ya sea en su blog o en su página de medios sociales, antes de que el problema sea solucionado. Antes de publicarlo y mostrarlo al público, tenga cuidado de que debe enviarnos la entrada del blog para que pueda ser analizado correctamente.
- No debe explotar ninguna vulnerabilidad de seguridad, como la inyección de SQL. No lo utilice para volcar nuestra base de datos en un intento de mostrarnos cuán grave es realmente la vulnerabilidad. En caso de que desee mostrarnos una amenaza, simplemente envíenos la siguiente información: a) hostname; B) usuario actual de la base de datos.
Nuestras responsabilidades
- Nos comprometemos a nunca realizar investigaciones policiales contra los investigadores de seguridad que denuncien las vulnerabilidades de seguridad sin la intención de explotarlas para su propio beneficio.
- Nos comprometemos a responder a su informe de seguridad en el plazo de 24 horas.
- Trabajaremos duro para conseguir el error informado fijado tan pronto como sea posible.
Creación de cuenta
Debe usar el alias de correo electrónico @ bugcrowdninja.com al inscribirse en las cuentas de Mobideaque se utilizarán para participar en esta recompensa.
Por ejemplo, si el nombre de usuario de Bugcrowd es investigador, debe utilizar researcher@bugcrowdninja.com. Si necesita varias cuentas, puede utilizar la función de subdirección de alias y registrarse con una dirección de correo electrónico como, por ejemplo, researcher+randomstring@bugcrowdninja.com
Por ejemplo, si el nombre de usuario de Bugcrowd es investigador, debe utilizar researcher@bugcrowdninja.com. Si necesita varias cuentas, puede utilizar la función de subdirección de alias y registrarse con una dirección de correo electrónico como, por ejemplo, researcher+randomstring@bugcrowdninja.com
Las cuentas que no sigan estas reglas se suspenderán sin previo aviso.
Vulnerabilidades calificadas
Todos los servicios proporcionados por Mobidea ubicados en affiliates.mobidea.com son elegibles para nuestro programa de recompensas de insectos. Como regla general, estaremos interesados en recibir errores que realmente representan una amenaza para la seguridad de Mobidea y sus afiliados. A continuación se presentan algunos ejemplos de causas relevantes para el reporte que recibirán recompensas.
- inyección SQL
- Ejecución remota de código del servidor (RCE)
- Escalamiento de privilegios
- Inclusión de archivos locales / remotos
- XML External Entity Attacks (XXE)
- Scripting entre sitios (XSS)
- Falsificación de peticiones en sitios cruzados
- Abrir redireccionamiento
- Ataques de límite de velocidad
Fuera de alcance / conclusiones excluidas
Los siguientes tipos de hallazgo están específicamente excluidos de la recompensa:
- La ingeniería social ataca los informes que requieren una interacción del usuario
- Informes sobre sesiones / cookies (fijación de sesión, falta de banderas seguras, problemas HTTPONLY, etc.)
- Informes sobre la política de contraseñas
- CSRF tiene bajo impacto (por ejemplo, csrf en el archivo de descarga)
- Informes sobre los indicadores SPF que faltan
- El informe sobre los vínculos debe caducar después de un uso único (por ejemplo, vencimiento del enlace de restablecimiento de contraseña) **
- HTTP 404 códigos / páginas u otros códigos / páginas HTTP no-200.
- Impresión de huellas dactilares / divulgación de banners sobre servicios comunes / públicos.
- Divulgación de archivos o directorios públicos conocidos (por ejemplo, robots.txt).
- Clickjacking y problemas sólo explotables mediante clickjacking.
- CSRF en formularios que están disponibles para usuarios anónimos (por ejemplo, el formulario de contacto).
- Logout Cross-Site Request Falsión (desconexión CSRF).
- Presencia de funcionalidad de aplicación o navegador web 'autocompletar' o 'guardar contraseña'.
- Falta de seguridad Speedbump al salir del sitio.
- Baja Captcha / Captcha Bypass
- Inicie sesión o Olvidé la contraseña página fuerza bruta y bloqueo de cuenta no se aplica.
- OPCIONES Método HTTP habilitado
- Enumeración de nombre de usuario / correo electrónico
- Mensaje de error de página de inicio de sesión
- Vía mensaje de error de la contraseña olvidada
- Falta encabezados de seguridad HTTP
- Vulnerabilidades reportadas por herramientas automatizadas sin un análisis adicional de cómo son un problema
- Ataques de denegación de servicio
- Problemas con la inyección de contenido
- Informes no validados de los escáneres automatizados de vulnerabilidad web (Acunetix, Vega, etc.)
- Informes de escaneo SSL / TLS (esto significa salida de sitios como SSL Labs)
- Abrir puertos sin una prueba de concepto que demuestre vulnerabilidad
- Auto-XSS que no se puede utilizar para explotar a otros usuarios (esto incluye que un usuario pegue JavaScript en la consola del navegador)
Aplicación fuera de alcance para Android
- Los enlaces compartidos se filtraron a través del portapapeles del sistema.
- Cualquier URI se filtró porque una aplicación malintencionada tiene permiso para ver los URI abiertos
- Ausencia de fijación de certificado
- Datos sensibles en URLs / cuerpos de solicitud cuando están protegidos por TLS
- Datos de usuario almacenados sin cifrar en el almacenamiento externo
- La falta de ofuscación está fuera del alcance
- Oauth "secreto de la aplicación" codificado / recuperable en apk
- Se bloquea debido a intentos malformados enviados a Actividad / Servicio / BroadcastReceive exportados (explotando estos para la fuga de datos sensibles es comúnmente en el ámbito de aplicación)
- Cualquier tipo de datos confidenciales almacenados en el directorio privado de la aplicación
- Falta de control de protección binaria en la aplicación para Android
Fuera de alcance de la aplicación de iOS
- Falta de Explotación de las atenuaciones, es decir, PIE, ARC o Stack Canaries
- Ausencia de fijación de certificado
- Ruta de acceso en el binario
- Datos de usuario almacenados sin cifrar en el sistema de archivos
- La falta de ofuscación está fuera del alcance
- La falta de detección de jailbreak está fuera del alcance
- Oauth "secreto de la aplicación" codificado / recuperable en apk
- Se bloquea debido a esquemas de URL mal formados
- Falta de controles de protección binaria (anti-depuración)
- Fuga de la instantánea / cartulina
- Runtime hacking exploits (exploits sólo es posible en un entorno jailbreak)





