【必读】阿里云重点业务漏洞挖掘规范

为了保障阿里云业务的平稳运行，保障阿里云用户的安全，即日起，ASRC将对以下阿里云产品和站点升级白帽子测试授权和规范要求。

在白帽子测试过程中，除需要满足《保密协议》《先知漏洞测试红线1.0》外，还需要遵守本规范的要求。未在本规范范围内的阿里云业务，仍按此前规范要求执行。

我们期望通过明确的规范和报备流程，能够引导白帽师傅们合规合法的挖掘漏洞，避免违规测试导致的赏金损失和法律风险。

以下产品和站点可能会随时更新，请关注ASRC在先知平台上的官方公告获取最新列表：

• 阿里云官网

• 云服务器ECS、负载均衡SLB、专有网络VPC

• 轻量应用服务器SWAS

• 内容分发网络CDN、云解析DNS

• 容器服务ACK、容器计算服务ACS、函数计算FC、弹性容器实例ECI

• 云原生数据库PolarDB、云数据库RDS

• 云原生大数据计算服务 MaxCompute、大数据开发治理平台 DataWorks

• 对象存储服务OSS

• 日志服务SLS

• 访问控制RAM

• 无影云电脑EDS

• 短信服务SMS

• 微服务引擎 MSE

• 百炼、千问AI平台

请各位白帽子遵循以下所有要求，避免违规测试导致的业务安全稳定风险和违反法律法规风险。

事前报备

1. 在对任何本规范范围内的阿里云站点、产品进行安全相关的任何测试行为前，都需要报备

• 报备地址：https://survey.aliyun.com/apps/zhiliao/3QZr3xnRQ

1. 每次报备时效1个月，如需延期，需要重新提交报备

2. 报备内容包括您的个人信息、提交漏洞的阿里云账号、测试漏洞的所有阿里云漏洞账号UID、测试出口IP（包括您的代理出口、AI中转站出口等所有IP，使用家庭宽带等可能会变化的IP请及时更新。）

3. 报备有效期内，如果报备信息有任何变化，需要及时更新

4. 未在报备范围内的“测试”行为可能会被视为恶意攻击进行处置

事中

1. 严格控制漏洞测试过程中的接口调用频率和次数，单接口不大于1QPS

2. 严格控制漏洞测试过程中读取敏感数据的量级，禁止获取超过10条用户个人信息或产品业务数据等敏感数据（单接口返回超过10条数据的除外，若接口支持PageSize等参数，禁止设置大于10的值）

3. 严格控制AI工具、自动化工具等的测试范围、测试强度、测试深度，工具使用方需要对工具造成的后果直接负责

4. 严禁测试其他用户的实例或数据，如越权读取其他用户数据、修改其他用户的产品配置等，请务必将测试范围限定在您的测试账号内

5. 严禁进行任何可影响业务稳定性的测试行为，如DoS、修改业务配置、制造垃圾数据

6. 禁止深入利用漏洞，如RCE漏洞仅限执行whoami等非侵犯性命令，AK验证有效性即可

7. 禁止采用社工手段进行钓鱼、获取业务权限、窃取员工身份凭据等

8. 严禁使用非阿里相关的在线文档、网盘等工具存储漏洞报告、附件

事后

1. 发现漏洞后，请在24小时内提交漏洞报告至先知平台，报告中需要包含您发现的所有安全风险，请勿漏报瞒报

2. 漏洞确认有效后，请及时删除漏洞测试过程中的所有本地留存数据，包括数据包、AK、账号密码等信息

3. 漏洞确认有效后，请及时删除、撤销所有非仅测试账号可见的数据和内容，如文章评论、公开项目等

4. 未获取ASRC及阿里云官方许可的情况下，禁止以任何形式透露漏洞信息至第三方

如您不慎违反了本规定，为及时控制危害，避免进一步的危害扩大，请及时通过钉钉联系ASRC运营同学反馈。