AdsPower
AdsPower

安全賞金計劃來了,獎金最高達¥6000!

By AdsPower
55 Views

安全賞金計劃來了,獎金最高達¥6000!


在出海的過程中,任何安全漏洞都可能導緻嚴重的數據洩露和財務損失。

AdsPower 充分認識到用戶對安全的需求,並堅持不計成本地提供遠超行業平均水準的數據安全投入。

在過去的半年裡,我們進行了一繫列深層次的安全昇級


安全賞金計劃來了,獎金最高達¥6000!

但我們不滿足止步於此。正如微軟不斷修補繫統漏洞以確保用戶安全一樣,AdsPower 也緻力於打造一個更加可靠的應用環境。

因此,AdsPower 與「火線安全衆測平颱」攜手,開展了一場爲期 44 天的安全衆測活動。

安全賞金計劃來了,獎金最高達¥6000!

這次活動吸引了衆多資深白帽子參與,他們配合 AdsPower 修複了數十個潛在安全問題,我們也爲貢獻者提供了近 40,000 元的現金獎勵。

目前,AdsPower 是行業中唯一一家敢於將自身的真實業務環境,提供給白帽子進行安全衆測的廠商。我們貼近實際運營,從用戶和黑客兩個角度,全麵評估 AdsPower 瀏覽器的安全性。

期待更多白帽子的加入我們的「安全賞金計劃」!


漏洞獎勵標準

漏洞單價表:人民幣/元,未含稅。

海外採取固定匯率 (可根據情況動態調整)

安全賞金計劃來了,獎金最高達¥6000!


漏洞範圍

要獲得賞金,您需要報告一項或多項 AdsPower 中的安全漏洞。此類問題可能包括但不限於:

安全賞金計劃來了,獎金最高達¥6000!




AdsPower 漏洞危害評定規則

嚴重

1.直接獲取繫統權限的漏洞。包括但不限於命令注入、遠程命令執行、上傳獲取WebShell。

2.嚴重級別的敏感信息洩露。包括但不限於對公司或者用戶造成巨大影響的信息洩露,多維度且數據量巨大的敏感數據,以及通過接口引髮的敏感信息洩露。

3.洩露大量核心敏感數據的漏洞,包括但不限於:核心DB的SQL注入漏洞、用戶敏感信息接口越權導緻的大範圍洩露。

4.無需用戶交互或簡單用戶交互的遠程代碼任意執行、遠程任意文件讀冩。

5.可直接獲取集群或堡壘機等關鍵基礎繫統管理員權限等漏洞。

中危

1.普通的信息洩露。包括但不限於影響數據量有限或者敏感程度有限的越權、源代碼或繫統日誌或無信息回顯的SSRF漏洞等信息洩露。

2.需受害者交互或其他前置條件才能獲取用戶身份信息的漏洞。包括但不限於包含用戶、網站敏感數據的 JSONHijacking、操作(如支付類操作、髮佈信息或修改個人賬號敏感信息類操作)的 CSRF、存儲型 XSS。

3.普通的邏輯缺陷和越權。包括但不限於一般的越權行爲和設計缺陷。

4.普通設計缺陷,包括但不限於登錄窗口可爆破(需提供成功案例)、弱口令等問題。

低危

1.輕微信息洩露,包括但不限於可登錄後颱但無權限或無數據操作的漏洞、PHPinfo、本地 SQL注入、近期日誌打印及配置等洩露情況。

2.隻在特定情況下才能獲取用戶信息的漏洞,包括但不限於反射 XSS(包括 DOM型)。

3.利用場景有限的漏洞,包括但不限於短信轟炸、URL跳轉、繫統的可撞庫接口等。


漏洞評定通用原則

1.弱口令問題:同一套繫統多個用戶弱口令問題隻確認第一個,後續提交算重複漏洞;同一個用戶弱口令可登陸不同繫統,算同一漏洞,合並處理。

2.對於SQL注入漏洞,須注出其中一條數據証明危害。嚴禁拖庫表。單純報錯無危害証明將會被忽略。

3.無特別聲明情況下,前後關聯漏洞合並處理,按級別最高的漏洞進行獎勵,如先提交弱口令進入後颱/內網漏洞,後提交進入後颱/內網的SQL注入、越權漏洞。後提交的SQL、越權漏洞均合並處理,審核員會與安全對接人員溝通是否允許繼續深入測試該繫統。如許可,可正常測試,髮現問題可單獨提交。

4.同一個漏洞源産生的多個漏洞計漏洞數量爲一,web層麵上同一域名或IP下均屬同一漏洞源,漏洞獎勵按級別最高的漏洞進行獎勵。

5.對於邊緣/廢棄業務繫統,根據實際情況降級處理。

6.對於利用條件苛刻的漏洞,根據實際情況降級處理。

7.嚴重敏感身份信息定義:至少包含3個敏感字段:姓名/身份証、銀行卡信息、手機號/郵箱、密碼、地址;對於不滿足上述條件的信息,將視信息的敏感程度降級處理。

8.對於已獲取繫統權限(如webshell),禁止下載源代碼審計。請事先聯繫審核員,審核員將會與安全對接人員溝通相關事宜,如果安全對接人員同意審計,再進行後續操作,髮現漏洞可單獨提交。否則,其行爲將視爲違規操作,一經髮現凍結賬戶。安全對接人員情況嚴重程度,保留追究法律責任的權利。


測試紅線

第一類事件:

1.漏洞洩密,漏洞內容主動洩漏給第三方。

2.數據留存,測試敏感信息洩漏(賬密、敏感key、訂單、人員身份信息等)問題,在漏洞確認後1個月未對測試過程中獲取到的相關信息進行完全刪除。

3.存儲不當,使用雲上網盤提供的在線存儲服務或包含網絡同步功能的本地軟件,來存儲測試過程中獲取到的相關信息,導緻洩漏。

4.瞞報問題,對於髮現的敏感信息未完全上報明顯有所保留,或髮現漏洞後1週內未上報相關漏洞。

5.客戶影響,測試輕微影響到了其他用戶的産品使用引起少量投訴等不良反饋。

第二類事件:

1.生産事故,測試造成重要業務中斷直接引髮大麵積故障。

2.危害用戶,測試影響了大量用戶,造成用戶側大量投訴

3.敏感數據,獲取敏感數據請求不要超過50條。注:敏感數據請求50條是底線,但不意味着49條就合規,平時測試不要超過5條;法律規定不得獲取超過50條以上個人信息,因此越權漏洞需要謹慎,保証自身安全,專業的滲透測試中“可控”也是要求之一。

4.深度利用,拒絶內網滲透,禁止獲取內網權限後在內網使用掃描器、或橫向接觸非測試靶機類目標、獲取內網應用/主機權限等。

5.完整性破壞,使用越權刪除等問題,對線上繫統造成完整性的破壞,導緻重要數據丟失。

6.可用性破壞,使用dos類缺陷或其他手法(如ddos或cc攻擊等),對線上繫統造成了可用性的破壞,導緻繫統不可用。

7.社工攻擊,如使用釣魚郵件進行攻擊,進一步種植木馬病毒、竊取公司機密等。

8.其他故意危害計算機信息網絡安全導緻嚴重後果的行爲。

無意的下載、刪除等行爲,請立刻刪除本地數據、恢複線上業務、報備漏洞審核同學。




當您髮現潛在安全漏洞時,可隨時通過官方郵件:security@adspower.net 向我們提交報告,AdsPower 安全團隊將第一時間進行驗証與處理。

點擊:www.adspower.net/bug-bounty可以了解更多相關信息。

AdsPower 將持續加大對用戶信息安全的投入,力保用戶數據安全!




了解更多

《我在AdsPower上的數據安全嗎?看完就明白了》

《力保數據安全,這很AdsPower。》

AdsPower

與AdsPower一起,開啟多帳號管理新篇章

安全賞金計劃來了,獎金最高達¥6000!