现金奖励：¥5000 - ¥10000
积分奖励：150 - 200
额外奖励：¥10000 - ¥100000
1.直接获取核心服务器权限的漏洞，包括但不限于上传Webshell、任意代码执行、远程命令执行等。
2.直接导致严重的信息泄露漏洞，包括但不限于重要数据库的SQL注入、系统权限控制不严格等导致的敏感数据泄露漏洞等。
3.直接导致严重影响的逻辑漏洞，包括但不限于核心账户体系的账密校验逻辑、支付逻辑漏洞等。
现金奖励：¥1000 - ¥4000
积分奖励：20 - 150
1、重要业务敏感数据信息泄露漏洞，包括但不限于重要用户信息、订单信息、数据文件信息等。
2、重要业务的逻辑漏洞，包括但不限于权限绕过等。
3、不需交互的重点业务漏洞，包括但不限于文件遍历、任意文件包含、任意文件读取等。
4、包含重要业务敏感信息的非授权访问，包括但不仅限于绕过认证直接访问管理后台、后台弱密码、可直接获取大量内网敏感信息的SSRF等。
现金奖励：¥100 - ¥1000
积分奖励：10 - 20
1、不需交互对用户产生危害的安全漏洞，包括但不限于一般页面存储型XSS等。
2、普通信息泄露漏洞，包括但不限于用户信息泄露和业务敏感信息泄露等。
3、普通的逻辑设计缺陷和流程缺陷，包括但不限于越权查看非核心系统的订单信息、记录等。
4、其他造成中度影响的漏洞，例如：没有敏感信息的SQL注入、无法回显的SSRF漏洞等。
积分奖励：1 - 15
1、在特殊条件下才能获取用户信息的安全漏洞，包括但不限于反射XSS等。
2、轻微信息泄露，包括但不限于服务器物理路径、phpinfo、边缘系统文件、本地日志等。
3、可能存在安全隐患但利用成本很高的漏洞，包括但不限于需要用户连续交互的敏感安全漏洞。
4、难以利用但又可能存在安全隐患的问题，包括但不限于可能引起传播和利用的 Self-XSS、非重要的敏感操作 CSRF等。
5、其他造成低危害的漏洞，例如：管理后台开放、解析漏洞、存在可被暴力破解接口等。
现金奖励：¥1,000 - ¥10,000
积分奖励：200 - 300积分
远程代码执行漏洞
漏洞说明：
1， 属于360移动客户端产品的自身开发功能的漏洞（不含Android/IOS系统漏洞）。
2， 以远程方式获取移动客户端权限执行任意命令和代码，漏洞场景包括但不仅限于远程端口连接、浏览网页和关联文件打开等远程利用方式。
现金奖励：¥1,000 - ¥3,000
积分奖励：50 - 150积分
本地跨应用功能漏洞
漏洞说明：
1， 属于360移动客户端产品的自身开发功能的漏洞（不含Android/IOS系统漏洞）。
2， 第三方应用可以跨应用调用移动客户端产品的功能完成一些高危操作，包括但不仅限于文件读写，短信读写，客户端自身数据读写等。
现金奖励：¥100 - ¥1,000
积分奖励：10 - 20积分
信息泄露漏洞
漏洞说明：
1， 导致360移动客户端敏感信息泄露的漏洞（不含Android/IOS系统漏洞），漏洞场景包括但不仅限于调试信息，逻辑漏洞，功能访问等导致的信息泄露。
2， 敏感信息包括但不仅限于用户名、密码、密钥、手机串号等移动客户端产品自身重要数据和隐私信息。
积分奖励：1 - 20积分
拒绝服务漏洞
漏洞说明：
1， 导致360移动客户端拒绝服务的漏洞（不含Android/IOS系统漏洞），利用该漏洞可以直接结束移动客户端进程。
2， 漏洞利用场景包括但不仅限于跨应用调用、远程浏览网页等本地或远程利用方法。
360核心客户端产品：¥500 - ¥10,000
360重要客户端产品：¥300 - ¥5,000
远程代码执行漏洞
360核心客户端产品：360安全卫士、360杀毒、360安全/极速浏览器
360重要客户端产品：360安全桌面、360云盘、360手机助手、360压缩
360核心客户端产品：¥300 - ¥5,000
360重要客户端产品：¥200 - ¥2,500
权限提升漏洞
360核心客户端产品：360安全卫士、360杀毒、360安全/极速浏览器
360重要客户端产品：360安全桌面、360云盘、360手机助手、360压缩
360核心客户端产品：¥100 - ¥2,000
360重要客户端产品：¥100 - ¥1,000
拒绝服务漏洞
360核心客户端产品：360安全卫士、360杀毒、360安全/极速浏览器
360重要客户端产品：360安全桌面、360云盘、360手机助手、360压缩
360核心客户端产品：¥100 - ¥2,000
360重要客户端产品：¥100 - ¥1,000
绕过主动防御或挂马防护
360核心客户端产品：360安全卫士、360杀毒、360安全/极速浏览器
360重要客户端产品：360安全桌面、360云盘、360手机助手、360压缩
严重：￥180,000-￥360,000
无条件远程代码执行等漏洞
包括但不限于在未授权状态下，远程代码执行。
结果：以root权限执行任意代码或任意命令。
漏洞说明： 以路由器为例：在远端Internet环境下，在设备未授权状态下直接与路由器wan口通信，触发漏洞并获取路由器内部系统root权限，实现远程代码执行。
高危：¥90,000-¥180,000
局域网内代码执行等漏洞
包括但不限于
有条件的远程代码执行：包括但不限于在设备有特殊配置，或需要设备授权，或需要交互情况下的代码执行漏洞。
结果：以root权限执行代码、任意命令，或获取到用户的隐私信息。
无条件局域网代码执行：包括但不限于在设备无特殊配置、未授权状态、无交互产生情况下的代码执行漏洞。
结果：达到以root权限执行任意代码或任意命令。
以路由器为例：在不知道路由器管理密码的情况下，通过利用路由器lan口的漏洞取得root权限并执行任意代码。
设备通用密码方案破解：包括但不限于获取设备的通用密码方案，并可远程使用该密码。密码方案需至少适用同一型号或版本的设备。
结果： 知道该通用密码方案，可以在非物理接触设备的情况下使用该密码进入系统的shell。
中危：¥1-¥90,000
远程拒绝服务等漏洞
包括但不限于：
远程拒绝服务（非耗光系统资源）：在授权状态下，或设备有特殊配置的情况下，造成设备功能异常。
结果：可以导致设备功能异常。
有条件局域网代码执行：包括但不限于在设备有特殊配置，或需要设备授权，或需要交互情况下的代码执行漏洞。
结果：可以用root权限执行任意代码、任意命令，或获取到用户的隐私信息。
设备通用密码方案破解：包括但不限于获取设备的通用密码方案，但只可以通过物理接触，或在局域网内使用该密码方案。密码方案需至少适用于同型号或版本的设备。
结果：可以在局域网下或物理接触设备的情况下使用该密码进入系统shell。
低危:¥1-¥1,000
包括但不限于：
局域网内拒绝服务（非耗光系统资源）：包括但不限于在局域网内对设备进行攻击导致设备功能异常。
Uboot可打断：通过物理接触打断uboot，并刷入非官方固件。 物理调试接口开放：通过调试接口下载并调试设备的固件。
关于逻辑漏洞
包括但不限于：
利用漏洞可以获取到设备的更高权限（如路由器管理页面的绕过，可修改host或重设wifi密码等）；
利用产品逻辑漏洞，获取用户密码等隐私信息。
关于历史漏洞
当设备的操作系统以及第三方组件漏洞发布公告后，我们会有15个工作日“锁定时间”，在这个时间里，我们的安全工程师会对业务进行排查和修复。
所以，在此时间提交的漏洞，360SRC将视情况给予奖励。15个工作日后，您在新设备最新版本中仍旧发现了相关的产品漏洞，可以继续提交至360SRC平台，我们会按照漏洞评审规则进行评定和奖励。
关于忽略
对于只可以使设备功能异常，或泄露一些配置文件（无隐私信息）的设备逻辑问题，只属于程序设计的bug，不按漏洞进行奖励,对于有价值的反馈，会进行公开致谢。
V
京公网安备 11000002000006号
