搜索

[16627] 2021-04-02_白帽子与厂商battle的那些事，你是否也遇到过？

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2021-04-02_白帽子与厂商battle的那些事，你是否也遇到过？ 白 帽 子 与 厂 商 b a t t l e 的 那 些 事 ， 你 是 否 也 遇 到 过 ？ F r e e B u f   F r e e B u f   2 0 2 1 - 0 4 - 0 2 在 无 数 个 向 厂 商 提 交 漏 洞 的 日 子 里 ，   以 下 的 场 景 你 是 否 似 曾 相 识 ？ 被 厂 商 “ 白 嫖 ” ： “ 这 根 本 不 是 一 个 漏 洞 ！ ”   但 当 你 再 次 复 查 时 ， 发 现 漏 洞 已 经 被 修 复 。 被 厂 商 的 威 胁 ： “ 这 就 不 是 一 个 洞 ， 但 你 敢 公 开 的 话 就 试 试 看 ！ ” 被 厂 商 误 会 ： “ 你 知 道 这 样 是 违 规 披 露 漏 洞 吗 ？ 我 会 报 警 的 ！ . . . . . . ”   然 后 你 真 的 就 被 邀   “ 喝 茶 ” 了 。 被 厂 商 “ 占 便 宜 ” ： “ 不 好 意 思 ， 今 日 起 ， 这 类 漏 洞 的 奖 金 减 半 ！ ” 近 几 年 ， 白 帽 子 私 曝 漏 洞 的 事 件 频 发 ， 在 业 界 引 起 了 不 小 的 波 澜 ， 在 告 知 白 帽 子 私 曝 漏 洞 的 行 为 会 有 触 犯 法 律 的 风 险 ， 呼 吁 白 帽 子 加 强 法 律 意 识 之 际 ， 好 像 没 有 人 去 深 究 白 帽 子 选 择 私 曝 漏 洞 的 原 因 ， 也 没 有 人 问 过 他 们 ， “ 为 什 么 你 要 违 规 披 露 漏 洞 ？ ” 。 为 了 一 探 究 竟 ， 笔 者 采 访 了 四 位 来 自 不 同 团 队 、 不 同 背 景 的 白 帽 子 ， 了 解 这 个 群 体 选 择 私 曝 漏 洞 背 后 可 能 的 原 因 。 答 案 似 乎 很 一 致 ： 炫 技 、 法 律 意 识 不 强 、 由 于 误 会 和 厂 商 起 了 冲 突 所 以 一 气 之 下 公 布 漏 洞 … … 这 三 点 是 造 成 白 帽 子 私 曝 漏 洞 的 常 见 原 因 ， 其 中 第 三 点 很 可 能 是 最 主 要 的 原 因 。 “ 不 承 认 漏 洞 就 算 了 ， 他 们 还 威 胁 我 ！ 你 敢 信 ？ 不 承 认 漏 洞 就 算 了 ， 他 们 还 威 胁 我 ！ 你 敢 信 ？ ” 被 误 会 的 月 神 ： 被 误 会 的 月 神 ： 2 0 1 7 年 ， 我 在 提 交 了 某 个 互 联 网 新 闻 平 台 的 漏 洞 后 ， 立 马 接 到 了 厂 商 的 电 话 ，   “ 你 到 底 是 谁 ， 你 是 不 是 要 攻 击 我 们 ， 如 果 你 敢 乱 来 ， 我 们 就 要 报 警 了 ” ， 和 对 方 解 释 了 半 天 ， 我 才 发 现 对 方 根 本 不 是 该 厂 商 S R C 的 对 接 人 ，
只 是 该 平 台 的 业 务 人 员 ， 并 且 其 对 白 帽 子 这 一 群 体 的 性 质 并 不 了 解 。 被 被 “ 白 嫖 白 嫖 ” 的 的 B a l i s 0 n g ： ： 遇 到 过 一 些 厂 商 ， 对 我 提 交 的 漏 洞 报 告 置 之 不 理 ， 过 了 几 天 我 再 去 检 测 ， 发 现 漏 洞 已 经 被 修 复 了 … … 我 还 遇 到 过 向 厂 商 连 续 提 交 了 两 个 漏 洞 ， 但 厂 商 S R C 对 接 人 表 示 经 过 开 发 人 员 鉴 定 ， 认 为 这 两 个 漏 洞 是 同 一 个 漏 洞 的 情 况 ， 我 也 是 很 无 语 。 被 威 胁 的 小 七 ： 被 威 胁 的 小 七 ： 2 0 1 8 年 ， 在 提 交 了 某 大 厂 的 漏 洞 后 ， 我 接 到 了 厂 商 的 来 电 ， 他 们 不 但 不 承 认 这 是 一 个 漏 洞 ， 还 威 胁 我 ， “ 如 果 将 漏 洞 公 开 ， 你 以 后 不 好 找 工 作 吧 ？ ” ， 不 承 认 漏 洞 就 算 了 ， 他 们 还 威 胁 我 ！ 你 敢 信 ？ 被 被 “ 教 育 教 育 ” 的 远 海 ： 的 远 海 ： 在 一 周 内 提 交 了 某 教 育 平 台 的 6 个 系 统 漏 洞 后 ， 我 被 使 用 该 教 育 平 台 的 厂 商 运 维 人 员 “ 教 育 ” 了 一 顿 。 应 该 是 一 下 子 提 交 了 太 多 的 漏 洞 ， 耽 误 运 维 人 员 下 班 了 ， 所 以 当 时 厂 商 的 运 维 人 员 还 特 地 通 过 I D 找 到 我 ， 把 我 说 了 一 顿 。 被 误 会 可 以 选 择 解 释 、 被 “ 教 育 ” 可 以 选 择 体 谅 、 可 是 当 被 “ 白 嫖 ” 和 威 胁 时 ， 白 帽 子 也 只 能 选 择 自 认 倒 霉 吗 ？ “ 是 的 ， 没 错 ， 遇 到 了 也 就 只 能 自 己 吃 了 这 个 亏 ， 也 没 有 任 何 办 法 ， 但 是 好 在 大 多 数 正 规 的 厂 商 ， 不 会 这 样 对 我 们 ” ， B a l i s 0 n g 说 道 。 接 受 采 访 的 这 四 位 白 帽 子 ， 在 向 厂 商 提 交 漏 洞 时 ， 均 吃 过 不 少 “ 哑 巴 ” 亏 ， 即 使 在 厂 商 不 愿 意 承 认 他 们 提 交 的 漏 洞 时 ， 他 们 也 从 来 没 有 想 过 要 私 曝 漏 洞 ， 究 其 原 因 ， 是 他 们 对 正 义 那 颗 初 心 的 坚 守 ， 也 是 因 为 他 们 深 知 ， 这 种 行 为 不 但 会 将 本 来 有 理 的 他 们 推 向 无 理 的 边 缘 ， 他 们 还 要 承 担 被 追 究 法 律 责 任 的 风 险 。 因 此 ， 要 从 根 本 上 避 免 白 帽 子 私 曝 漏 洞 事 件 的 发 生 ， 除 了 法 律 法 规 的 完 善 和 普 及 ， 还 需 要 各 大 厂 商 一 同 努 力 。 “ 随 着 法 规 的 完 善 和 行 业 的 成 熟 ， 我 相 信 私 曝 漏 洞 的 行 为 会 越 来 越 少 随 着 法 规 的 完 善 和 行 业 的 成 熟 ， 我 相 信 私 曝 漏 洞 的 行 为 会 越 来 越 少 ” 《 中 华 人 民 共 和 国 网 络 安 全 法 》 规 定 ， 开 展 网 络 安 全 认 证 、 检 测 、 风 险 评 估 等 活 动 ， 向 社 会 发 布 系 统 漏 洞 、 计 算 机 病 毒 、 网 络 攻 击 、 网 络 侵 入 等 网 络 安 全 信 息 ， 应 当 遵 守 国 家 有 关 规 定 。 随 着 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 的 出 台 ， 有 关 网 络 安 全 从 业 人 员 的 相 关 行 为 规 定 更 加 明 确 和 细 化 ： 第 三 方 组 织 或 者 个 人 不 得 在 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 向 社 会 或 用 户 发 布 漏 洞 修 补 或 防 范 措 施 之 前 发 布 相 关 漏 洞 信 息 ， 不 得 发 布 和 提 供 专 门 用 于 利 用 网 络 产 品 、 服 务 、 系 统 漏 洞 从 事 危 害 网 络 安 全 活 动 的 方 法 、 程 序 和 工 具 。 一 般 情 况 下 ， 发 现 漏 洞 后 ， 第 三 方 组 织 或 者 个 人 可 以 将 相 关 漏 洞 报 送 给 C N N V D 或 C N V D ， C N N V D 或 C N V D 将 会 在 5 个 工 作 日 内 予 以 确 认 回 复 ， 并 通 知 厂 商 在 9 0 / 1 0 天 内 修 复 ， 厂 商 采 取 漏 洞 修 补 或 防 范 措 施 后 再 予 以 公 开 。 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 的 发 布 ， 是 为 了 规 范 网 络 安 全 漏 洞 报 告 和 信 息 发 布 行 为 ， 同 时 督 促 相 关 厂 商 、 第 三 方 及 运 营 方 及 时 应 对 漏 洞 问 题 ， 这 是 在 《 中 华 人 民 共 和 国 网 络 安 全 法 》 的 基 础 上 ， 法 制 体 系 进 一 步 完 善 的 体 现 。 “ 随 着 该 规 定 的 出 台 ， 能 有 效 减 少 白 帽 子 因 为 炫 技 或 者 法 律 意 识 不 强 而 私 曝 漏 洞 的 行 为 。 随 着 该 规 定 的 出 台 ， 能 有 效 减 少 白 帽 子 因 为 炫 技 或 者 法 律 意 识 不 强 而 私 曝 漏 洞 的 行 为 。 ” 接 受 采 访 的 四 位 白 帽 子 均 认 为 ， 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 能 起 到 规 范 行 业 行 为 和 保 障 行 业 健 康 发 展 的 作 用 。 “ 从 大 学 的 硬 性 教 育 作 为 突 破 口 ， 是 一 个 不 错 的 选 择 。 从 大 学 的 硬 性 教 育 作 为 突 破 口 ， 是 一 个 不 错 的 选 择 。 ”
据 远 海 透 露 ， 有 关 网 络 安 全 法 知 识 的 课 程 ， 在 他 的 学 校 目 前 是 以 选 修 网 课 的 形 式 开 展 的 ， 而 那 些 没 有 选 修 该 课 程 的 学 生 ， 可 能 对 哪 些 行 为 会 触 犯 法 律 并 不 清 晰 ， 随 着 我 国 网 络 安 全 市 场 越 发 活 跃 以 及 相 关 法 律 法 规 陆 续 出 台 ， 他 认 为 从 大 学 的 硬 性 教 育 作 为 突 破 口 ， 是 一 个 不 错 的 选 择 。 “ 建 立 漏 洞 仲 裁 机 制 ， 有 助 于 减 少 白 帽 子 和 厂 商 之 间 的 建 立 漏 洞 仲 裁 机 制 ， 有 助 于 减 少 白 帽 子 和 厂 商 之 间 的 ‘ 扯 皮 扯 皮 ’ 事 件 。 事 件 。 ” 随 着 腾 讯 、 百 度 、 阿 里 、 华 为 、 深 信 服 、 滴 滴 等 各 大 厂 商 安 全 应 急 响 应 中 心 的 机 制 日 渐 完 善 ， 越 来 越 多 的 白 帽 子 更 倾 向 于 向 厂 商 直 接 提 交 漏 洞 ， 一 是 因 为 厂 商 一 般 会 优 先 处 理 在 自 己 平 台 上 提 交 的 漏 洞 ， 二 是 因 为 直 接 向 厂 商 提 交 漏 洞 ， 白 帽 子 能 获 得 更 多 的 回 报 。 B a l i s 0 n g 也 谈 到 ： “ 现 在 各 大 厂 商 也 越 来 越 重 视 白 帽 子 的 贡 献 ， 比 如 2 0 2 0 年 ， 腾 讯 首 次 推 出 了 百 万 奖 金 池 ， 单 个 漏 洞 额 外 奖 励 最 高 可 达 2 0 万 元 ； 深 信 服 前 不 久 升 级 了 奖 励 机 制 ， 单 个 漏 洞 税 后 最 高 奖 励 金 额 有 5 0 万 元 ； 滴 滴 于 2 0 2 1 年 增 加 了 年 度 奖 励 规 范 中 获 奖 金 的 名 额 ， 年 度 排 名 第 一 的 白 帽 子 可 获 得 8 万 元 奖 励 。 ” “ 很 多 大 厂 还 是 很 有 诚 意 的 ， 其 实 我 们 也 感 受 的 到 ， 所 以 我 们 现 在 也 比 较 倾 向 于 向 厂 商 直 接 提 交 漏 洞 ” ， B a l i s 0 n g 说 道 。 但 是 直 接 向 厂 商 提 交 漏 洞 ， 白 帽 子 有 时 候 也 会 面 临 一 些 问 题 ， 比 如 当 厂 商 驳 回 漏 洞 时 ， 白 帽 子 就 只 能 在 “ 守 法 等 于 吃 亏 ” 和 “ 曝 洞 等 于 犯 法 ” 之 间 选 择 吗 ？ B a l i s 0 n g 认 为 ， 如 果 可 以 在 业 内 建 立 漏 洞 仲 裁 机 制 ， 当 白 帽 子 与 厂 商 因 为 漏 洞 鉴 定 出 现 争 执 时 ， 第 三 方 机 构 可 以 介 入 仲 裁 ， 那 将 能 有 效 减 少 白 帽 子 因 为 厂 商 驳 回 漏 洞 而 违 法 披 露 的 行 为 。 在 网 络 世 界 ， 如 果 说 恶 意 黑 客 是 矛 ， 利 用 系 统 或 软 件 的 漏 洞 ， 非 法 入 侵 并 获 取 利 益 ， 那 白 帽 子 就 是 盾 ， 他 们 选 择 用 技 术 来 保 护 网 络 安 全 ， 他 们 需 要 比 恶 意 黑 客 跑 的 更 快 ， 他 们 发 现 的 漏 洞 越 多 ， 网 络 世 界 也 就 更 安 全 ， 但 相 比 恶 意 黑 客 的 “ 张 扬 ” ， 他 们 的 事 迹 却 鲜 有 人 知 ， 他 们 更 像 是 隐 世 高 手 ， 低 调 地 大 战 四 方 。 虽 然 有 时 候 他 们 会 被 误 解 ， 有 时 候 他 们 的 付 出 没 有 得 到 应 有 的 回 报 ， 但 是 他 们 还 是 坚 守 了 自 己 的 初 衷 ， 做 正 义 的 事 情 。 接 受 采 访 的 四 位 白 帽 子 均 表 示 ， 随 着 行 业 的 发 展 和 规 范 ， 目 前 白 帽 子 群 体 遇 到 的 一 些 困 境 都 会 得 到 有 效 的 解 决 ， 同 时 他 们 也 呼 吁 白 帽 子 从 保 护 自 己 的 角 度 出 发 ， 依 法 披 露 漏 洞 ， 不 要 因 为 一 时 气 愤 让 自 己 面 临 触 犯 法 律 的 风 险 并 带 上 “ 无 理 ” 的 枷 锁 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理