漏洞报告说明

一旦完成注册，我们认为您已经仔细阅读并同意如下的规则，如果您并不认同如下条款，请不要注册或者提交任何漏洞。

本平台是西安工程大学漏洞报告平台，请勿提交不属于本校的安全漏洞。

所有的在校学生均可以注册成为本平台的白帽子。

白帽子在挖掘、提交相关漏洞的过程中，必须遵守中华人民共和国相关法律法规以及本平台相关规定。

漏洞挖掘过程中不允许的行为

白帽子在挖掘、提交相关漏洞的过程中，应严格遵守中华人民共和国相关法律法规：

第八条 按照对信息系统机密性、可用性、完整性等三方面要素的影响评估，漏洞风险发现与技术验证应遵循无害化原则：

（一）信息系统机密性无害化验证指导场景

• 可实现非授权访问或用户权限越权，在完成非授权逻辑、越权逻辑验证时，不应再获取和留存用户信息和信息系统文件信息；
• 可执行数据库查询条件，在获得数据库实例、库表名称等信息证明时，不应再查询涉及个人信息、业务信息的详细数据；
• 可获得系统主机、设备高权限，在获得当前用户系统环境信息证明时，不应再获取其他用户数据和业务数据信息；
• 禁止利用当前主机或设备作为跳板，对目标网络内部区域进行扫描测试。

（二）信息系统可用性无害化验证指导场景

• 应充分估计目标网络、系统的安全冗余，不进行有可能导致目标网络、主机、设备瘫痪的大流量、大规模扫描；
• 禁止执行可导致本地、远程拒绝服务危害的技术验证用例；
• 禁止执行有可能导致整体业务逻辑扰动、有可能产生用户经济财产损失的技术验证用例。

（三）信息系统完整性无害化验证指导场景

• 可获得信息系统后台功能操作权限，在获得当前用户角色属性证明时，不应再利用系统功能实施编辑、增删、篡改等操作；
• 可获得系统主机、设备、数据库高权限，在获得当前系统环境信息证明时，不应再执行文件、程序、数据的编辑、增删、篡改等操作；
• 可在信息系统上传可解析、可执行文件，在获得解析和执行权限逻辑证明时，不应驻留带有控制性目的程序、代码。

白帽子在挖掘、提交相关漏洞的过程中，除遵守中华人民共和国相关法律法规，还需注意遵守以下行为规范：

• 测试完成之后，应该及时删除测试过程中遗留的相关文件和权限（如 Webshell 等），请勿在目标系统中留任何后门或可能被其他人猜到的程序、代码。
• 不修改、不增加、不删除被测试网站的相关数据。在测试漏洞需要修改一定测试数据的情况下，请联系本平台工作人员，获取最终授权后才能进行测试。
• 测试过程中仅可证明漏洞存在，进行无害化验证，不允许利用漏洞（如 SQL 注入）拖取信息。
• 测试过程中利用漏洞获取到相关系统的权限，如若要继续深入，请先联系本平台工作人员，请勿利用该权限进行扫描、设置跳板代理。
• 请勿对测试目标进行大规模并发扫描，并确保漏洞挖掘行为不会影响目标系统正常运行与访问。
• 涉及金钱相关漏洞的测试（如支付相关），请在漏洞报告中说明测试结果与测试账户，禁止借机利用相关漏洞牟利。
• 在漏洞挖掘过程中，不允许将漏洞内容泄露给无关人员。
• 请尽量测试准确后再提交漏洞，严禁提交虚假漏洞。

漏洞等级介绍

严重

• 直接获取重要服务器（客户端）权限的漏洞。包括但不限于远程任意命令执行、上传 webshell、可利用远程缓冲区溢出、可利用的 ActiveX 堆栈溢出、可利用浏览器 use after free 漏洞、可利用远程内核代码执行漏洞以及其它因逻辑问题导致的可利用的远程代码执行漏洞；
• 直接导致严重的信息泄漏漏洞。包括但不限于重要系统中能获取大量信息的 SQL 注入漏洞；
• 能直接获取目标单位核心机密的漏洞。

高危

• 直接获取普通系统权限的漏洞。包括但不限于远程命令执行、代码执行、上传 webshell、缓冲区溢出等；
• 严重的逻辑设计缺陷和流程缺陷。包括但不限于任意账号密码修改、重要业务配置修改、泄露；
• 可直接批量盗取用户身份权限的漏洞。包括但不限于普通系统的 SQL 注入、用户订单遍历；
• 严重的权限绕过类漏洞。包括但不限于绕过认证直接访问管理后台、cookie 欺骗。
• 运维相关的未授权访问漏洞。包括但不限于后台管理员弱口令、服务未授权访问。

中危

• 需要在一定条件限制下，能获取服务器权限、网站权限与核心数据库数据的操作。包括但不限于交互性代码执行、一定条件下的注入、特定系统版本下的 getshell 等；
• 任意文件操作漏洞。包括但不限于任意文件写、删除、下载，敏感文件读取等操作；
• 水平权限绕过。包括但不限于绕过限制修改用户资料、执行用户操作。

低危

• 能够获取一些数据，但不属于核心数据的操作；
• 在条件严苛的环境下能够获取核心数据或者控制核心业务的操作；
• 需要用户交互才可以触发的漏洞。包括但不限于 XSS 漏洞等。

如下漏洞将被忽略

• 非（不确定）本校资产的漏洞
• 虚假漏洞
• 本平台上已有其他白帽子提交过的漏洞

备注：此标准仅供参考，具体评级评分以平台漏洞审核人员根据实际影响判定为准。

漏洞提交规范

使用平台前，请先仔细阅读平台说明。

为了能让审核员清晰地了解漏洞详情，在本平台提交漏洞时，请参考本漏洞提交规范，尽量完整、准确地描述漏洞。

各选项内容填写说明

标题

标题请直接填写相关系统名称即可。

是否需要账号认证

如果漏洞利用过程涉及到账号认证，如弱口令漏洞、系统登录后的漏洞点利用等，请选择“是”，并填写漏洞验证所需账号的密码。

漏洞 URL

请按照 RFC 1738 和 RFC 2396 标准，规范填写漏洞点的 URL。

WEB 漏洞填写示例：http://example.com/news.php?id=1

内容

请填写必要的文字说明、漏洞涉及的 URL、验证漏洞所需的账号和密码、利用过程涉及的数据包。

请提供清晰的漏洞利用证明截图。