需要特别注意的是,由于东方财富旗下东方财富证券公司股票业务的特殊性,在股市开盘时间(AM 9:00—PM 15:00),不可使用相关工具扫描,大批量并发的安全测试方法,以及 DDoS 等危害系统稳定的手段。 东方财富愿与业界各安全公司、安全组织和安全研究者一起共建安全可靠的网络空间。 如果您对本漏洞评分与奖励标准有任何的疑问或建议,欢迎咨询security#eastmoney.com
致谢:所有对EMSRC提供帮助的小伙伴!
温馨提示: 现金奖励提现时间一般为:当月31日前提交的申请将在下月15日左右完成

漏洞提交流程
漏洞状态说明

修复时间根据问题 的严重程度及业务部门修复难度而定,一般情况下,严重和高风险漏洞 72 小时 内,中等风险在七个工作日内,低风险十个工作日左右会给与状态确认。

  • 待确认:漏洞已提交成功,等待审核员审核。
  • 确认中:常规情况下,严重和高风险漏洞提交后72小时内(法定节假日顺延),EMSRC判断漏洞会否存在。
  • 已确认:漏洞确认存在,我们正在积极修复漏洞,一般七天内给予反馈,请对漏洞细节进行保密!
  • 已忽略:漏洞不存在或已有白帽子提交等,EMSRC将驳回漏洞,并告知忽略原因。

请保持您的联系方式畅通,如果有问题或需要沟通的地方EMSRC会联系您。


漏洞评估标准
  • 【贡献值】由漏洞对应危害程度和业务以及应用的的重要性决定: 贡献值 = 应用系数 * 基础贡献值
  • 【安全币】由漏洞对应危害程度和业务以及应用的的重要性决定: 安全币 = 应用系数 * 基础安全币
贡献值对应表

安全币对应表


安全币 : 人民币 = 1 : 10

业务系数说明

EMSRC以业务相关性为依据,将此系数划分为四个等级:核心业务、重要业务、一般业务、边缘业务

  • 1、“核心”业务系数为 10,参考描述:业务中涉及真实用户,资金、交易、 品牌、数据等的核心业务,我司业务包括:证券、基金主站业务以及客户端, 东方财富网主站以及客户端(释:业务下的核心资产,不包括资讯和模拟类页 面), 涉及用户隐私数据和交易数据的管理后台;
  • 2、“重要”业务系数为 6,我司业务包括:股吧、Choice、Level-2、期货 (释:业务下的核心资产)等,以及重要的管理系统后台,邮箱系统等;
  • 3、“一般”业务系数为 3,参考描述:业务中不涉及资金、交易、品牌、数据 等的一般业务,我司业务包括:博客、东方理财师、choice 社区、财富号、东 方贷、优优私募、浪客直播的主站以及客户端;三方平台的公众业务(比如旗 下微信公众号、小程序);以及非重要的证券、基金、东方财富分站,不涉及 用户隐私数据和交易数据的管理后台等。
  • 4、“边缘”业务系数为 1,一般业务中的非核心业务,包括东方财富第三方供 应商提供的系统,包括:财迷、BBS 等,边缘分站、无影响的后台、非重要的 测试系统等。


漏洞等级说明

严重漏洞

  • * 核心业务的严重等级漏洞,视影响程度给予额外奖励至少10000元!
  • 1) 直接获取当前业务核心服务器权限漏洞,包括但不限于内存破坏、直接上 传 WEBSHELL、利用逻辑缺陷任意加载 远程代码等可利用的远程代码执行漏 洞;
  • 2) 核心敏感数据信息泄露漏洞,包括但不限于当前业务核心DB的SQL注入、 系统权限控制不严格等导致的敏感数据泄露漏洞;
  • 3) 核心业务的逻辑漏洞,包括但不限于账密校验逻辑、核心接口数据验证逻 辑、支付逻辑漏洞等;
  • 4) 严重的业务逻辑缺陷,可导致:大量用户经济损失,订单及支付系统业务 逻辑绕过等;
  • 5) 严重的程序设计缺陷,可导致:大量用户敏感信息泄露,公司内部核心数 据泄露等;
  • 6) 可直接导致核心系统瘫痪的拒绝服务攻击漏洞。

高危漏洞

  • 1) 直接获取当前业务普通服务器或客户端权限漏洞,包括但不限于内存破 坏、逻辑权限等可利用的远程代码执行漏洞;
  • 2) 重要敏感数据信息泄露漏洞,包括但不限于重要用户信息、订单信息、数 据文件信息等;
  • 3) 本地代码执行漏洞,包括但不限于内存破坏、类型混淆、整数问题等导致 的可利 用本地代码执行漏洞;
  • 4) 不需交互导致的重点业务漏洞,包括但不限于危害较大的存储XSS、文件遍 历、参数处理不当导致的远程拒绝服务漏洞;
  • 5) 越权访问重要应用系统,包括但不仅限于绕过认证直接访问管理后台,后 台系统密码泄露等;
  • 6) 影响一定范围用户账号或资金安全,包括但不限于:非核心 DB SQL 入, 可造成自动传播的存储型 XSS,涉及交易、资金、密码的 CSRF,可导致用 户账号安全的应用系统漏洞或业务逻辑缺陷等;
  • 7) 重要业务系统源代码、密钥或未鉴权的 API 的泄露;
  • 8) 公司内部重要数据泄露等。

中危漏洞

  • 1)需交互才能对用户产生危害的安全漏洞、包括但不限于存储型XSS、json劫持、CRLF、敏感操作的CSRF等;
  • 2) 普通信息泄露漏洞、包括但不限于非个人登录后泄露的手机号、姓名、交易号等个人信息;
  • 3) 远程拒绝服务漏洞,包括但不限于攻击接口、页面、组件导致的拒绝服务等;
  • 4) 非核心业务的逻辑漏洞,包括但不限于组件导出、权限控制不当导致的 泄露问题等。

低危漏洞

  • 1) 在特殊条件下才能获取用户信息的安全漏洞,包括但不限于特定浏览器下 的反射XSS、存储XSS等;
  • 2) 本地拒绝服务漏洞,包括但不限于PC端、移动端本地组件、进程的拒绝服务;
  • 3) 可能存在安全隐患但利用成本很高的漏洞,包括但不限于特殊情况下的中间人攻击、需要用户连续交互的敏感安全漏洞;
  • 4) 难以利用但又可能存在安全隐患的问题。包括但不限于可能引起传播和利用的Self-XSS以及非重要敏感操作的CSRF,任意URL重定向等;
  • 5) 根据设备、系统、软件或框架的官方告警正在修复的漏洞。

无影响

  • 1) 安全无关的产品BUG,包括但不限于产品体验或设计不好、非安全漏洞导致的服务无法访问,包括但不限于网页乱码、网页无法打开、某功能无法用等;
  • 2) 无法利用或无危害的“漏洞”,包括但不限于恶作剧CSRF(对用户无实际影响)、无法影响他人的本地拒绝服务 、Self-XSS、非敏感信息泄露(内网IP、域名)等;
  • 3) 无任何证据的猜测,非东方财富旗下产品的安全漏洞,该最终解释权归东方财富所有;
  • 4) 基本无影响的信息泄露漏洞,包括但不限于服务器物理路径、非核心代码SVN文件泄漏、无危害的phpinfo、边缘系统文件、本地日志等;
  • 5) 公司内部普通数据泄露,如:内部 IP、系统名称等;
  • 6) 根据设备、系统、软件或框架的官方告警正在修复的漏洞;
  • 7) 无法利用的“漏洞”。包括但不限于没有实际意义的扫描器漏洞报告(如 Web Server的低版本)、无敏感信息的JSON Hijacking、无敏感操作的 CSRF(如收藏、添加购买、非重要业务的订阅、非重要业务的普通个人资料修改等);
  • 8) 无任何证据的猜测;
  • 9) 可重现且无关紧要的漏洞;
  • 10) 根据设备、系统、软件或框架的官方告警已经修复的漏洞;
  • 11) 已发现的漏洞,包括但不限于已知的HTTP.sys远程代码执行,短文件目录枚举等。
  • 12) 关于移动安全的四大常见问题,本地拒绝服务、 webview 远程命令执行、 私 有文件泄露、 https 隐私窃取等
  • 13) 因业务需要,信息或数据本身是对外公开的或可查的,可忽略(比如 jsonp 劫持但无实际影响的情况等)。

附件查看完整版:EMSRC漏洞评分与奖励标准V3.0

特别声明:安全币兑换人民币渠道,通过东方财富旗下天天基金产品活期宝形式 发放给白帽子用户,由公司承担相应所得奖励的税务!最终到账金额与日期,以 天天基金的账户为准,感谢理解!