白帽子看過(guò)來(lái)：2015年漏洞獎(jiǎng)勵(lì)計(jì)劃大盤(pán)點(diǎn)
隨著網(wǎng)絡(luò)空間犯罪和重大入侵事件的頻繁出現(xiàn)，找到應(yīng)用層漏洞的重要性逐漸凸現(xiàn)。開(kāi)發(fā)人員與企業(yè)會(huì)在開(kāi)發(fā)階段，不斷地檢查代碼以提升健全性。盡管這樣，完全沒(méi)有漏洞的應(yīng)用程序是不存在的。因此，外部的審查機(jī)制成為剛需。
漏洞懸賞也稱為漏洞獎(jiǎng)勵(lì)，這種機(jī)制可以把全世界的的白帽黑客、安全研究人員和安全愛(ài)好者聚合在一起，共同為企業(yè)產(chǎn)品或服務(wù)挖掘漏洞。下面是安全牛整理的2015年最值得關(guān)注的漏洞獎(jiǎng)勵(lì)計(jì)劃：
1. 戰(zhàn)斗黑客2015(Battlehack 2015)
平臺(tái)語(yǔ)言：C++、JavaScript或Node.js
獎(jiǎng)勵(lì)金額：10萬(wàn)美元(一等獎(jiǎng))，Xbox One(二等獎(jiǎng))，Adafruit ARDX(三等獎(jiǎng))
“戰(zhàn)斗黑客”堪稱年度最具誘惑力的漏洞獎(jiǎng)勵(lì)賽事，它將在全球10座大都市巡回舉行。此次賽事由貝寶、推特、腦樹(shù)(Braintree)等科技巨頭贊助。一等獎(jiǎng)獲得者將得到10萬(wàn)美元的獎(jiǎng)金和“終極黑客”的頭銜。
貝寶強(qiáng)調(diào)要為全世界各地的開(kāi)發(fā)人員提供一個(gè)中心舞臺(tái)，并為參賽人員提供額外的福利。包括飲食、啤酒茶歇、甚至是睡懶覺(jué)用的小隔間。最重要的是，戰(zhàn)斗黑客的參賽人員可以保留他們所開(kāi)發(fā)的任何軟件的所有權(quán)。
2. 臉譜白帽子計(jì)劃
平臺(tái)語(yǔ)言：C++、PHP、D、Java、Python(服務(wù)端);JavaScript(客戶端)
獎(jiǎng)勵(lì)金額：最低500美元，上不封頂
這個(gè)世界最大的社交媒體平臺(tái)一直都對(duì)研究人員和白帽子偏愛(ài)有加。臉譜上有著上億用戶的個(gè)人信息和媒體文件，一直都是惡意黑客眼中的暴利之源。為了有效的防范入侵，臉譜獎(jiǎng)勵(lì)那些發(fā)現(xiàn)并提交安全問(wèn)題的個(gè)人。2014年，臉譜共發(fā)放漏洞賞金130萬(wàn)美元。
臉譜設(shè)有專門(mén)的漏洞獎(jiǎng)勵(lì)團(tuán)隊(duì)來(lái)處理用戶提交的內(nèi)容，研究人員只需提交漏洞然后坐等漏洞獎(jiǎng)勵(lì)團(tuán)隊(duì)的回復(fù)。最低的獎(jiǎng)勵(lì)為500美元，而且不設(shè)上限。獎(jiǎng)金額度由漏洞的嚴(yán)重性來(lái)決定，臉譜的漏洞賞金(Bug Bounty)頁(yè)面會(huì)展示這些提交的漏洞。#p#
3. 谷歌漏洞獎(jiǎng)勵(lì)計(jì)劃(VRP)
平臺(tái)語(yǔ)言：C++、Java、Python、Go(服務(wù)端);JavaScript、Flash(客戶端)
獎(jiǎng)勵(lì)金額：最低100美元，最高2萬(wàn)美元。
谷歌是當(dāng)今網(wǎng)絡(luò)上最具統(tǒng)治力的互聯(lián)網(wǎng)公司。它從當(dāng)初一個(gè)簡(jiǎn)單的搜索引擎進(jìn)化成為現(xiàn)在的一個(gè)各種媒介的綜合體，它的觸角遍及每個(gè)家庭和每臺(tái)移動(dòng)設(shè)備。這種前所未有的規(guī)模也造成了它無(wú)所不在的安全風(fēng)險(xiǎn)。
谷歌最關(guān)注的漏洞類(lèi)型有SQL注入、跨站腳本、跨站請(qǐng)求偽造和遠(yuǎn)程代碼執(zhí)行。發(fā)現(xiàn)這些漏洞的研究人員，將獲得谷歌安全團(tuán)隊(duì)的充分認(rèn)可并進(jìn)入谷歌名人堂。2014年，谷歌共發(fā)放漏洞賞金150萬(wàn)美元。
4. 雅虎漏洞賞金計(jì)劃
平臺(tái)語(yǔ)言：JavaScript、PHP(服務(wù)端);JavaScript(客戶端)
獎(jiǎng)勵(lì)金額：最低100美元，最高2萬(wàn)美元
如同臉譜，雅虎也有著自己處理白帽子黑客和安全研究人員提交漏洞報(bào)告的安全團(tuán)隊(duì)。提交的漏洞需要與雅虎和Flickr的應(yīng)用程序相關(guān)。目前已發(fā)過(guò)的獎(jiǎng)勵(lì)最低為50美元，最高為1.5萬(wàn)美元。
雅虎的安全團(tuán)隊(duì)對(duì)合法的漏洞提交的響應(yīng)時(shí)間為30個(gè)工作日，漏洞類(lèi)型分為SQL注入、跨站腳本、跨站請(qǐng)求偽造、目錄遍歷、遠(yuǎn)程代碼執(zhí)行、信息泄露和內(nèi)容欺騙(Content Spoofing)。#p#
5. Mozilla漏洞賞金
平臺(tái)語(yǔ)言：C++、JavaScript、C、CSS、XUL、XBL
獎(jiǎng)勵(lì)金額：最低500美元，最高3000美元
全球最流行的火狐瀏覽器的所有者M(jìn)ozilla，也已經(jīng)實(shí)施了漏洞獎(jiǎng)勵(lì)計(jì)劃。獎(jiǎng)金發(fā)放范圍基本為Mozilla的產(chǎn)品，如火狐、雷鳥(niǎo)和其他相關(guān)應(yīng)用及服務(wù)，第三方插件和擴(kuò)展不在賞金計(jì)劃之內(nèi)。
6. WordPress安全漏洞賞金計(jì)劃
平臺(tái)語(yǔ)言：PHP、MySQL
獎(jiǎng)勵(lì)金額：最低100美元，最高1000美元
由于友好的功能和彈性定制能力，WordPress近年來(lái)已經(jīng)成為世界上最普及的內(nèi)容管理系統(tǒng)之一。但其大量的第三方插件的使用，同樣也使它成為一個(gè)極具安全風(fēng)險(xiǎn)的平臺(tái)，尤其當(dāng)許多網(wǎng)站并沒(méi)有及時(shí)更新官方補(bǔ)丁的情況下。
WordPress的安全漏洞賞金額度從影響較小漏洞的100美元，到嚴(yán)重漏洞的1000美元。不僅如此，WordPress還為第三方插件的漏洞報(bào)告提供獎(jiǎng)金，額度為125到250美元。#p#
7. Chromium計(jì)劃
平臺(tái)語(yǔ)言：C++
獎(jiǎng)金額度：最低500美元，最高1.5萬(wàn)美元
Chrome獎(jiǎng)勵(lì)計(jì)劃始于2010年1月，它按照漏洞嚴(yán)重程度和公眾對(duì)白帽黑客所做工作的認(rèn)可度發(fā)放獎(jiǎng)金。當(dāng)然，漏洞需與Chrome瀏覽器或Chrome操作系統(tǒng)相關(guān)。
獎(jiǎng)金額度從500美元至1.5萬(wàn)美元，同時(shí)鼓勵(lì)對(duì)Windows 8及以上版本、Windows XP和Vista的研究和分析，當(dāng)然獎(jiǎng)金可能會(huì)少一點(diǎn)。
8. 三星智能電視安全賞金計(jì)劃
平臺(tái)語(yǔ)言：Tizen，安卓
獎(jiǎng)金額度：最低500美元，最高3000美元
作為世界領(lǐng)先的物聯(lián)網(wǎng)電視生產(chǎn)商，三星的產(chǎn)品也需要不斷的進(jìn)行安全檢測(cè)，以減少惡意黑客入侵的風(fēng)險(xiǎn)。除了獎(jiǎng)金以外，三星也為提交漏洞的研究人員建立了名人堂，以培養(yǎng)新的漏洞挖掘文化。#p#
9. Avast漏洞賞金計(jì)劃
平臺(tái)語(yǔ)言：C++
獎(jiǎng)金額度：400-10000美元
Avast是一家業(yè)界知名的防病毒廠商，但盡管這樣，他們的產(chǎn)品也不能“百毒不侵”。
遠(yuǎn)程代碼執(zhí)行被Avast定義為最嚴(yán)重的漏洞類(lèi)型，可拿到10000美元甚至更多的獎(jiǎng)勵(lì)。此外，Avast還鼓勵(lì)研究人員找到利用DoS攻擊令A(yù)vastSvc.exe進(jìn)程崩潰的方法。比較特殊的是，Avast漏洞賞金計(jì)劃不接受來(lái)自伊朗、敘利亞、古巴、朝鮮和蘇丹等國(guó)家的漏洞提交。
10. 微軟-在線服務(wù)漏洞賞金計(jì)劃
平臺(tái)語(yǔ)言：ASP.NET
獎(jiǎng)金額度：最低500美元
微軟最新的漏洞賞金計(jì)劃官方伊始于2014年9月23日，只針對(duì)在線服務(wù)。這些在線服務(wù)的域名包括，Portal.office.com/outlook.com/lync.com/graph.windows.net等。
漏洞類(lèi)型包括XSS/CSRF，提權(quán)注入和認(rèn)證漏洞。微軟至今為止已發(fā)出30萬(wàn)美元的獎(jiǎng)金。#p#
11. GitHub安全漏洞賞金
平臺(tái)語(yǔ)言：Ruby
獎(jiǎng)金額度：最低100美元，最高5000美元
GitHub是世界上最大的代碼托管服務(wù)社區(qū)。當(dāng)前擁有340萬(wàn)用戶，1600萬(wàn)個(gè)代碼條目。因此，GitHub開(kāi)展它的漏洞獎(jiǎng)勵(lì)計(jì)劃并不令人意外。
12. 阿里巴巴集團(tuán)漏洞獎(jiǎng)勵(lì)計(jì)劃
平臺(tái)語(yǔ)言：PHP、Python、JAVA、Javascript、C++
獎(jiǎng)金額度：最高10萬(wàn)元
阿里巴巴集團(tuán)一直致力于建設(shè)誠(chéng)信、共贏、繁榮的電子商務(wù)產(chǎn)業(yè)生態(tài)圈，其中安全是其健康成長(zhǎng)的核心要素。因此阿里巴巴集團(tuán)成立安全應(yīng)急響應(yīng)中心(ASRC)，與國(guó)內(nèi)外安全專家合作共建阿里生態(tài)安全，以保障阿里巴巴集團(tuán)數(shù)以億計(jì)用戶的安全。
ASRC通過(guò)“漏洞獎(jiǎng)勵(lì)計(jì)劃”回饋各位白帽子安全專家。獎(jiǎng)勵(lì)除了常規(guī)的積分禮品兌換以外，在2014年初率先推出“阿里安全500萬(wàn)現(xiàn)金獎(jiǎng)勵(lì)計(jì)劃”，獎(jiǎng)勵(lì)最高為10萬(wàn)元現(xiàn)金。#p#
13. 百度(BSRC)
平臺(tái)語(yǔ)言：C++、PHP、Python、JAVA、Javascript
百度的漏洞響應(yīng)平臺(tái)(BSRC)通過(guò)社區(qū)的力量來(lái)完善自己的安全建設(shè)，通過(guò)和外界的積極交流獲得更及時(shí)和全面的安全信息，對(duì)自身安全建設(shè)的疏漏點(diǎn)進(jìn)行查漏補(bǔ)缺，使自身的安全能力得到更好的提高。
目前平臺(tái)根據(jù)漏洞類(lèi)型及造成的影響對(duì)漏洞進(jìn)行綜合評(píng)分，且不定期的針對(duì)白帽子開(kāi)展多倍積分獎(jiǎng)勵(lì)。此外，BSRC計(jì)劃在2015年舉辦多次聚焦某個(gè)安全領(lǐng)域的安全專題沙龍。
14. 京東(JSRC)
平臺(tái)語(yǔ)言：C++、PHP、Python、JAVA、Javascript
獎(jiǎng)金額度：最高3萬(wàn)元
京東安全應(yīng)急響應(yīng)中心平臺(tái)(JSRC)自2014年以來(lái)，入駐白帽安全專家100多名，收到高質(zhì)量漏洞300多個(gè)。并于2015年1月開(kāi)展了四倍積分獎(jiǎng)勵(lì)活動(dòng)，與安全愛(ài)好者建立了友好的合作關(guān)系。
