通用软件漏洞收集及奖励计划第二期

通用软件漏洞情报收集及奖励标准

为了更好地保障云上用户的安全，提升安全防御能力，阿里云先知专门制定了《通用软件漏洞验收及奖励计划》，以提供奖励的方式鼓励白帽子遵循负责任的漏洞披露机制，向我们提供供应链软件的安全漏洞情报信息。

阿里云先知确认漏洞后，将按照流程向您提供现金奖励和荣誉奖励，同时在遵守中国相关法律的情况下将漏洞反馈给软件开发者公司，并向受到影响的合作伙伴共享漏洞情报信息。如果您发现通用软件的漏洞，欢迎您向我们提交，我们会快速响应处理。

漏洞定义

攻击者通过操纵某些数据，使得程序偏离设计者的逻辑，进而引发的安全问题。阿里云先知漏洞平台主要收集应用软件和建站系统程序漏洞。

漏洞名称

白帽子自定义漏洞名称，尽量包含漏洞关键字等信息。

如：PHPTEST v1.0.0前台无限制GetShell。

收集的漏洞类型

我们关注的漏洞类型，包括： SQL注入、XXE、命令执行、文件包含，任意文件上传、SSRF、获取管理员权限、重点敏感信息泄露等。

漏洞提交报告要求

为了能够对每个漏洞进行客观评估，兼顾厂商对漏洞的实际影响判断，建议白帽子依据CVSS 3.0标准，补充如下关键信息，从而避免审核过程中造成的偏颇。

提交漏洞时，如果厂商列表中未找到要提交的厂商名，请选择其他。

• 利用方式：远程/本地/物理

• 影响版本：影响版本号（必填字段，不写默认按非最新版发放奖励）

• 用户交互：不需要登录/需登录/需登录（开放注册）

• 权限要求：普通用户/功能管理员/系统管理员

• 利用接口：http://example.com/XXXXXid=100&xxxxx

• 漏洞利用点参数：利用接口URL中的id

• 漏洞证明：

  • SQL注入漏洞：请补充注入利用证明，包括数据库的 user()或 version()或 database()的输出结果，建议提供截图。

  • 命令执行漏洞：请补充命令执行利用证明，运行命令whoami 输出的结果，建议提供截图。

  • 分析部分：代码分析过程。漏洞产生原因。

• 如无法提供详细的代码分析过程，请至少补充3个互联网案例。

漏洞收集范围

我们关注当前应用广泛的互联网应用软件类及第三方建站系统程序，具体如下：

（列表比较多，建议通过页面搜索的方式进行查找）

GitHub, Gitblit, WebSVN, Gogs, SonarQube, VisualSVN, Atlassian-Bitbucket, Gitea, GitLab, Huawei-华为-云堡垒机, H3C-SecPath-运维审计系统, 奇安信网神运维审计系统, 天融信运维安全审计系统, 云安宝-云匣子, LogBase运维安全管理系统, 联软IT安全运维管理系统, 绿盟运维安全管理系统OSMS, JumpServer, 帕拉迪统一安全管理与运维审计系统, 中远麒麟堡垒机, 启明星辰天玥网络安全审计系统, 安恒明御运维审计与风险控制系统, 网御运维安全网关V3.0, 齐治堡垒机php版, 齐治堡垒机java版, 纷享销客CRM, 悟空CRM, 六台阶客户关系管理系统, 用友-CRM, 用友TurboCRM, 零信任访问控制系统aTrust, Guns, PhpWeb, ValueApex-EAMic, 友点-CMS, MCMS-铭飞, PageAdmin-CMS, Emlog, IdeaCMS, DouPHP, Smarty, 新点PaaS运维控制台, Logwire-平台, CTICloud云呼叫中心平台, SupeSite, Dream-Study智慧党校平台, G-ONE-CMS内容管理系统, PublicCMS, PowerM3, TRS-WAS5, TRS-WCM, 海康威视综合安防管理平台, 万户ezEip, 民爆信息系统网络服务平台, 中科信普-离退休工作管理系统, 时空智友企业信息管理系统, 博采网络建站系统, 契约锁, 苹果CMS, 青之-实验室信息管理系统, Redmine, 契约锁-后台页面, 合正网站群内容管理系统, Joomla, 方正畅享全媒体新闻采编系统, 新点网上协同办公平台, 力软敏捷开发框架, 国家企业信用信息公示系统, 极通EWEBS, 国微CMS, 华宜互联CMS, YApi, TypesetterCMS, JeePlus, JeecgBoot, JCMS, Discuz, 东软慧鼎人才资本管理系统, 小鱼易连云视讯管理平台, MediaWiki, OpenOffice, SDCMS, 金盘opac, EmpireCMS, JEECMS, CmsEasy, XAMPP, 若依管理系统, ZCMS, ShopXO, OpenSNS-shareBox, OneBlog, DocCMS, 图书馆OPAC检索平台, Jspxcms, SiteServer, PHPSHE, Shop7z, Zabbix, Jenkins, DedeCMS, Gpower-CMS, WordPress, SiteStar, 海康威视iVMS-8700安防综合管理平台, YzmCMS, HdWiki, Atlassian-Jira, 快排CMS, phpCMS, Adobe-Experience-Manager, 广联达Glodon控制台, 闪灵CMS, PbootCMS, PHPOK, Discuz!-Q, 烽火星空移动平台, DotNetNuke, 爱数易享云企业云盘, 微擎公众平台引擎, phpyun, 泛微云桥e-Bridge, MobileIron, MetInfo, AspCMS, JeeSite, HiShop, shopex, 商派ECstore, 可道云系统, AppCMS, Journalx, phpwind, KesionCMS, EasySite, drupal, ORCHARD-CORE, DESTOON网站管理系统, 新点网站大师, dokuwiki, Z-Blog, CMSTOP, 科蓝MADP移动金融开发平台, Ecshop, ThinkSNS, Liferay, phpBB, 骑士人才系统, E6(E8)-文档管理系统, edoc2, Atlassian-Confluence, 华夏ERP, 用友-UFIDA-NC, 用友-YonBIP, 方天云端-ERP, Dimix-ERP-办公系统, 用友-U8-Cloud, 浪潮GS-Cloud, 用友-U9-Cloud, 畅捷通-TPlus, 用友-NC, Odoo, 用友-NC-Cloud, 朗新-sTalent, 宏景HCM, 嘉扬e-HR系统, 宏景eHR, 红海云eHR, 天融信日志收集与分析系统, Logbase日志管理综合审计系统, 明御综合日志审计平台, 奇安信网神SecFox日志收集与分析系统, 深信服-AC日志中心, NetMizer-日志管理系统, 奇安信网神上网行为管理与审计系统, 飞鱼星-企业级智能上网行为管理系统, 深信服全网行为管理AC, 正方IAM, 绿盟科技认证系统, 中国中铁统一身份认证, Ivanti-CSA, NetScaler-AAA, 深信服身份认证系统, TRS-IDS, ADManager-Plus, 吉大正元身份认证网关, 竹云IAM, Adminer, phpMyadmin, 禅道项目管理, Apache-ActiveMQ-MQ服务, Apache-ActiveMQ, RabbitMQ, LeadSec-网御星云-SSL-VPN, TP-LINK-VPN-Router, Pulse-Connect-Secure, 天融信VPN-VONE系列, H3C-SSL-VPN, 天清汉马VPN安全网关, 中科曙光sslvpn, PulseSecure-SSL-VPN, 华为-SSL-VPN, Cisco-SSL-VPN, 奇安信网神VPN, Fortinet-VPN, ICEFlow-VPN, Array-VPN, 天融信VPN-NGVONE系列, 奇安信VPN, 迪普科技-SSL-VPN, 绿盟VPN, 锐捷-VPN, SonicWALL-SSLVPN, 深信服-SSL-VPN, 网御星云-SSL-VPN, 瑞友天翼-应用虚拟化系统, 深信服桌面虚拟化VDI, 瑞友天翼-应用虚拟化交付平台, VMware-Horizon, FusionAccess, 指掌易移动安全管理平台, 联软-EMM-API, kkFileView, 金山云文档, WPS部署可视化平台, ONLYOFFICE-DOC, I-Doc-View在线文档预览, ShowDoc, 智齿客服系统, Any800全渠道智能客服云平台, 绿盟终端检测与响应系统, 火绒终端安全管理系统V2.0, 360终端安全管理系统, 天融信终端威胁防御系统, Symantec-EDR, 360企业版控制中心, 青藤万相主机自适应安全平台, 安恒明御终端安全及防病毒系统, 深信服终端检测响应平台, 天擎V10, 天擎V6, 瑞星ESM防病毒系统, 金山终端安全系统（20230614不再收取）, 联软网络准入控制系统, TWebAP, TongWeb, Windows-IIS, Apache-HTTPd, Nginx, 指掌易移动业务智能安全平台, Spring-Boot-Admin, SpringBoot-Actuator, Apache-Solr, Nexus-Repository-Manager, Alibaba-Druid, Live800, UTT-艾泰-Router, ASUS-Wireless-Router, SANGFOR-深信服数据中心, WayOS-维盟-Router, HertzBeat, 中维世纪远程管理系统, SANGFOR-深信服防篡改系统, TP-LINK-Video-Play, 碧海云盒-Router, Nessus, PHICOMM-斐讯-K2-Router, 科大讯飞智慧教育, ASUS-Router-Firmware, ShenYu-Gateway（Soul网关）, H3C-Web-网管, QNAP-QTS, Yxlink-铱迅-WAF, Kass-Cloud-开始云, H3C-SecPath运维审计系统, Huawei-Firewall, 绿盟网络入侵检测系统, 网神SecADS应用交付系统, 网神（天堤）新一代防火墙, 山石网科云鉴主机安全管理系统, 网御Web应用安全防护系统, 海康威视Firmware, 安全狗-云垒云安全平台, WIFISKY-7层流控路由器, 奇安信网神数据库审计与防护系统, 深信服应用交付管理系统, 奇安信行为感知分析系统, 绿盟抗拒绝服务系统ADS, 应用安全管控系统, 网康互联网控制网关, Dell-Remote-Access-Controller, 网御星云-web防护系统, 绿盟综合威胁探针UTS, D-Link-DAR-8000, Cisco-ASA设备, Smartweb管理系统, 锐捷-RG-UAC, 云课堂主机, EG易网关, Citrix-ADC, Citrix-Access-Gateway, 锐捷-ISG, 深信服-行为感知系统, 宏电-H8922, 数据防泄漏系统, 佑友防火墙, 会捷通云视讯, 下一代防火墙控制系统, 中科网威-NPFW防火墙, 中新金盾-信息安全管理系统, 中国移动禹路由, 三星-WLAN, Wayos-防火墙, Wayos-AC集中管理系统, MagicFlow-防火墙网关, DrayTek-企业网络设备, 安天-高级可持续威胁安全检测系统, 虚拟化管理平台, 深信服上网认证系统, Sangfor-Application, F5-BIG-IP-Server, 网康NS-ASG应用安全网关, UEditor, CKEditor, MessageSolution-企业邮件归档管理系统-EEA, 思科防火墙, 捷普防火墙管理系统（入侵防御系统）, 中国电信天翼云-Firewall, 迪普科技-DPX-ADX-FW, RUIXIN-锐信-Firewall, Hillstone-山石网科-Next-Generation-Firewall, 深信服下一代防火墙, 明御安全网关, 天融信NGFW下一代防火墙-新版, 绿盟NF下一代防火墙, 华为-USG-防火墙, 山石网科-Firewall, 山石网科下一代防火墙, 奇安信网神新一代智慧防火墙, 海康威视下一代防火墙, 奇安信网神防火墙系统, 锐捷RG-WALL, 明御WEB应用防火墙, 网御星云防火墙, 网康下一代防火墙, 飞塔防火墙, 皓峰防火墙系统, H3C-SecPath-防火墙, 天融信NGFW下一代防火墙, 天清汉马UGS防火墙, 深信服防火墙, FineReport 帆软 FineUI, Laravel-Lumen, FastAdmin, EOVA, Onethink, Spring-Framework-LocaleResolver, Metronic, Play-Framework, Jakarta-Project, RemObjects, PigX-快速开发框架, WildFly, Apache-Tapestry, Apache-ZooKeeper, Apache-Axis2, Laravel-Framework, Apache-OFBiz, JBoss-WildFly, Beego, SpringBoot, ThinkCMF, Apereo-CAS, Yii-Framework, ThinkPHP, Kong, Apache-APISIX, GeoServer, 用友-GRP-U8, 浪潮-ClusterEngine, Cwindow政务安全邮箱, MDaemon-Webmail, Mdaemon-Remote-Console, 朗阁-MailData, 机智云邮, U-MAIL邮件营销平台, Outlook-Web-App, 亿邮电子邮件系统, AnyMacro-Mail, Richmail, U-Mail, 云邮, IceWarp-WebClient, Coremail, Nsmail, Zimbra邮件系统, EQmail, ExtMail, SPAM-SQR-电子邮件安全网关, 阿里企业邮箱, BossMail, 263企业邮箱, 亿邮邮件网关, Longxinshi, SquirrelMail, IBM-iNotes, 腾讯企业邮箱, TurboMail, Barracuda-Email-Security-Gateway, Quarkmail, Roundcube, 新网全球邮, Cwindow企业安全邮箱, Eastnet-Mail, 35企业邮箱, 中企全球邮, Spammark邮件信息安全网关, WinWebMail邮件系统, 网易企业邮箱, Winmail, Suremail, AnyOffice, Primeton-EOS-Platform, 中创应用服务器, Arthas-Console, Apache-Tomcat, Apusic-Application-Server, NACOS, Consul, Cacti, Nextcloud, D-Link-DNR, Synology-DSM, 同望OA, 然之-OA, 快普-OA, 泛微E-message, 红帆iOffice20, 泛微eteams, 万户FlexOffice自主安全协同办公平台, 泛微e-nation, 金蝶云星瀚, 致远M1移动协同平台, 协众OA, 璐华OA, 信呼办公OA系统, 泛微e-office, 联达OA, 蓝凌EIS智慧协同平台, 金和OA-JC6, 金蝶EAS, 万户ezOFFICE协同管理平台, 国泰新点OA系统, 华天动力-OA8000, O2OA, 通达OA, 金蝶OA, 金蝶云星空, FE企业运营管理平台, 红帆iOffice, 九思OA, 蓝凌KK, 蓝凌OA, 泛微协同办公OA, 泛微运维平台, 泛微移动管理平台, 慧点WE.Office协同办公平台, 启莱OA, 用友FE协作办公平台, 致远M3移动协同平台, 致远OA, 金和OA-C6, 爱发布, 立思辰底稿管理系统, 竹云BIM, 火星舱, 海康威视智慧城管平台, 海康威视安全生产管理平台, Davinci, Xpaper, OctoPrint, 卡车卫星定位系统, LeadSec-网御星云-ADC, Yearning, 华德安执法记录仪, Huawei-华为-AR-Web-管理平台, OfficeWeb365, e看牙文件上传, datart, 蜂网-Router, lamp-web, 雄伟科技数字食堂, 仁和汇智出版平台, Uniview-宇视移动客户端, Mattermost, FLUX-富勒-WMS, Topsec-天融信-TopADS, New-Rock-IP-PBX, New-Rock-IP-Phone, 小鱼易连-云视讯, Babelstar-通天星-CMSV, eWebEditor, OneinStack, PHP-Info-Default-Page, ArangoDB-Web-Interface, AWS-WAF, Tilgin-Router-Information-Page, Ionic, Uniview-宇视媒体服务器, LNMP, ECAcc-Server, Graylog, oscshop, vapp, 孚盟云-CRM, Proxmox-Virtual-Environment, Serv-U, libwebsockets, UniFi-OS, 深澜认证计费系统, 用友致远 A6, 速达-Center, 中信科普教育管理后台, AdGuard-Home, 数果智能系统, Polycom-ViewStation, 博达全媒体网站群管理平台, Gocloud-高恪-Router, Kingdee-金蝶-sHR, 新开普智慧校园系统, Kedacom-科达流媒体服务器, Struts-Token, Netdata, Carestream-HCIS, GlobalProtect-Portal, MinDoc, 广讯通调频同步广播系统, Next-Terminal, AWS-Elastic-Beanstalk, TP-LINK-Router-Firmware, VS-Code-Server, 浙大恩特-CRM, H3C-Router-Management, FunAdmin, 用友新世纪-ERP-NC, 启明星辰天清入侵防御-IPS, OpenWrt(X-Wrt)-Router, 中新金盾信息安全管理系统, 极通-EWEBS, 环信, 前沿风雷电子文档安全管理系统, 神行者-IPTV, CloudCC, Synology-群晖-Web-Station, zxcvbn, LibreSpeed, Kamailio-SIP-Server, 云问科技-Account, Huawei-华为-MCU, PRTG-Network-Monitor, Emby, ArcGIS, MrDoc-觅思文档, HAProxy-Report, 慧林科技-ISP, ShopNC, Citrix-XenApp, Coturn-Server, 来访通, 满客宝智慧食堂管理系统, 海联智能设备管理系统, 脸爱云一脸通智慧管理平台, DataGear, 微视通, HP-Web-Console, BIG-IP-APM, Portainer, Plesk-Obsidian, OTRS-ITSM, Oracle-PeopleSoft, Oracle-Fusion-Middleware, Kedacom-Phoenix-监控平台, Dahua-大华-DSS-视频管理系统, Cloudreve, Archery, Apache-Haus, 护卫神-主机大师, 云巅iConn, 企业网盘, 铁证证据管理系统, MinIO-Console, MinIO-Browser, SaltStack-Config, 北京东华原煎药管理系统, 百傲瑞达安防管理系统平台, 电子交易平台, 企业标准化管理系统, 易招标, 驰聘BPM, 非现场业务统一办理平台, EMQX, RouterOS, 异速联, 浪擎DAYS灾备系统, Azure-Web-App, 税控服务器管理系统, 投研服务交互平台, 锐捷EWEB系统, Panabit智能应用网关, PCI-openEAP, 天联高级版, 大华智慧园区综合管理平台, 亿信华辰-报表采集分析平台, Elastic-Stack, H3C-Firmware, RocketMQ-Console, rustDesk, toDesk, TeamViewer, ZFile, Cisco-BroadbandAccessCenter, 海康威视IPCam, NPS, 用友友报账, 景云网络防病毒系统, 星纵统一管理平台, Webui组件, TRS-MAS, 中控移动服务器, H5S视频平台, ZKTime-OA, 印章智慧管理平台, D-Link-AC管理系统, E-message, wpms, VoIPmonitor, VMware-Workspace-ONE-Access, PHP-LDAP-admin, rConfig, PySpider, PowerCreator, BSPHP, VMware-vRealize-Operations-Manager, D-Link-DCS系列监控, Cisco-HyperFlex-HX, Django, MeterSphere, Jupyter, HUE, Apache-Druid, Dubbo-Admin, Apache-Zeppelin, Apache-Spark, Apache-CouchDB, Apache-Hadoop, Apache-Flink, Apache-Apollo, Apache-Sentry, Apache-SkyWalking, Palo-Alto, OrientDB, Supervisor, Azkaban, Citrix-VDI, CodePushServer, 电池能量管理系统, 飞鱼星-家用智能路由, 虚拟仿真实验室, 好视通视频会议系统, 科迈-RAS系统, 烽火通信-HG6245D, 浙江大华技术股份有限公司-DSS平台, 汉王科技-人脸考勤管理系统, 思迪数据, 广州图创计算机软件开发有限公司-图书馆集群管理系统, 酒店宽带运营系统, 心理测量平台, 华为-HG659, 中控科技-考勤管理系统, V2视频会议系统, iKuai-流控路由, Zyxel-NBG2105, WeiPHP, TerraMaster, TamronOS-IPTV系统, TVT数码科技-NVMS-1000, SpiderFlow, SonicWall-Analytics, SolarWinds-Orion, Sapido路由器, Pega-infinity, Moodle-Shibboleth, Kyan-网络监控设备, KEDACOM-数字系统接入网关, Jellyfin, JCG-JHR-N835R, H3C-IMC, Etherpad, EARCMS-应用分发系统, Discourse, Ctripcorp-Apollo, Cisco-rv系列, Cachet, Apache-Unomi, Apache-Nifi, Apache-Kylin, Apache-Karaf, Apache-FusionAuth, Apache-Dolphinscheduler, Apache-Cocoon, Apache-Airflow, Alibaba-Canal, Alibaba-AnyProxy, Active-UC, AVCON6-系统管理平台, ACTI-视频监控, 亿赛通电子文档安全管理系统, 主机宝, 蓝信, Prometheus, Scrapyd, Juniper-NetScreen-Secure-Access, OpenTSDB, Mongo-Express, HSF, Canal-Admin, Atlassian-Crowd, Ruby-on-Rails, Node-RED, Seafile, 企业微信, Sentinel-Dashboard, Grafana, zkui, 问卷星投票, 和信下一代云桌面, 汇客公众号, XXL-JOB, ElasticSearch, Swagger-UI, Elastic-Kibana, InfluxDBAdmin, Tableau, Apache-Superset, 新为SmartLearning, 新为SmartExam, 新为SmartMOOC, Nagios-XI, Openfire, Neo4j, qBittorrent, Heimdall, SD-WAN控制面板, wdCP, CWP-Web-Panel, Cockpit, AMH云主机面板, Phpstudy, iServer, cPanel, Kubernetes, 宝塔控制面板, Harbor, 齐创酒店云PMS, Reporter组件, 帆软报表, SmartBI, 久其通用财表系统, 润乾报表, 锐捷NBR路由器, Embedded-HTTP-Server, vWebServer, TeamCity, IBM-GoServe, lighttpd-Default-Page, Apache-Shiro, Axis1, 天融信TopAPP负载均衡系统, Resin, WebX, Spring-Eureka, IBM-WebSphere-Commerce, WebSphere, GlassFish, Weblogic-Server, F5-BIG-IP-TMUI, JBoss-Web, SAP-NetWeaver, Microsoft-SharePoint, VMware-vSphere, VMware-ESXi, VMware-vCenter, FortiGuard-Web-Filtering, 华为-CloudWAF, 奇安信安域, 知道创宇云防护, GitBook

评分规则

为解决漏洞评级混乱问题，美国基础设施顾问委员会（NIAC）提出了CVSS公开标准，由FIRST组织进行维护，它被用来评价漏洞的严重与紧急程度。

CVSS漏洞评级标准计算器

得分算法

根据以上得分，漏洞得分划分为：

对应的奖励范围

暂不在漏洞收集范畴的类型

漏洞降级

厂商降级

当针对某个厂商收取的高危漏洞数大于10个（未修复状态池），且厂商官方再无能力修复漏洞时，将对厂商进行降级或下线处理，同时暂停收取漏洞。

付款条件和限制

• 奖励标准仅适用于列表中的厂商，列表外的厂商，我们将根据厂商应用流行程度和漏洞影响范围，酌情给予奖励，通常漏洞在确认后的3个月左右发放奖金，被审查的漏洞或有漏洞审查的用户发放奖励为三个月左右，其他的通常1个月左右，对于信誉高的用户，如果在结算当月周期内，审核通过后会当天进行结算流程；

• 同一漏洞多位白帽子在先知平台提交，以时间先后顺序只奖励首位提交者；

• 官方无开源代码并且无测试Demo的漏洞，需要提供至少5个互联网以实例证明危害；

• 同一个漏洞源产生的多个漏洞计漏洞数量为一。例如：同一功能模块下的不同接口，同一文件的不同参数、同一参数出现在不同文件、同一文件在不同目录、同一漏洞的不同利用方式、不同版本的同一漏洞、同一函数导致漏洞等；

• 可以通过修复一个点使得后续利用均不可行的情况，后续漏洞提交均视为重复漏洞。

  说明

  如多个接口程序中都用到了同一个全局函数进行数据处理，这个全局数据处理函数被利用导致了漏洞形成，则所有此类漏洞均视为同一漏洞。

• 在先知平台提交的漏洞，被提交者在互联网上被公开或传播不给予奖励；

• 若第三方监管单位反馈漏洞重复，经排查确认后，先知平台会按进行漏洞驳回处理。

• 报告网上已公开的漏洞不给予奖励；

• 同一漏洞重复提交至其他第三方漏洞平台，先知平台有权不给予奖励；

• 在漏洞处理的任何阶段发现漏洞重复或被公开，先知平台都有权驳回漏洞并取消奖励；对于恶意提交重复漏洞骗取奖励的行为，会给予警告乃至封号处理。

注意事项

• 恶意报告者将作封号处理。

• 报告无关问题的将不予答复。

• 阿里巴巴集团员工不得参与或通过朋友参与漏洞奖励计划。

• 奖励计划仅适用于通过先知平台报告漏洞的用户。

• 审核通过的漏洞，严禁泄露或者提交到其他平台，如发现则进行追责和封号处理。