新东方SRC迎国庆庆中秋专项活动公告

各位白帽子，白露为霜，秋风送爽，再过3周，我们就将迎来一个“漫长”的中秋、国庆长假，为此，新东方SRC的“迎国庆庆中秋专项活动”已经开启，请各位白帽子有序入场。

时间范围： 9月18日-9月23日

专项范围：

专项收取漏洞范围:

网络入侵类：

直接获取专项范围内相关业务核心服务器、渗透新东方内网的漏洞、 如：RCE、反序列化、任意文件读取下载等。

敏感数据泄露类：

直接获取本次专项相关业务的大量敏感数据，包括但不限于由SQL注入、未授权访问、越权、弱口令等漏洞导致（识别到个人数据，必须和某一个重要或用户敏感字段绑定且涉及到3个以上的敏感字段，如：姓名、手机号码、通讯地址）

专项漏洞评价标准:

注意事项:   

1.为了方便专项漏洞识别，请白帽子在提交专项漏洞时，漏洞标题请按照#新东方专项活动#XX漏洞提交，如#新东方专项活动#敏感信息泄露漏洞。请严格执行，若标题不符合规范，将视为无效提交，做驳回处   理。  在白帽子修改重新提交前，可能会有其他人提交该漏洞，需白帽子自行承担重复风险。

须知：

        *符合活动要求的漏洞，将享受专项活动漏洞等级评分，此外对专项活动中最早提交高危以上漏洞的前30位白帽子，我们还有神秘礼物送出。

        *对以“专项漏洞”名义提交，但经核实为非本次专项范围内的漏洞，将按“新东方SRC涉及漏洞收集范围及评级公告 V2.0”的评级方式进行评价。

2.当发现入侵类风险后需周知新东方，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

3.禁止邮件钓鱼社工；

4.禁止用扫描器或其他自动化工具，只允许手工测试；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知新东方SRC工作人员并删除；

8.由于某漏洞（如：弱口令）进入应用，利用业务系统固有功能所引发的漏洞等风险，将以最原始引发漏洞问题进行评估，但会视业务重要程度给予一定提升；

9.一个漏洞源导致的多个漏洞算一个漏洞；

10.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

11.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

12.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

13获取网站的权限时，禁止修改代码文件或植入后门等操作；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害新东方系统及用户的利益的攻击行为，我们保留追究法律责任的权利。

违规处理: