企业可设置严重、高危、中危、低危漏洞的奖励金额，以吸引更多的白帽子发现漏洞，以下标准都是参考标准。平台奖励积分是白帽子虚拟荣誉值，积分越高的白帽子代表对平台贡献越大。

漏洞等级

根据漏洞的危害程度将漏洞等级分为严重、高危、中危、低危。由先知平台结合利用场景中漏洞的严重程度、利用难度等综合因素给予相应分值的贡献值和漏洞级别。以下是每种等级包含的评分标准及漏洞类型。

严重漏洞是指，发生在核心系统业务系统（核心控制系统、域控、业务分发系统、堡垒机等可管理大量系统的管控系统），可造成大面积影响的，获取大量（依据实际情况酌情限定）业务系统控制权限，获取核心系统管理人员权限并且可控制核心系统。

企业可设置高危、中危、低危漏洞的奖励金额，以吸引更多的白帽子发现漏洞，以下标准都是参考标准。平台奖励积分是白帽子虚拟荣誉值，积分越高的白帽子代表对平台贡献越大。

漏洞等级

高危漏洞是指，发生在核心系统业务系统（核心控制系统、域控、业务分发系统、堡垒机等可管理大量系统的管控系统），可造成大面积影响的，获取大量（依据实际情况酌情限定）业务系统控制权限，获取核心系统管理人员权限并且可控制核心系统。

该标准仅适用于入驻先知平台的企业，并且只针对企业已明确说明接收漏洞的产品及业务。企业已明确说明不接收的漏洞将做驳回处理。企业已明确说明的漏洞等级调整将以企业为准。企业边缘业务将根据其重要程度适当调低漏洞等级。

各等级漏洞的最终贡献值数量由漏洞利用难度及影响范围等综合因素决定，若漏洞触发条件非常苛刻，包括但不限于特定浏览器才可触发的XSS漏洞，则可跨等级调整贡献值数量。

同一个漏洞源产生的多个漏洞计漏洞数量为一。例如同一个接口引起的多个安全漏洞、同一个发布系统引起的多个页面的安全漏洞、框架导致的整站的安全漏洞、泛域名解析产生的多个安全漏洞；因为厂商未做身份校验导致的同一系统多个接口越权或者是未做token校验导致的多个CSRF漏洞；同一文件的不同参数、同一参数出现在不同文件、同一文件在不同目录等。

第三方产品的漏洞只给第一个提交者计贡献值，等级不高于中，包括但不限于企业所使用的WordPress、Flash插件以及Apache等服务端相关组件、OpenSSL、第三方SDK等；不同版本的同一处漏洞视为相同漏洞。

通常，同一漏洞，首位报告者给予奖励，其他报告者均不计；同一漏洞，后提交的利用方式比第一个提交的利用造成的影响差距过大时，两个漏洞都通过，从第二个漏洞中分一部分奖金费第一个提交的同学。

不可公开已提交的漏洞细节，违者取消测试资格或封停账号。

报告网上已公开的漏洞不给予奖励。

漏洞打包。

存在前后关系，先提交后者的。例如：发现邮箱弱口令，从邮箱中获知后台管理员密码，提交漏洞时先提交后台弱口令，再提交邮箱弱口令者。

以测试漏洞为借口，利用漏洞进行损害用户利益、影响业务运作、盗取用户数据等行为的，将不会计贡献值，同时先知平台将联合入驻企业保留采取进一步法律行动的权利。

对于提交描述不清的漏洞，将会直接驳回处理；每个漏洞需要明确产生漏洞的URL地址、文字细节、完整的截图、清晰的语言表达。

SQL注入需要证明可以注入出一条数据，单纯报错提交会忽略。

弱口令问题（正常对外可注册的系统不算在弱口令范围内）：

对于边缘或废弃业务系统，根据实际情况酌情降级。

存在前后关系的漏洞，比如同一人提交的弱口令进入后台，后台SQL注入的漏洞合并处理，可以提高漏洞等级，希望大家不要拆分漏洞，先知将根据实际情况对严重拆分漏洞，刷漏洞等恶意行为进行冻结账户、甚至封号的处理。

信息泄露类的漏洞如github信息泄露，memcache、redis等未授权访问等，根据存储的内容的有效、敏感程度进行确认评级，单独的危害较低的信息泄露如路径泄露，phpinfo信息泄露等将会忽略处理。

对于已经得到Webshell的情况，如果想打包源代码审计，请事先联系审核人员，审核人员将会与厂商沟通相关事宜，如果厂商同意审计，再进行后续操作，发现的漏洞可单独提交。否则，禁止下载源代码，将视为违规操作、一经发现行冻结账户、甚至封号的处理。

对于使用采用低版本的CMS导致的漏洞，每个漏洞类型只确认第一个提交的安全问题。

切勿进行可能引起业务异常运行的测试，例如：IIS的拒绝服务或者slow_http_dos等漏洞。

前台撞库、爆破类漏洞，需有成功案例证明；后台爆破，仅收取成功登录的案例，仅能爆破但没有进入后台的漏洞将驳回。

对于一些难以利用的安全漏洞，例如：HTTP.sys远程命令执行类漏洞，只确认一个提交的漏洞，评为低危漏洞，只是为了提示厂商做对应的升级。

对于PC端和APP端同一接口同一套代码的两个漏洞（即使域名可能不同），同一白帽子分开提交平台将会合并处理，主动合并会酌情提高奖励；不同的白帽子分别提交，在厂商未修复之前，评为重复漏洞。

对于信息泄露相关漏洞（包括GITHUB，提交的时候请说明，有哪些特征可以证明是某厂商的），可以深入利用造成很大危害的，一般为高危或者严重；对于是厂商线上对外核心应用服务配置、代码等信息泄露，一般为中危；如果不能做出有效利用且非核心业务的，一般为低危或者驳回处理。

严禁进行内网渗透，安全测试点到为止即可。

如果同一个系统中短时间发现了大量的同类型高危漏洞（如SQL注入、命令执行等），审核人员判定该系统几乎没有做任何防护，会与厂商沟通该系统的该类型漏洞是否要继续收取；若厂商表示该类漏洞已知不再收取，则平台方正常审核前三个该类型漏洞，发布通知前同系统其他同类型漏洞均降级处理，发布通知后同系统同类型漏洞均不再收取，直到厂商重新开放该漏洞类型收取。对于厂商漏洞修复被绕过或者代码回滚的原因导致漏洞还能被继续利用的，一年内再次提交降级收取。

白帽子在测试SQL注入漏洞时，对于UPDATE、DELETE、INSERT 等注入类型，使用手工测试，禁止直接使用工具测试。

测试过程中，社工企业员工，注意分寸，切勿对个人造成名誉影响。

禁止修改厂商的任何数据，包括数据库内容、账户密码、数据库连接密码等。

不允许使用扫描器对后台系统进行扫描。

对于不在客户测试范围内的系统的测试，属于未授权测试，平台和厂商有权追究其责任。

以上所有漏洞级别可视应用场景再具体定级，如SQL注入涉及到的数据为边缘系统或者测试数据则降低漏洞等级等。

以上所有漏洞级别为厂商参考的基础标准，可视应用业务场景再具体定级，具体定级主要是由厂商反馈而定。

请一定确认好，自己填写的收款账号和姓名一致（不要填写*）.

奖金发放周期，对于提交的漏洞，厂商复盘完成后，可以马上发放奖金，最快可做到当天，但是因为厂商结合业务评估或者内部推动需要时间周期，对于超过一个月仍未复盘完成的漏洞，平台会默认先发放奖金（即默认发放周期是一个月）。

在漏洞报告处理过程中，如果报告者对流程处理、漏洞定级、漏洞评分等有异议的，可以通过漏洞详情页面的留言板或者通过即时通讯联系在线工作人员及时沟通。先知平台将按照漏洞报告者利益优先的原则与企业三方协调处理，必要时可引入外部安全人士共同裁定。