“云众A计划”正式上线
发布时间：
2019-04-26
<p>“云众A计划”于即日起正式上线。<br></p><p>助力安全意识成长，让技术生根发芽。在领袖的带领下，让小白变身老司机，云游网络安全，收获安全荣誉。</p><p><b>活动简介</b></p><p>“云众A计划”是云众可信举办的一个优秀白帽子内部评选活动。根据白帽子的信誉值、经验值、高危漏洞、项目参与、活动参与、文章建设、意见建议等方面数据，综合评选出其所在类型中优秀的代表人物作为该类型的领袖。</p><p>我们致力于为每一名白帽子营造一个学习成长的氛围，并积极鼓励白帽子在本平台所展现的表率和带头作用。</p><p><b>活动详情</b></p><p>一、活动时间</p><p>评选周期：每半年评选一次</p><p>首次评选时间：2019年1月1日起至6月15日</p><p>二、活动对象</p><p>云众可信平台认证白帽</p><p>三、类型</p><p>云众A计划评选分为三大类：技术领袖、导师领袖、意见领袖</p><p>技术领袖 T & A （Techology & Adept）</p><p>导师领袖 S & A （supervisor & adept）</p><p>意见领袖 O & A （opinion & adept）</p><p>四、评选方法</p><p><img alt="新1.png" src="download/notice/P5MBbRoilk17u+agT+eTq==/4c2cd804-ef0a-47fb-b3c3-fe6f037f14e9-1556246094793.png" width="600" height="325"><br></p><p>（1）技术领袖评选方向及依据</p><p><img alt="新2.png" src="download/notice/P5MBbRoilk17u+agT+eTq==/35be0a2a-473b-426e-a8f3-89ed766a1d10-1556246106890.png" width="600" height="299"><br></p><p>项目分数：参与平台、项目群发布的项目，每个项目记一分，感谢记一分。（说明：考虑到项目时间长度、紧急状况、项目规模也会酌情进行加1-3分）</p><p><b>所有数据指标均在该评选周期内有效，下一周期进行数据清零，满足条件后按照排名择优录取。</b></p><p>（2）导师领袖评选方向及依据</p><p><img alt="新4.png" src="download/notice/P5MBbRoilk17u+agT+eTq==/e5afb4fd-2f14-4625-b446-2d98cd78aaf1-1556246129806.png" width="600" height="271"><br></p><p>①材料建设：指在云众可信内外部建设中，有提供过PPT\WORD\表格、工具、资源等不低于2次。</p><p>②指导建设：在云众可信举办的线上线下活动中，现场或者直播参与技术干货分享、演讲、培训、座谈等至少1次。</p><p>③氛围建设：参与云众可信举办的线上线下活动，在内外部社区、贴吧，云众可信白帽子微信群，以云众白帽子身份回复问题，至少参与3次。</p><p>④文章库建设：撰写原创文章，在云众平台发布不少于2篇。</p><p><b>所有数据指标均在该评选周期内有效，下一周期进行数据清零，满足条件后按照排名择优录取。</b></p><p>（3）意见领袖评选方向</p><p><img alt="新3.png" src="download/notice/P5MBbRoilk17u+agT+eTq==/034556bf-4c2d-4143-9784-076432397b08-1556246140434.png" width="600" height="290"><br></p><p> ①平台意见：对平台产品、规则、流程、审核、技术等提出有效意见并回馈得到采纳。</p><p> ②问题解答：在云众交流渠道中，对他人问题给予积极解答并得到解决。</p><p> ③社区活跃：在社区积极发帖、互动、参与发布话题、带来关注度和流量的。（暂未上线，敬请期待）</p><p> <b>所有数据指标均在该评选周期内有效，下一周期进行数据清零，满足条件后按照排名择优录取。</b></p><p>五、奖励方案</p><p>1.领袖奖励</p><p>（1）“云众A计划”荣誉称号和徽章</p><p><img alt="新5.png" src="download/notice/P5MBbRoilk17u+agT+eTq==/83bc6a05-d1c6-4c36-a41b-d3c8c7793376-1556246270872.png" width="600" height="255"><br></p><p>（2）作家奖励：文章专刊</p><p>（3）领袖权限奖励：</p><p>技术领袖权限：活动优先参与、项目优先权</p><p>导师领袖奖励：活动优先参与、社区版主权限、个人专访</p><p>意见领袖权限：活动优先参与、白帽子社群管理权限</p><p>（4）技术领袖奖励：项目优先权3张</p><p>2.领袖福利</p><p>（1）平台展示</p><p>专门的平台领袖资源位进行信息荣誉展示。</p><p>（2）荣誉证书</p><p>荣誉证书在平台公布领袖后发放。</p><p>（3）节日问候</p><p>领袖福利的节日问候包括：中秋节、春节、双旦节。</p><p>（4）生日福利</p><p>生日当天会收到云众平台为领袖准备的生日礼物。（以平台个人生日信息为参考）</p><p>（5）定制商品</p><p>定制商品为云众定制吉祥物、定制T恤，每一期的更换都将第一时间拥有。</p><p>3.殊荣奖</p><p>（1）T & A、S &A、O & A三大类型领袖分别评选1名，共3个名额，奖励大会（XCon\DEF CON China）门票一张</p><p><img alt="新6.png" src="download/notice/P5MBbRoilk17u+agT+eTq==/37b0b295-0741-4abb-827e-3e48e5ea74a3-1556246501992.png" width="600" height="324"><br></p><p>（2）获得合作伙私享会的机会</p><p>内部领袖综合数据择优评选一名白帽子获得云众每年举办一次合作伙伴私享会的机会，到场嘉宾均为合作公司高层管理者。</p><p>（3）领袖蝉联奖励</p><p>连续蝉联<b>3次及以上</b>，将给予<b>万元</b>现金奖励（奖励不累计）哦！</p><p style="margin-left: 40px; text-align: right;">本活动的最终解释权归云众可信所有</p>
漏洞等级评定规则与参考
高危
分值范围：12.0 ~ 15.0
中危
分值范围：8.0 ~ 11.9
低危
分值范围：5.0 ~ 7.9
漏洞提交说明：
1.漏洞提交方式采用可信众测平台方式，通过接收时间先后判断同一漏洞的归属。
2.由低危、中危漏洞组合利用，发展成为高危漏洞，按高危漏洞判定。
3.当同一漏洞问题被多位白帽子同时发现并提交时，将首先确认该漏洞是否属于同一问题，必要时将组织三方人员进行共同确认，确认是同一漏洞时将通过平台接收时间判定漏洞归属。
4.所有漏洞需提供相关域名或详细URL、POC代码、截图或视频等，经过审核切实可利用并造成相应危害方可通过；提交漏洞报告的规范性可能会影响最终评分。
5.可信众测期间，行业或官方发布的0day漏洞在用户的应急期（五个工作日）之内，如在可信众测平台提交该漏洞，不会将其视为高危漏洞；在用户应急期过后，此类问题如果继续被发现，将认可该漏洞为高危漏洞。
同一漏洞的判别：
1.同一个漏洞源产生的多个漏洞计漏洞数量为一个，例如：同一个系统中的多个XSS漏洞、底层框架导致的整站平行权限和存储型XSS漏洞、同一个系统、同一url多个参数SQL注入或其他漏洞的相同问题等；
2.相同业务的同一个功能处的查询、添加、编辑、删除等操作都出现同类型漏洞(例如平行权限)时，按同一漏洞处理，若提交多个漏洞，第一个漏洞正常评分，相似漏洞合并或者忽略处理；
危害性（Damage）：默认40%
说明
等级
权重
分值
攻击可以随意破坏系统安全，获取完全权限，以管理员的身份运行程序，上传任意内容，执行系统命令，
任意修改、下载、删除数据库内容，任意篡改金额、账号、密码等信息。
高
3
15*40%*1
比较严重的信息泄露漏洞，包含敏感信息文件泄露（包括但不限于DB连接密码）；任意文件操作漏洞；
越权访问；认证绕过；CSRF；存储型XSS等。
中
2
15*40%*2/3
普通逻辑漏洞；普通信息泄露漏洞包括但不限于phpinfo、git信息泄露、路径信息泄露、配置信息等；
需交互才能获取用户身份信息的漏洞，包括但不限于反射型XSS。
低
1
15*40%*1/3
重现性（Reproducibility）：默认10%
说明
等级
权重
分值
攻击每次可以重现，而且不需要时间间隔，不需要其他条件。
高
3
15*10%*1
攻击每次可以重现，但只在一个时间间隔和一种特定的竞争条件下才能进行。
中
2
15*10%*2/3
攻击很难重现，重现几率很小。
低
1
15*10%*1/3
受影响用户量（Affected users）：默认30%
说明
等级
权重
分值
所有的用户，默认配置，主要客户，大量用户。
高
3
15*30%*1
部分用户，非默认配置。
中
2
15*30%*2/3
极少数用户，匿名用户。
低
1
15*30%*1/3
可修复性（Fixed）：默认10%
说明
等级
权重
分值
易修复，修复复系统环境影响大。
高
3
15*10%*1
可修复，但会对系统造成一定影响。
中
2
15*10%*2/3
极难修复，修复对系统环境影响大。
低
1
15*10%*1/3
可发现性（Discoverability）：默认10%
说明
等级
权重
分值
漏洞很显眼，攻击条件很容易获得。
高
3
15*10%*1
在私有区域，部分人能看到，需要深入挖掘漏洞。
中
2
15*10%*2/3
隐蔽且不容易被发现，用户不可能引起潜在的损失。
低
1
15*10%*1/3
漏洞评级标准严格参考国际组织OWASP漏洞标准来制定，同时会根据用户实际业务和漏洞类型侧重点来进行适当调整。
高危：
1.直接获取核心系统权限的漏洞（服务器、客户端），包括但不限于：
1）任意代码执行； 2）上传获取 Webshell并可执行； 3）SQL 注入获取系统权限； 4）重要系统客户端缓冲区溢出（包括可利用的 ActiveX 缓冲区溢出）； 5）命令执行类漏洞（例如AndroidWebView远程代码执行漏洞）。2.直接导致核心系统业务拒绝服务的漏洞，包括但不限于：
1）直接导致网站应用拒绝服务的漏洞； 2）造成严重影响的远程拒绝服务漏洞。3.核心系统的严重敏感信息泄漏，包括但不限于：
1）核心 DB（用户信息、交易信息） 的 SQL 注入； 2）可获取大量用户的身份信息、订单信息、银行卡信息等接口问题引起的敏感信息泄露； 3）通过 SVN 信息泄漏、 Git 信息泄露导致的重要系统源码泄露等。4.核心系统中严重的逻辑设计缺陷和流程缺陷，包括但不限于：
1）通过业务接口批量发送任意伪造内容的消息； 2）任意账号资金消费或窃取； 3）批量修改任意帐号密码； 4）越权修改其他用户重要信息； 5）进行订单关键操作； 6）重要业务配置修改等较为重要的越权行为漏洞。5.访问核心系统任意文件的漏洞，包括但不限于：
1）任意文件包含； 2）任意文件读取； 3）任意文件下载； 4）任意文件上传。6.包含敏感信息的非授权访问，包括但不限于：
1）绕过认证直接访问管理后台； 2）核心系统弱密码； 3）直接获取内网敏感信息SSRF。中危：
1.需交互方可影响用户的漏洞，包括但不仅限于：
1）一般页面的存储型 XSS。2.普通越权操作，包括但不限于：
1）越权查看非核心系统的订单信息、记录； 2）影响业务正常运行的Broadcast 消息伪造； 3）Android 组件权限漏洞等。3.普通信息泄漏，包括但不限于：
1）web 路径遍历； 2）系统路径遍历； 3）业务资料泄露等。4.普通的逻辑设计缺陷和流程缺陷，包括但不限于：
1）绕过实名认证； 2）绕过验证码等。5.其他造成中度影响的漏洞，包括但不限于：
1）解析漏洞； 2）目录遍历漏洞； 3）管理后台对外开放等。低危：
1.轻微信息泄漏，包括但不限于：对非关键业务有一定影响：
1）路径信息泄漏； 2）非核心系统的 SVN 信息泄漏； 3）PHPinfo； 4）异常信息泄露； 5）客户端应用本地 SQL 注入（仅泄漏数据库名称、字段名、 cache 内容） 6）日志打印； 7）配置信息； 8）异常信息等。2.难以利用但存在安全隐患的漏洞，包括但不限于：
1）较难利用的 SQL 注入点； 2）无法控制内容的短信/邮件炸弹； 3）敏感信息明文传输； 4）固定回话攻击。3.其他只能造成轻微影响的漏洞，包含但不限于：
1）反射型 XSS（包括反射型 DOM-XSS）； 2）普通 CSRF； 3）URL 跳转漏洞。忽略：
1.不涉及安全问题的 Bug，包括但不限于：
1）产品功能缺陷； 2）网页乱码； 3）样式混乱； 4）静态文件目录遍历； 5）应用兼容性等问题。2.无法利用的缺陷，包括但不限于：
1）Self-XSS； 2）无敏感操作的 CSRF； 3）无意义的异常信息泄漏； 4）内网 IP 地址/域名泄漏； 5）需要物理接触用户设备的漏洞； 6）缺失安全Headers并且不能直接造成安全漏洞； 7）无效的SPF或缺失DMARC记录； 8）Cookie没有设置HTTPOnly、secure标志； 9）使用了第三方库（如JQuery等）且该漏洞没有有效的利用方法； 10）BEAST、BREACH、Renegotiation攻击等SSL漏洞。3.任何无敏感信息的信息泄露，包含但不限于：
1）无敏感信息的 json hijacking、仅有 js、 img 等的打包文件； 2）一般信息的 logcat； 3）包含内网 ip/域名的页面； 4）应用指纹/Banner信息泄露（如PHP、Apache版本）； 5）公开的文件或目录信息泄露（如Robots.txt等）； 6）应用或浏览器使用了“自动填写”或“保存密码”等特性； 7）在没有传输敏感信息的页面中未使用SSL/HSTS； 8）BEAST、BREACH、Renegotiation攻击等SSL漏洞。4. 无法重现的漏洞，包括但不限于：
1）纯属个人猜测； 2）未经过验证的问题； 3）无实际危害证明的扫描器结果。