SRC介绍

一：SRC概念介绍
SRC（SecurityResponseCenter）安全应急响应中心，是企业用于对外接收来自用户/白帽发现并报告相关安全产品安全缺陷的站点，换句话说就是连接白帽子和企业的平台。同时也可以看成一个”资源置换平台“，白帽用自己的技术合法的向企业提交漏洞，企业给予相应的赏金。相对于企业组织内部技术人员进行渗透测试，SRC更像是发起一场“人民的战争”。

目前国内有两种漏洞平台，一种是缺陷报告平台，另一种就是xSRC平台。

缺陷报告平台：又称漏洞报告平台，是指由独立的第三方公司或机构成立综合性的“安全应急响应中心”。国内补天平台、漏洞盒子平台，以及据此衍生的Sobug众测平台等均属于该模式。外部报告者注册对应漏洞报告平台选择对应的厂商进行报送，接着该第三方机构会发送邮件提示相关厂商确认处理。这种方法的缺陷十分明显，厂商的历史漏洞信息完全暴露给第三方机构，报告中涉及的企业内部大量敏感信息因此外泄丧失私密性。

xSRC平台：又称企业SRC平台，即企业自行开发、运营的安全应急响应中心，制定自己的漏洞收集和披露计划。目前国内知名的有腾讯SRC、阿里巴巴SRC、百度SRC、深信服SRC、奇安信SRC、字节跳动SRC等，对外收集并处理白帽等报送的漏洞报告。该平台模式相对于独立于企业的第三方机构，企业在漏洞的收集和披露过程中完全掌控了主动性，拥有良好的私密性和可定制性。

漏洞评级准则
1：严重漏洞

(1)直接获取核心系统权限（服务器端权限、客户端权限）的漏洞，包括但不限于：远程命令执行漏洞、任意代码执行漏洞、SQL注入获取系统可执行权限、缓冲区溢出等。

(2)泄露大量核心敏感数据的漏洞，包括但不限于：核心DB的SQL注入漏洞、用户敏感信息接口越权导致的大范围泄露（大量机密信息泄露如密码、私钥、个人隐私信息泄露等）。

(3)核心系统的严重逻辑设计缺陷或流程缺陷，包括但不限于批量修改任意账号密码漏洞、任意账号登陆、支付系统逻辑漏洞

(4)客户端大量敏感信息泄露的漏洞，包括但不限于远程获取用户大量敏感信息、本地越权访问TEE保护的支付相关或者用户认证相关信息、TEE任意代码执行(高权限)

(5)设备端安全机制绕过，包括但不限于绕过SELinux

(6)远程系统级永久性拒绝服务攻击

(7)无需用户交互或简单用户交互的远程代码任意执行、远程任意文件读写

(8).设计缺陷导致未经授权的跨租户数据篡改和访问。
(9)虚拟机逃逸获取宿主机的权限。
(10)漏洞的组合、弱口令等方式，导致渗透进入内网并获取核心业务控制权限。
(11)严重的逻辑设计缺陷或流程缺陷，导致关键业务的篡改。

2：高危漏洞

(1)客户端远程永久性拒绝服务
(2)本地任意文件读写、打开非导出组件、本地代码执行
(3)越权敏感操作，导致未经授权的修改用户关键业务、重要信息、关键业务的配置信息、以及大量用户信息泄露等。
(4)关键页面的CSRF、存储型XSS、存储型XSS可导致蠕虫导致影响大量用户的漏洞等。
(5)XXE等未经授权的系统文件访问漏洞等。
(6)严重业务逻辑缺陷导致身份认证绕过。
(7)设计缺陷导致内部服务越权访问，如SSRF。
(8)账号被劫持导致漏洞等。

3：中危漏洞

(1)需要用户交互导致获取用户敏感信息（反射型XSS、反射型DOM-XSS、一般页面的存储型XSS）等。
(2)一般信息泄露如用户订单、交易信息等导致漏洞以及普通信息泄露，包括但不限于包含敏感信息的完整源代码泄露、无信息回显的SSRF漏洞。
(3)如Session固定、Session可预测等身份仿冒导致漏洞。
(4)目录遍历等导致普通信息泄露。
(5)安全控制绕过产生大量垃圾数据以及设备端保护功能绕过。
(6)普通越权操作，非关键业务篡改，影响有限，包括不限于仿冒管理员身份发布虚假消息等。
(7)普通的逻辑设计缺陷和流程缺陷导致漏洞等。
(8)由于账号管理不当，造成非核心业务（包括但不限于测试业务等）的滥用、篡改等。
(9)客户端远程临时性拒绝服务，或直接导致业务拒绝服务的漏洞。包括但不仅限于网站应用拒绝服务等造成严重影响的远程拒绝服务漏洞。
(10)本地数据库注入（可造成信息泄漏或其他危害的）

4：低危漏洞

(1)轻微信息泄露漏洞，包括但不仅限于路径信息泄漏、SVN信息泄漏、PHPinfo、.git文件泄露、DjangoDebug、服务端业务日志内容、异常信息泄露，日志打印、配置信息、异常信息等从而导致漏洞；

(2)频控缺陷漏洞，包括但不限于短信炸弹、用户账户密码暴力破解

(3)可用于钓鱼或黑产的漏洞，包括但不限于任意URL跳转、反射型XSS漏洞

(4)容易被利用的或产生较大影响的客户端不安全配置漏洞

(5)参数过滤不严格导致不安全的URL跳转，可被用于发起钓鱼攻击，挂马等。
(6)账号批量枚举导致漏洞。
(7)轻微信息泄漏。

(8)包括但不仅限于难以利用的SQL注入点、可引起传播和利用的Self-XSS、需构造部分参数且有一定影响的CSRF、URL跳转漏洞，有一定影响的爆破，验证码失效绕过等难以利用但存在安全隐患的漏洞。
(9)影响有限的设计缺陷和流程