# После завершения PhD2 все заработанные в программе баллы обнулятся!
## Что можно ломать?

 1 Виртуальные машины банкоматов (.ova файлы можно найти на ноутбуках, которые можно найти на площадке);
 2 WEB-интерфейсы киоска;
 3 RDP (аналог виртуальной машины, только онлайн - логин,пароль и IP просите у организаторов);

## Что нельзя ломать?

*.zaheck.ru - репорты принесенные на любой из поддоменов основного сайта будут помечены как «Спам»

## Какие уязвимости принимаются?

Здесь нет строгих рамок. Принимаются все уязвимости, которые имеют хоть какой-нибудь (даже минимальный) импакт. 

Примеры уязвимостей, которые нас точно заинтересуют, а также их потенциальная критичность: 

+ обход киоска (LOW);
+ обход applocker (MEDIUM);
+ повышение привилегий (HIGH-CRITICAL);
+ DOS уязвимости (например, отказ в обслуживании в результате переполнения буфера) (MEDIUM);
+ уязвимости WEB-интерфейса (XSS, CSRF, SQLi) (LOW-CRITICAL);
+ логические уязвимости (LOW-CRITICAL);
+ сетевые атаки (LOW-CRITICAL);
+ другие;

## Правила:
 1 Окончательное решение о выставлении уровня критичности для принятого репорта принимает сотрудник программы;
 2 Конкурс закончится 26.05.2024 в 15:00 по Московскому времени;
 3 Победители будут определены по итогам всех дней в соответствии с топом программы на текущий момент;
 4 Запрещена социальная инженерия;
 5 Запрещено использование безопасного режима и загрузка с флешки;
 6 Запрещены атаки на других участников конкурса;
 7 Запрещено раскрытие найденных вами уязвимостей другим участникам конкурса до момента его окончания;
 8 Новые задания будут публиковаться каждый день;

Помощь 

Если вам что-то непонятно, остались вопросы - пишите в Telegram  @telegadlyasvyazi2 или ищите организаторов непосредственно на просторах площадки.

$NATCH ATM

Эта программа создана специально для участников конкурса по взлому банкоматов, проходящего в рамках PHD2 в 2024 году. На основе принесенных участниками репортов будет формироваться рейтинг, который можно посмотреть по адресу https://scoreboard.zaheck.ru или в топе данной программы.

Данный вендор создан для работы с участниками в рамках PhD2.
В рамках данного вендора созданы несколько багбаунти программ, предусматривающих сдачу решений конкурсных заданий в формате отчётов багбаунти.
За сданные отчёты участники получают игровую валюты PosiToken, предусматривающую возможность покупки вещей в мерч-магазине.
По окончанию соревнований программы будут удалены, а заработанные на платформе очки убраны.

PHD Contests

# После завершения PhD2 все заработанные в программе баллы обнулятся!
### Награждение победителей

Мы с нетерпением ждем возможность поздравить победителей! Оставляйте в своих отчётах или комментариях к нему свой логин, указанный при регистрации в системе Posi Token киберфестиваля Positive Hack Days Fest 2 для начисления награды.

### Область действия программы

**APK:** https://cloud.mail.ru/public/k7jD/uRd9Z515g

❗❗❗ **Обратите внимание, что уязвимости в мобильном API относятся к скоупу WEB-программы.**

### Требования к уязвимостям

Важно, чтобы мы могли воспроизвести описанные вами уязвимости, поэтому просим вас внимательно отнестись к оформлению отчета.
Мы ждем отчеты с подробным описанием шагов, которые нужно выполнить для воспроизведения; оценку критичности, оценку влияния уязвимости на безопасность банковских сервисах.
Нас интересуют любые проблемы безопасности, попадающие под правила программы. Если вы сомневаетесь, будет ли актуален ваш отчет, проверьте список исключений. Отметим, что в первую очередь нас интересуют следующие типы уязвимостей:

- исполнение кода;
- утечки данных пользователей;
- ошибки бизнес-логики, в том числе ошибки финансовых операций;

Мы ценим внимание к деталям!

### Вознаграждение

Все отчеты об уязвимостях рассматриваются индивидуально. Мы оставляем за собой право принимать окончательное решение по серьезности найденной уязвимости и критичности компонента.

| Критичность          | Critical   | High       | Medium     | Low        |
|----------------------|------------|------------|------------|------------|
| Максимальная выплата | до 120 POSI Token | до 90 POSI Token | до 60 POSI Token | до 30 POSI Token |

### Обработка и оценка отчетов
У нас может уйти больше времени на анализ отчетов, которые не содержат полную информацию по описанной уязвимости или детали шагов, которые нужно выполнить для ее воспроизведения. Для того, чтобы мы могли эффективно и быстро рассматривать ваши отчеты, просим внимательно отнестись к нашим пожеланиям по описанию уязвимостей. Подчеркнем, что отчеты о проблемах, которые не оказывают влияния на безопасность систем банка, могут быть не рассмотрены, но вы сможете сообщить о них в канале конкурса https://t.me/phdayscontests/10

### Исключения

В рамках данной программы мы не можем рассматривать к награждению отчеты о следующих проблемах:
- уязвимости, применимые только на устройствах с root доступом;
- отсутствие реакции на root;
- атаки, для применения которых необходим MITM;
- теоретические атаки и баги, не связанные с безопасностью;
- возможность декомпиляции/реверса приложения, изменения его кода с помощью Frida, Objection и пр.;
- атаки tapjacking;
- наличие скриншотов с чувствительной информацией пользователей;
- отсутствие SSL-pinning;
- отсутствие защитных флагов нативных библиотек;
- раскрытие некритичной информации.

$NATCH Mobile

Мобильное-приложение на базе Android банка – Global DIgital Bank. Данная программа существует в рамках конкурса $NATCH. Отчеты в данной программе принимаются с 10:00 23 мая до 15:00 26 мая.

# После завершения PhD2 все заработанные в программе баллы обнулятся!
## Награждение победителей

Мы с нетерпением ждем возможность поздравить победителей! Оставляйте в своих отчётах или комментариях к нему свой логин, указанный при регистрации в системе Posi Token киберфестиваля Positive Hack Days Fest 2 для начисления награды.

## Область действия программы

Все уязвимости, доступные на хосте: https://globaldigitalbank.ru/
Также разрешается инструментальное сканирование открытых портов.

## Ограничения

- эксплуатация найденных сервисов известными CVE сперва нужно согласовать с организаторами конкурса
- запрещается превышать нагрузку атаками типа brute-force и похожими выше 10-15 rps
- выгрузка найденных частей системы без согласования 

## Требования к уязвимостям
Важно, чтобы мы могли воспроизвести описанные вами уязвимости, поэтому просим вас внимательно отнестись к оформлению отчета.
Мы ждем отчеты с подробным описанием шагов, которые нужно выполнить для воспроизведения; оценку критичности, оценку влияния уязвимости на безопасность банковских сервисов.
Нас интересуют любые проблемы безопасности, попадающие под правила программы. Если вы сомневаетесь, будет ли актуален ваш отчет, проверьте список исключений. Отметим, что в первую очередь нас интересуют следующие типы уязвимостей:

- удаленное исполнение кода и инъекции;
- утечки данных пользователей;
- ошибки бизнес-логики, в том числе ошибки финансовых операций;
- ошибки сервиса аутентификации и авторизации;
- мисконфигурации настроек ПО
- доступность критичных сервисов

Мы ценим внимание к деталям!

### Вознаграждение

Все отчеты об уязвимостях рассматриваются индивидуально. Мы оставляем за собой право принимать окончательное решение по серьезности найденной уязвимости и критичности компонента.

| Критичность          | Critical   | High       | Medium     | Low        |
|----------------------|------------|------------|------------|------------|
| Максимальная выплата | до 120 POSI Token | до 90 POSI Token | до 60 POSI Token | до 30 POSI Token |

## Обработка и оценка отчетов
У нас может уйти больше времени на анализ отчетов, которые не содержат полную информацию по описанной уязвимости или детали шагов, которые нужно выполнить для ее воспроизведения. Для того, чтобы мы могли эффективно и быстро рассматривать ваши отчеты, просим внимательно отнестись к нашим пожеланиям по описанию уязвимостей. Подчеркнем, что отчеты о проблемах, которые не оказывают влияния на безопасность систем банка, могут быть не рассмотрены, но вы сможете сообщить о них в канале конкурса https://t.me/+g0YeyIaG3gA5YzFi
Награждение победителей
Мы с нетерпением ждем возможность поздравить победителей! Мы сможем связаться с вами через комментарии к оставленным отчетам. И не волнуйтесь, если вам придется уйти с мероприятия раньше времени награждения – мы все равно найдем способ передать вам заслуженный приз!
Исключения
В рамках данной программы мы не можем рассматривать к награждению отчеты о следующих проблемах:
- теоретические атаки без доказательства эксплуатируемости;
- баги, не связанные с безопасностью

$NATCH Online banking

Global Digital Bank представляет вам облачную инфраструктуру и сервисы для обслуживания онлайн и мобильного банка. Данная программа существует в рамках конкурса $NATCH. Отчеты в данной программе принимаются с 11:00 25 мая до 15:00 26 мая.

Programs