本文經(jīng)AI新媒體量子位（公眾號(hào)ID:QbitAI）授權(quán)轉(zhuǎn)載，轉(zhuǎn)載請(qǐng)聯(lián)系出處。

漏洞賞金計(jì)劃（VRP）是現(xiàn)在很多科技公司查找自家漏洞的主要方法之一。

就像谷歌的漏洞獎(jiǎng)勵(lì)計(jì)劃自2010年底啟動(dòng)以來(lái)，在兩千多名bug hunters的參與下，修復(fù)了1萬(wàn)余加的漏洞。

而這些bug hunters們也累計(jì)獲得了近3000萬(wàn)美金的獎(jiǎng)勵(lì)。

現(xiàn)在，谷歌為了慶祝推出漏洞獎(jiǎng)勵(lì)計(jì)劃的周年紀(jì)念日、推進(jìn)與更多bug hunters的合作，推出了他們的新平臺(tái)：Google Bug Hunters。

這個(gè)站點(diǎn)將谷歌所有的VRP計(jì)劃(包括Google、Android、Abuse、Chrome和Play等產(chǎn)品或服務(wù))進(jìn)行統(tǒng)一管理，提供一個(gè)單一入口讓大家更方便地提交bug。

新平臺(tái)激勵(lì)更多人找bug

工程師們花了大約兩年的時(shí)間才搭建好這個(gè)平臺(tái)，而一個(gè)bug hunter只花了幾個(gè)小時(shí)就率先發(fā)現(xiàn)了這個(gè)平臺(tái)的私有API接口。

尷尬的同時(shí)，谷歌也表示很欣慰。

Bug hunter們提交的每一份報(bào)告，將由總部位于瑞士和美國(guó)的谷歌安全工程師們進(jìn)行親自審核。

值得一提的是，這個(gè)審核小組里的部分成員就是通過(guò)向谷歌提交漏洞后被批準(zhǔn)加入的。

為了激勵(lì)更多人參與這個(gè)計(jì)劃，網(wǎng)站還推出了排行榜來(lái)促進(jìn)良性競(jìng)爭(zhēng)。

可以按國(guó)家或時(shí)間查看獲得獎(jiǎng)勵(lì)最多的hunters。

建這個(gè)排行榜的另一個(gè)目的，是網(wǎng)站知道很多人都靠VRP的成就來(lái)找工作，所以他們希望這個(gè)排行榜也能成為bug hunters們的一個(gè)“背書”。

除此之外，不管你是“找茬”的新手還是老手，網(wǎng)站還推出了Bug Hunter大學(xué)，幫助你提升找bug的能力。

它會(huì)給你介紹一些常見(jiàn)的bug“藏身之處”，你就可以從那些地方開始搜索目標(biāo)。

為了節(jié)省雙方的時(shí)間，它也告訴你哪些常見(jiàn)bug其實(shí)是無(wú)效的，不用提交。因?yàn)閾?jù)統(tǒng)計(jì)提交上來(lái)的報(bào)告里有90%都沒(méi)有實(shí)際意義。

另外還會(huì)教你如何清晰地寫一份呈現(xiàn)完整場(chǎng)景的復(fù)現(xiàn)報(bào)告，這樣也能方便審查人員對(duì)你發(fā)現(xiàn)的bug進(jìn)行分類和評(píng)級(jí)。

最后，為了讓大家更方便快捷地提交報(bào)告，網(wǎng)站還簡(jiǎn)化了演示流程。

介紹完了這個(gè)新平臺(tái)，下面應(yīng)該就是大家最關(guān)心的問(wèn)題：具體規(guī)則如何？哪方面的bug可以提？一個(gè)bug能獎(jiǎng)勵(lì)多少錢？

下面就來(lái)簡(jiǎn)單介紹一下谷歌這個(gè)漏洞賞金計(jì)劃的規(guī)則吧。

谷歌的VRP規(guī)則

官網(wǎng)上的規(guī)則可不少，且劃分的很詳細(xì)。我們就以Chrome為例：

首先是漏洞查找范圍：

Canary版Chrome由于谷歌本身就會(huì)頻繁回歸測(cè)試，所以盡量多找Stable、Beta、Dev版上的bug；

谷歌提供或使用的第三方組件 （如PDFium、adobeflash、Linux內(nèi)核）上也可以。

然后是查找bug和漏洞報(bào)告相關(guān)的一些注意事項(xiàng)：

（1）找到了bug就在自己的機(jī)子上測(cè)試，不要去別人那里搞破壞；

（2）除非是為了修bug不得以的情況下，不可將發(fā)現(xiàn)的bug提前公開，不然沒(méi)賞金（一般情況 下，bug再被標(biāo)記為”已修復(fù)”后的14星期后才公開）

(3) 所有報(bào)告現(xiàn)在都必須通過(guò)該平臺(tái)按照統(tǒng)一的規(guī)則進(jìn)行提交，不用額外加密；

且報(bào)告的質(zhì)量非常重要，不然可能被判定無(wú)效，必須測(cè)試用例最小化、證明風(fēng)險(xiǎn)很大、分 析可能的原因、提供建議修補(bǔ)方法等。

（4）如果有多份相同的漏洞報(bào)告出現(xiàn)，由他們的跟蹤器跟蹤到的最早的提交為準(zhǔn)；

（6）與谷歌相關(guān)業(yè)務(wù)有關(guān)的人員可能沒(méi)有賞金資格；

最后就是大家最關(guān)心的賞金額度了：

總的來(lái)說(shuō)，額度從500美元到15萬(wàn)美元不等，特殊情況會(huì)特殊分析。

一共10種類型的漏洞獎(jiǎng)勵(lì)，每一種漏洞按等級(jí)又有三檔額度。

獎(jiǎng)金最高的是“沙箱逃逸”(SandboxEscaper)、內(nèi)存損壞。

ps.有太多網(wǎng)友覺(jué)得獎(jiǎng)勵(lì)越來(lái)越低了，所以導(dǎo)致不少人直接將漏洞出售給第三方。

當(dāng)然，世界是如此參差，還有人對(duì)賞金完全不感興趣。

所以官方表示，如果12個(gè)月仍未被認(rèn)領(lǐng)的賞金將捐給慈善機(jī)構(gòu)。

網(wǎng)站地址：
https://bughunters.google.com/