1
2
-
提交漏洞
-
漏洞处理流程
-
漏洞修复
3
高危漏洞
|
中危漏洞
|
低危漏洞
|
|
A类
|
10000-30000
|
2000-3000
|
100-500
|
B类
|
5000-10000
|
1000-2000
|
50-300
|
C类
|
2000-6000
|
200-1000
|
50-200
|
D类
|
1500-3000
|
100-500
|
50-100
|
4
漏洞等级
|
漏洞评级标准
|
高危
|
1）直接获取业务系统权限的漏洞。包括但不限于命令注入、远程命令执行、文件上传等获取 WebShell或反弹shell的漏洞及组合。 |
中危
|
1）普通的信息泄露。包括但不限于影响数的据量有限或者敏感程度有限的越权、源代码或系统日志等信息泄露。 3）普通的越权访问（比如：越权访问管理员的重要功能、重置普通用户的信息、账户、权限，访问敏感数据，上传文件等）。 5）默认口令包括但不限于产品通用的ssh、web、及第三方组件。
|
低危
|
1）轻微信息泄露，包括但不限于可登录后台但无权限或无数据操作的漏洞、PHPinfo、本地 SQL 注入、近期日志打印及配置等泄露情况。 4）非重要功能的接口越权/未授权访问。
5）ssh登录后提权。
|
无影响
|
1）安全无关的产品BUG，包括但不限于产品体验或设计不好、非安全漏洞导致的服务无法访问等。
2）无法利用的漏洞。包括但不仅限于Self-XSS、无敏感操作的 CSRF、无意义的异常信息泄漏、内网IP地址/域名泄漏、管理后台泄漏、example等默认demo未删除、无敏感信息的SVN信息泄漏、只有固定版本的小众浏览器才能触发的XSS、邮件轰炸、轮循多个手机的短信轰炸等。
3）不能直接反映漏洞存在的其他问题。包括但不仅限于纯属用户猜测的问题。
4）⾮信息安全漏洞导致的内容安全风险（如诱导模型输出不当言论）、与模型提示和响应内容相关的问题暂不收取。
5）部分风险过低或难以利用的问题。包括不限于PDF XSS、用户名遍历、SPF邮件伪造、无法请求内网的SSRF、并发请求操作某些产品中不重要的数据、无意义的API Key 泄露、本地拒绝服务漏洞。
6）产品自身的安全能力问题，比如绕过安全产品（安域、云锁等）的防护规则。
|
-
评分标准仅适用于奇安信集团产品相关的安全漏洞。 -
报告中需要提供可稳定复现的exploit，如果短期内无法稳定复现，会降级或者忽略处理。审核人员处理后，在5个工作日内补充说明的不予降级。逾期补充，不再调整定级和奖励。沟通渠道：QAX SRC平台留言或微信咨询小安，微信号：QAXSRC_Official。 -
同一份报告中提交多个漏洞，按综合危害级别计分。同一个漏洞源产生的多个漏洞报告，一般按提交时间给最早的提交者奖励，且漏洞数量记为一个。 以下情况视为同一漏洞源：包括但不限于同一接口、同一代码文件、同一功能模块、同一参数、同一函数、同一触发点、同源产品代码。 对于同一产品或资产，若因未做过滤或其他情况，导致多个同类漏洞产生，则二个自然月内只收取三个作为有效漏洞，超过三个的降级给予奖励，超过五个不再发放奖励，以报告提交的时间为准。 对于仅部分产品、分支、版本、客户等受影响的漏洞，不给予奖励或视综合危害级别降级给予奖励。 -
对于存在利用门槛的漏洞会视其利用难度进行相应的奖金/漏洞等级的降级处理。比如：A类产品的无条件命令执行漏洞可获得最高奖励30000元；需要管理员登录的命令注入可获得奖励10000元；同时需要管理员登录和系统做特定配置、搭建其他服务等情况的命令执行漏洞，奖金范围进一步降低（高危最低奖金标准的50%-80%，5000-8000元）。 -
对于同一报告中有依赖关系和关联条件的多个漏洞，按照共同影响下能达到的最大危害给与奖励，如后台弱口令导致的多个漏洞最终可造成命令执行，最终按命令执行评分。若提交的多个报告中包含相同的利用条件（利用链中的某一个或多个漏洞相同），除第一个报告外，其余报告会适当的降级给予奖励。 -
对于互联网的漏洞，同一漏洞源按照标准3执行。重复提交同一漏洞源不同域名的漏洞，视其危害级别降级给予奖励。 -
对于报告质量高的漏洞（例如：漏洞原理的描述清晰、复现过程便于理解、给出的修复方案具有参考性），给予适当的额外奖励，奖励范围（100-1000元），具体由审核人员进行评估。 -
在漏洞未修复之前，被公开的漏洞不给予奖励，且奇安信集团将追究其法律责任。 -
报告网上已公开的漏洞不给予奖励。 -
同一漏洞，按提交时间给首位报告者给予奖励，其他报告者均不计算奖励。 -
由于App/客户端/产品升级和更新需要一定周期。对于内部已知并已修复，但未发布的情况，将进行内部评估予以降级或不计算奖励处理。 -
对于已发布的最新版本以及主流版本（以产线提供为准）上无法复现的漏洞，将不予计算奖励。其余情况酌情进行奖励。 -
第三方组件漏洞： 1）如果提交相关基础组件n day漏洞，且提交的漏洞已公开时间超过三个月，但仍存在未修复的环境，会根据实际攻击演示效果来评估定级。 2）如果提交相关基础组件0 day漏洞，且提供了可利用证明（如poc能证明造成信息泄露、控制pc等）会根据实际攻击演示效果来评估定级。 -
已退市并暂停维护的产品不计算奖励。
5
-
在漏洞处理过程中，如果报告者对处理流程、评定、评分等具有异议的，请将相关证据及内容发送邮件至src@qianxin.com进行说明。QAXSRC将根据报告者利益优先的原则进行处理，必要时可引入外部人士共同裁定。 -
QAXSRC对此奖励方案在法律许可的范围内拥有最终解释权，同时也欢迎各位安全研究者、报告者给我们提出宝贵的建议和意见。
6
-
以测试漏洞为借口，利用漏洞进行损害用户利益、影响业务运作、盗取用户数据等行为的，将不计算奖励，同时奇安信集团保留采取进一步法律行动的权利。 -
奇安信集团反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害用户利益的黑客行为，包括但不限于利用漏洞盗取用户资料、入侵业务系统、修改、窃取相关系统资料、恶意传播漏洞或数据、暗藏木马后门以及不完整上报等。具体详见《SRC行业安全测试规范》，对于发生上述行为的，奇安信集团将追究其法律责任。 -
在您提交漏洞至QAX SRC，视为您同意遵守信息保密的原则和要求。针对已提交SRC的任何漏洞，须予以保密，均不允许您与第三方个人、组织讨论、分享、公开，包括但不限于通过网站、自媒体、邮件组、公开演讲、即时聊天群如Github、语雀、CSDN、知识星球、个人博客，QQ及微信群等国内外平台软件、及任何形式进行讨论及分享。如有违反，我司将依法保留追究法律责任的权利，包括但不限于要求赔偿由此给我司造成的损失等。 -
奇安信集团及相关所属子公司的员工（包括正式员工、外包员工、实习生、临时员工等）及其直系亲属不能参与该奖励计划，奇安信员工请通过内部渠道提交安全漏洞报告。 -
A类产品蓝信指蓝信客户端和服务端，不含蓝信域名相关系统。 -
互联网侧系统测试的注意事项： 1）越权读取时访问敏感数据不超过10条。 2）在测试未限制发送短信或邮件次数等扫号类漏洞，测试成功的数量不超过10个。如果用户可以感知，例如会给用户发送登陆提醒短信，则不允许对他人真实手机号进行测试。 3）任意文件上传，推荐上传文本证明，如纯文本的1.php、1.jsp等证明问题存在即可。禁止下载和读取服务器上任何源代码文件和敏感文件，不能执行删除、写入命令。 4）存储xss漏洞，只允许插入不影响他人的测试payload，严禁弹窗，推荐使用console.log，再通过自己的另一个帐号进行验证，提供截图证明。对于盲打类xss，仅允许外带domain信息。所有xss测试，测试之后需删除插入数据，如不能删除，请在漏洞报告中备注插入点。 5）禁止进行可能会影响系统运行的测试。 6）禁止对网站后台和部分私密项目使用扫描器。 7）禁止拖库、随意增删改他人信息，禁止进行会对服务稳定性造成影响的扫描、使用漏洞进行黑灰产行为等恶意行为。 8）敏感信息的泄漏会对用户、厂商及上报者都产生较大风险，禁止保存和传播业务相关的敏感数据，包括但不限于业务服务器以及Github等平台泄露的源代码、运营数据、用户资料等，若存在不知情的下载行为，需及时说明和删除。 9）除特别获准的情况下，严禁与漏洞无关的社工，严禁进行内网渗透。 -
产品漏洞评级标准最终解释权归QAXSRC所有。