一SRC概念介绍SRCSecurityResponseCenter安全应急响应中心是企业用于对外接收来自用户/白帽发现并报告相关安全产品安全缺陷的站点换句话说就是连接白帽子和企业的平台。同时也可以看成一个”资源置换平台“白帽用自己的技术合法的向企业提交漏洞企业给予相应的赏金。相对于企业组织内部技术人员进行渗透测试SRC更像是发起一场“人民的战争”。目前国内有两种漏洞平台一种是缺陷报告平台另一种就是xSRC平台。缺陷报告平台又称漏洞报告平台是指由独立的第三方公司或机构成立综合性的“安全应急响应中心”。国内补天平台、漏洞盒子平台以及据此衍生的Sobug众测平台等均属于该模式。外部报告者注册对应漏洞报告平台选择对应的厂商进行报送接着该第三方机构会发送邮件提示相关厂商确认处理。这种方法的缺陷十分明显厂商的历史漏洞信息完全暴露给第三方机构报告中涉及的企业内部大量敏感信息因此外泄丧失私密性。xSRC平台又称企业SRC平台即企业自行开发、运营的安全应急响应中心制定自己的漏洞收集和披露计划。目前国内知名的有腾讯SRC、阿里巴巴SRC、百度SRC、深信服SRC、奇安信SRC、字节跳动SRC等对外收集并处理白帽等报送的漏洞报告。该平台模式相对于独立于企业的第三方机构企业在漏洞的收集和披露过程中完全掌控了主动性拥有良好的私密性和可定制性。二SRC反馈及处理流程三SRC具体平台介绍缺陷报告平台包括但不限于持续更新中CNNVDhttps://www,cnnvd.org.cnCNVDhttps://www.cnvd.org.cnCICSVDhttp://cstis.cn补天https://www.butian.net漏洞盒子https://www,vulbox.com火线安全平台http://huoxian.clubEDUSRChttps://src.edu-info.edu.cnxSRC平台包括但不限于持续更新中A:阿里巴巴https://security.alibaba.com阿里云先知https://xianzhi.aliyun.com安恒https://security.dbappsecurity.com.cn爱奇艺https://security.iqiyi.com安全狗http://security.safedog.cnB:百度https://bsrc.baidu.comBOSS直聘https://src.zhipin.com哔哩哔哩https://security.bilibili.com贝壳https://security.ke.comC:菜鸟avrasmhttps://sec.cainiao.comD:滴滴出行avrasmhttps://sec.didichuxing.com点融网http://security.dianrong.com东方财富http://security.eastmoney.com斗鱼https://security.douyu.com大疆https://security.dji.com斗米https://security.doumi.com度小满https://security.duxiaoman.comDhgatehttp://dhsrc.dhgate.comE:饿了么https://security.ele.me263https://www.263.net/263/helpcenter/securityF:法大大https://sec.fadada.com富友https://fsrc.fuiou.comG:|瓜子https://security.guazi.comH:华为https://bugbounty.huawei.com恒昌http://src.credithc.comhttps://security.yy.com货拉拉https://llsrc.huolala.cn好未来https://src.100tal.com合合https://security.intsig.com华住avrasmhttps://sec.huazhu.com火线https://www.huoxian.cnJ:金山办公https://security.wps.cn金山云https://kysrc.vulbox.com京东https://security.jd.com焦点https://security.focuschina.com竞技世界https://security.jj.cnK:酷狗https://security.kugou.com快手https://security.kuaishou.com旷世https://megvii.huoxian.cnL:联想https://lsrc.vulbox.com---------------------------------------------理想https://security.lixiang.com猎聘https://security.liepin.comM:蚂蚁集团https://security.alipay.com美团https://security.meituan.com魅族avrasmhttps://sec.meizu.com陌陌https://security.immomo.com美丽联合https://security.mogu.com马蜂窝https://security.mafengwo.cnN:你我贷https://www.niwodai.com/sec/index.htmO:OPPOhttps://security.oppo.comP:平安https://security.pingan.com拍拍贷http://sec.ppdai.comQ:去哪儿https://security.qunar.com千米https://security.qianmi.comR:融360https://security.rong360.comS:深信服https://security.sangfor.com.cn360https://security.360.cnSoulhttps://security.soulapp.cn顺丰http://sfsrc.sf-express.com苏宁https://security.suning.com水滴安全https://security.shuidihuzhu.com世纪佳缘https://src.jiayuan.comT:腾讯https://security.tencent.comT3出行https://security.t3go.cnTCLhttps://src.tcl.com同程旅行avrasmhttps://sec.ly.com同程数科https://securitytcjf.com统信https://src.uniontech.com途虎https://security.tuhu.cn途牛avrasmhttps://sec.tuniu.com同舟共测https://tz.alipay.comU:UCloudavrasmhttps://sec.ucloud.cnV:VIVOhttps://security.vivo.com.cnVIPKIDhttps://security.vipkid.com.cnW:网易https://aq.163.com微博https://wsrc.weibo.com微众https://security.webank.com完美世界http://security.wanmei.com唯品会avrasmhttps://sec.vip.com58https://security.58.comWIFI万能钥匙avrasmhttps://sec.wifi.com挖财avrasmhttps://sec.wacai.com伍林堂https://www.wulintang.netX:小米avrasmhttps://sec.xiaomi.com携程avrasmhttps://sec.ctrip.com讯飞https://security.iflytek.com喜马拉雅https://security.ximalaya.com新浪avrasmhttps://sec.sina.com.cn/小赢https://security.xiaoying.com享道出行https://src.saicmobility.comY:银联https://security.unionpay.com萤石https://ysrc.ys7.com有赞https://src.youzan.com一加https://security.oneplus.com易宠avrasmhttps://sec.epet.com/宜信https://security.creditease.cn一起教育https://security.17zuoye.comZ:猪八戒网https://sec.zbj.com中通https://sec.zto.com四SRC行业安全测试规范【参与标准制定组织/企业腾讯SRC、蚂蚁金服SRC、ASRC、阿里云先知、百度SRC、本地生活SRC、菜鸟SRC、滴滴SRC、京东SRC、LYSRC、蘑菇街SRC、陌陌SRC、360SRC、苏宁SRC、同舟共测-企业安全响应联盟、唯品会SRC、微博SRC、VIPKIDSRC、网易SRC、WiFi万能钥匙SRC、完美世界SRC、小米SRC等】1测试规范主要内容1.注入漏洞只要证明可以读取数据就行严禁读取表内数据。对于UPDATE、DELETE、INSERT等注入类型不允许使用自动化工具进行测试。2.越权漏洞越权读取的时候能读取到的真实数据不超过5组严禁进行批量读取。3.帐号可注册的情况下只允许用自己的2个帐号验证漏洞效果不要涉及线上正常用户的帐号越权增删改请使用自己测试帐号进行。帐号不可注册的情况下如果获取到该系统的账密并验证成功如需进一步安全测试请咨询管理员得到同意后进行测试。4.存储xss漏洞正确的方法是插入不影响他人的测试payload严禁弹窗推荐使用console.log再通过自己的另一个帐号进行验证提供截图证明。对于盲打类xss仅允许外带domain信息。所有xss测试测试之后需删除插入数据如不能删除请在漏洞报告中备注插入点。5.如果可以shell或者命令执行的推荐上传一个文本证明如纯文本的1.php、1.jsp等证明问题存在即可禁止下载和读取服务器上任何源代码文件和敏感文件不要执行删除、写入命令如果是上传的webshell请写明shell文件地址和连接口令。6.在测试未限制发送短信或邮件次数等扫号类漏洞测试成功的数量不超过50个。如果用户可以感知例如会给用户发送登陆提醒短信则不允许对他人真实手机号进行测试。7.如需要进行具有自动传播和扩散能力漏洞的测试如社交蠕虫的测试只允许使用和其他账号隔离的小号进行测试。不要使用有社交关系的账号防止蠕虫扩散。8.禁止对网站后台和部分私密项目使用扫描器。9.除特别获准的情况下严禁与漏洞无关的社工严禁进行内网渗透。10.禁止进行可能引起业务异常运行的测试例如IIS的拒绝服务等可导致拒绝服务的漏洞测试以及DDOS攻击。11.请不要对未授权厂商、未分配给自己的项目、超出测试范围的列表进行漏洞挖掘可与管理员联系确认是否属于资产范围后进行挖掘否则未授权的法律风险将由漏洞挖掘者自己承担。12.禁止拖库、随意大量增删改他人信息禁止可对服务稳定性造成影响的扫描、使用将漏洞进行黑灰产行为等恶意行为。13.敏感信息的泄漏会对用户、厂商及上报者都产生较大风险禁止保存和传播和业务相关的敏感数据包括但不限于业务服务器以及Github等平台泄露的源代码、运营数据、用户资料等若存在不知情的下载行为需及时说明和删除。14尊重《中华人民共和国网络安全法》的相关规定。禁止一切以漏洞测试为借口利用安全漏洞进行破坏、损害用户利益的行为包括但不限于威胁、恐吓SRC要公开漏洞或数据请不要在任何情况下泄露漏洞测试过程中所获知的任何信息漏洞信息对第三方披露请先联系SRC获得授权。企业将对违法违规者保留采取进一步法律行动的权利。2SRC安全测试其他规范内容1仅可针对测试企业的相关产品开展安全测试同时安全测试需要遵守《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规的规定采取合法、正当的方式不得侵犯任何第三方合法权益。2不得利用计算机病毒、网络攻击、网络侵入、干扰测试企业网络正常功能、窃取网络数据等危害网络安全行为的技术措施包括但不限于程序、工具开展安全测试如上传恶意文件及木马、增删改其他用户个人数据、添加后门账号/权限、扫描攻击内网等渗透行为不得对国家安全、国计民生、公共利益的关键信息基础设施产生任何危害。3在开展安全测试时不得窃取或者以其他非法方式获取任何测试企业或者其他第三方的商业信息包括但不限于源代码、运营数据、用户资料等、个人信息不得非法出售或者非法向他人提供测试企业或者其他第三方的商业信息、个人信息。4禁止进行内网渗透测试行为例如获取内网权限后在内网使用扫描器、或横向接触非对外开放系统目标、获取内网应用/主机权限/数据等。5禁止进行近源攻击或者黑客物理入侵、社会工程学测试或邮件钓鱼等非技术漏洞测试尤其是禁止使用社工库等非法手段获取用户密码。7针对业务线专测专测开始前需和运营报备即将使用的C2的IP地址未及时报备将视为未授权攻击行为。禁止盗用、借用、售卖测试账号不得擅自修改账号密码、换绑手机号、添加子账号等禁止利用测试账号对专测范围外的产品和业务测试测试账号仅限专测时间内使用。8未经测试企业授权不得向任何第三方公开漏洞或提供任何与测试企业产品有关的安全情报。3总结挖洞万般好合法要记牢触线一时爽牢底定坐穿。五漏洞评级准则1漏洞评级准则1严重漏洞(1)直接获取核心系统权限服务器端权限、客户端权限的漏洞包括但不限于远程命令执行漏洞、任意代码执行漏洞、SQL注入获取系统可执行权限、缓冲区溢出等。(2)泄露大量核心敏感数据的漏洞包括但不限于核心DB的SQL注入漏洞、用户敏感信息接口越权导致的大范围泄露大量机密信息泄露如密码、私钥、个人隐私信息泄露等。(3)核心系统的严重逻辑设计缺陷或流程缺陷包括但不限于批量修改任意账号密码漏洞、任意账号登陆、支付系统逻辑漏洞(4)客户端大量敏感信息泄露的漏洞包括但不限于远程获取用户大量敏感信息、本地越权访问TEE保护的支付相关或者用户认证相关信息、TEE任意代码执行(高权限)(5)设备端安全机制绕过包括但不限于绕过SELinux(6)远程系统级永久性拒绝服务攻击(7)无需用户交互或简单用户交互的远程代码任意执行、远程任意文件读写(8).设计缺陷导致未经授权的跨租户数据篡改和访问。(9)虚拟机逃逸获取宿主机的权限。(10)漏洞的组合、弱口令等方式导致渗透进入内网并获取核心业务控制权限。(11)严重的逻辑设计缺陷或流程缺陷导致关键业务的篡改。2高危漏洞(1)客户端远程永久性拒绝服务(2)本地任意文件读写、打开非导出组件、本地代码执行(3)越权敏感操作导致未经授权的修改用户关键业务、重要信息、关键业务的配置信息、以及大量用户信息泄露等。(4)关键页面的CSRF、存储型XSS、存储型XSS可导致蠕虫导致影响大量用户的漏洞等。(5)XXE等未经授权的系统文件访问漏洞等。(6)严重业务逻辑缺陷导致身份认证绕过。(7)设计缺陷导致内部服务越权访问如SSRF。(8)账号被劫持导致漏洞等。3中危漏洞(1)需要用户交互导致获取用户敏感信息反射型XSS、反射型DOM-XSS、一般页面的存储型XSS等。(2)一般信息泄露如用户订单、交易信息等导致漏洞以及普通信息泄露包括但不限于包含敏感信息的完整源代码泄露、无信息回显的SSRF漏洞。(3)如Session固定、Session可预测等身份仿冒导致漏洞。(4)目录遍历等导致普通信息泄露。(5)安全控制绕过产生大量垃圾数据以及设备端保护功能绕过。(6)普通越权操作非关键业务篡改影响有限包括不限于仿冒管理员身份发布虚假消息等。(7)普通的逻辑设计缺陷和流程缺陷导致漏洞等。(8)由于账号管理不当造成非核心业务包括但不限于测试业务等的滥用、篡改等。(9)客户端远程临时性拒绝服务或直接导致业务拒绝服务的漏洞。包括但不仅限于网站应用拒绝服务等造成严重影响的远程拒绝服务漏洞。(10)本地数据库注入可造成信息泄漏或其他危害的4低危漏洞(1)轻微信息泄露漏洞包括但不仅限于路径信息泄漏、SVN信息泄漏、PHPinfo、.git文件泄露、DjangoDebug、服务端业务日志内容、异常信息泄露日志打印、配置信息、异常信息等从而导致漏洞(2)频控缺陷漏洞包括但不限于短信炸弹、用户账户密码暴力破解(3)可用于钓鱼或黑产的漏洞包括但不限于任意URL跳转、反射型XSS漏洞(4)容易被利用的或产生较大影响的客户端不安全配置漏洞(5)参数过滤不严格导致不安全的URL跳转可被用于发起钓鱼攻击挂马等。(6)账号批量枚举导致漏洞。(7)轻微信息泄漏。(8)包括但不仅限于难以利用的SQL注入点、可引起传播和利用的Self-XSS、需构造部分参数且有一定影响的CSRF、URL跳转漏洞有一定影响的爆破验证码失效绕过等难以利用但存在安全隐患的漏洞。(9)影响有限的设计缺陷和流程缺陷等。六资产范围(1)企业信息资产分类1.数据资产以物理或电子的方式记录的各类数据。如文件资料、电子数据等。2.软件资产企业信息处理设施服务器、台式机、笔记本、存储设备等上安装的各种软件。3.实物资产各种与业务相关的物理设备或硬件设备。4.人员资产各种具有企业合同约束的人员。5.服务资产为企业所属的各种已识别的资产起支撑作用的服务。(2)xSRC资产1:域名或子域名2APP3小程序写在最后任何技术行业天赋决定上限努力和坚持决定下限。网安行业没有绝对的门槛学历从来不是困住普通人的枷锁缺乏实战、疏于坚持才是最大短板。当下各行业就业内卷加剧、竞争激烈网络安全作为刚需高薪赛道依然留给普通人足够的逆袭空间。如果你想零基础入局网安、转行提升我整理了多年积累的全套入门教程、实战笔记、靶场实操资料全部无偿分享。想要的朋友直接关注公众号或文末自取。没有与生俱来的天赋就靠后天的坚持和深耕平凡人也能靠技术翻盘与所有追梦人共勉如何系统学习网络安全/黑客网络安全不是「速成黑客」而是守护数字世界的骑士修行。当你第一次用自己写的脚本检测出漏洞时那种创造的快乐远胜于电影里的炫技。装上虚拟机从配置第一个Linux环境开始脚踏实地从基础命令学起相信你一定能成为一名合格的黑客。如果你还不知道从何开始我自己整理的282G的网络安全教程可以分享我也是一路自学走过来的很清楚小白前期学习的痛楚你要是没有方向还没有好的资源根本学不到东西下面是我整理的网安资源希望能帮到你。需要的话可以V扫描下方二维码联系领取~如果二维码失效可以点击下方链接去拿一样的哦【CSDN大礼包】最新网络安全/网安技术资料包~282G无偿分享1.从0到进阶主流攻防技术视频教程包含红蓝对抗、CTF、HW等技术点2.入门必看攻防技术书籍pdf书面上的技术书籍确实太多了这些是我精选出来的还有很多不在图里3.安装包/源码主要攻防会涉及到的工具安装包和项目源码防止你看到这连基础的工具都还没有4.面试试题/经验网络安全岗位面试经验总结谁学技术不是为了赚$呢找个好的岗位很重要需要的话可以V扫描下方二维码联系领取~因篇幅有限资料较为敏感仅展示部分资料添加上方即可获取如果二维码失效可以点击下方链接去拿一样的哦【CSDN大礼包】最新网络安全/网安技术资料包~282G无偿分享