活动 | 二手车反抓取众测

百家 作者:58安全应急响应中心 2021-07-19 22:42:24 阅读:108


艾瑞巴蒂~

难度低,奖金高的众测活动

又双叒来咯~




01
基本信息



本次活动开放时间为:2021年7月20日 0:00 – 2021年8月10日23:59。

测试范围为以下业务:

  • *.58.com/ershouche/{1234567890}x.shtml


02
奖励方式



1、以报告实际危害或影响程度为基本依据,根据报告质量和漏洞类型可能略有浮动。

2、本次活动仅奖励金币,不奖励rank积分,不计入月度、季度、年度等活动的排名。

3、不同等级的报告奖励基准:

    1)严重:¥6000

    2)高危:¥4000

    3)中危:¥2000


03
活动细则



【信息有效性认定】

抓取要素:标题、价格、上牌时间、表显里程、车主描述、卖家信息(称呼即可);抓取要素中至少包含以上6个要素。

【报告有效性认定】

1、 提交名称格式为(反抓取-二手车-漏洞名称), 如提交漏洞名称格式不符合,此漏洞将不参与众测奖励。不在众测范围内的漏洞请勿添加众测标题;

2、 漏洞需按照【报告模版】的格式进行提交,如有利用脚本或者文档形式报告可一并上传;

3、 若存在多份相同爬取原理的报告,审核小哥有权不按报告提交的时间先后顺序,而优先审核质量较高的报告;其余详细程度不佳的按重复报告处理,原则上只接受最多存在1份相同爬取原理的报告;

4、 爬取过程中需要使用单一固定的宽带IP进行抓取;

5、 不认可重新拨号更换IP、使用代理服务器、vpn等非实质技术性IP欺骗;但是认可通过伪造xff头、伪造IPv6地址、伪造IP头或利用网络、应用层协议漏洞、流程等进行IP伪装等方式进行的实质技术性IP欺骗;

6、 抓取到的内容需满足 信息有效认定标准 一章中对于有效信息的表述;

7、 抓取数量去重后必须能够达到 报告定级标准 中,指定抓取类型中至少最低级别的标准;

8、 原则上相同原理且相同详尽程度的报告,只对最早提交的发放奖励;

9、 暂不接收测试内容之外的漏洞;如提交此类漏洞,可能按照普通(非活动)漏洞处理或忽略。


04
报告模版



【风险信息】

爬取链接:https://tj.58.com/ershouche/46191986680120x.shtml

爬取IP:127.0.0.1

爬取起止时间:12:00-13:00

抓取要素:xxx、xxx(至少6个)

爬取数量级:xxxxx条/小时

【风险描述】

简单描述,造成风险的原因或者利用方式。

【详细利用过程】

详细说明利用过程,并按照步骤附上截图。


05
报告定级标准



除另有规定外,爬取量需大于指定类型中的数量要求。

场景

中危

高危

严重

二手车源

>4000条/小时

>10000条/小时

>20000条/小时

注:如接口本身不存在反抓取,则忽略。


06
注意事项



1、 严禁使用拒绝服务类攻击;

2、 58SRC对本次活动相关规则保留最终解释权;



微信号:wubasrc
58安全应急响应中心
-扫码关注我们-

分享收藏点赞在看

关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:http://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

图库
关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接