公益SRC,高级项目漏洞,SRC项目等所有项目中漏洞审阅后就可以得到积分,漏洞确认处理后会根据确认结果变更积分。当然如提交无效漏洞(指无法复现的漏洞)会相对应扣分。积分是一种荣誉奖励。
漏洞盒子积分系统评判标准:
1、有效性
有效性单指漏洞是否有效,在积分系统中将“有效性”量化为三个指标“确认漏洞”,“其他”,“无法复现”。
确认漏洞:
指经过初步判断已经确认了的漏洞。
无法复现:
指管理员无法根据白帽子的描述再现漏洞或查找到该漏洞的线索,无法复现的漏洞系统会予以扣除积分的惩罚。详参考“计算方法”
其他:
包含除“确认漏洞”,“无法复现”外的其他所有情况。
2、漏洞级别
漏洞级别分为“高危漏洞”,“中危漏洞”,“低危漏洞”具体评级标准参考《CVSS漏洞评级标准》或前往评分系统页面进行计算。
3、报告质量
对白帽子提交的漏洞表述进行了细化规范,报告质量共分为“优、良、差”三个级别。通过对“漏洞标题”、“基本信息”、“漏洞描述”、“漏洞正文”、“修复建议”等文章模块进行细致的规范,进而降低报告的写作难度以及提高报告本身质量。
4、厂商类型
漏洞盒子厂商根据其互联网线上业务规模划分为A类,B类,C类。厂商的分类是我们根据新网络安全法中第三十一条中规定的国家重要行业和领域,以及百度权重和Alexa的流量排名统计,以及企业资产数量等信息综合考虑评定。根据厂商等级的不同白帽子提交漏洞后得到的奖励也会不同,A类奖励最高C类最低。