Sobug眾測平台是一個連線安全專家與廠商的網路安全眾測平台，安全專家在平台上發現廠商的安全問題，廠商基於測試效果對安全專家進行獎勵。
基本介紹
- 外文名：SOBUG
- 類型：眾測平台
關於Sobug,業務模式,計費標準,風險控制,結果輸出,漏洞分級,高風險,中風險,低風險,
關於Sobug
Sobug眾測平台是以技術眾包的方式，幫助廠商在產品上線前對安全問題進行全面，有效的審計，同樣也適用於上線後對安全問題的周期性巡檢。
廠商基於測試中發現的安全漏洞需要對安全專家進行不同級別的獎勵，並保障安全專家的權益不受損害。
業務模式
計費標準
以測試結果為計費標準，廠商提供眾測可提供的獎金數額，平台會根據安全問題的危害評估出高中低危漏洞所涉及的獎金區間，平台雙方基於此區間金額進行付費。
以服務項目為計費標準，廠商可以購買周期性的安全測試服務，平台會根據廠商的測試項目，測試要求評估出獎金區間，平台雙方基於此區間金額進行付費。
風險控制
安全的授權，平台雙方均在授權下才能完成此測試過程，廠商需要簽訂契約，安全專家需要實名。
行為的審計，對於保密性要求較高的廠商，可由平台提供堡壘機或廠商提供VPN，對測試行為進行審計。
過程的競爭，對於同一個安全問題，平台只獎勵首個發現該問題的安全專家，充分挖掘潛在安全問題。
結果的保密，安全專家非經廠商允許，不能對外透露測試過程和結果的任何細節。
風險的規避，平台對雙方在測試過程中發生的糾紛提供強有力的法律援助，最大限度保障平台雙方的權益不受損害。
結果輸出
測試過程中，安全專家發現的安全問題可即時提交，廠商會通過平台和郵件即時得到通知。
測試結束後，平台會以專業的安全報告形式，形成標準化文檔，對安全問題進行統一梳理，並給出專業的安全建議。
漏洞分級
高風險
嚴重的邏輯漏洞。包括但不限於任意賬號登錄、任意賬號密碼修改、支付繞過及任意身份敏感操作等。
直接導致嚴重信息泄漏或數據泄漏漏洞。包括不限於重要DB的SQL注入漏洞。
中風險
需互動才能獲取用戶身份信息的漏洞。包括但不限於反射型XSS（包括DOMXSS，FlashXSS）、JsonHijacking、敏感操作的CSRF。
普通的信息泄漏。包括但不限於無法獲取數據的SQL注入等。
平行許可權漏洞。包括但不限於普通用戶許可權越權訪問或修改其他用戶的信息。
大範圍影響用戶的漏洞。包括但不限於容易利用的存儲XSS、可導致蠕蟲的CSRF等。
非授權訪問/許可權繞過。包括但不限於繞過身份驗證訪問後台、後台弱口令等。
低風險
特定瀏覽器下觸發的漏洞（如IE6等）才能獲取用戶信息的漏洞。包括但不限於反射型XSS（包括DOMXSS，FlashXSS）。
輕微的信息泄漏。包括但不限於絕對路徑泄漏、phpinfo、svn/cvs信息泄漏，網路明文傳輸密碼，Web目錄遍歷，系統路徑遍歷，目錄瀏覽等。
URL跳轉漏洞。
確定是安全隱患但是難以利用的漏洞。包括但不限於可能傳播和利用的Self-XSS以及無敏感操作的CSRF。
普通的越權操作及設計缺陷或流程缺陷。
