酷应用

BSRC IOT安全挑战项目正式上线

百家作者：百度安全应急响应中心 2020-07-24 17:40:57

一、测试范围说明

目标设备：小度在家X8 智能屏音箱

固件版本号：1.40.1.202006232153

注：其他型号设备不在此次众测范围，可于BSRC正常提交

二、测试注意事项

1. Web及App相关漏洞请参照专项众测8活动说明

2. 通过网络劫持的方式替换http资源不在漏洞范围内，如替换图片、音视频资源而对用户造成干扰

3. 第三方APP和技能本身的漏洞，只收会直接或间接影响设备的漏洞，如远程代码执行、泄露百度系用户敏感信息两类漏洞，其他漏洞不在本次众测范围内

4. 所提交的漏洞需要包含POC及分析报告，内容不全可能影响审核周期

5. 白帽子根据漏洞对业务的危害进行客观等级自评，且不在众测范围内的漏洞不要添加众测标题。

6. 在漏洞测试过程中，禁止对线上正常用户产生影响。

7. 为了保护百度产品及业务的安全，降低用户安全风险，百度鼓励负责任地漏洞披露行为，若白帽子将未脱敏的漏洞报告向外部发布，或在漏洞未修复时向外界发布，BSRC将直接取消漏洞奖励。

8. 测试过程中不得获取其他用户数据，如确有必要，不得超过10条，严禁大规模遍历获取数据

9. 白帽子在渗透测试中应遵守《SRC行业安全测试规范》https://bsrc.baidu.com/views/main/announce.html#detail/127

三、奖励机制

1. 本次众测漏洞评级按照文尾《IOT设备评分标准》，根据漏洞危害程度将漏洞等级分为【严重】、【高危】、【中危】、【低危】四个级别。

严重漏洞：现金奖励税后≥20,000元

高危漏洞：现金奖励税后10,000-20,000元

中危漏洞：现金奖励税后2,000-8,000元

低危漏洞：现金奖励税后≤1000元

场景额外奖励：

通过漏洞能够实现以下三个场景会得到额外现金奖励，奖励额度根据漏洞程度确定

注：定级所发放安全币【严重】1600分、【高危】600分、【中危】120分、【低危】50分，仅为榜单展示所需，智能硬件相关漏洞实际发放奖励请参照漏洞留言得分，剩余奖励将于后台进行补发，对于危害较高且影响范围较大的漏洞还将获得额外现金奖励。

2.本次众测活动，可同时参与BSRC月度高质量漏洞、个人／团队TOP3现金奖励评选。

3.专项众测活动加成奖励，BSRC内邀白帽以及曾在专项众测活动中提交有效中危漏洞>2个的白帽，参与后续系列众测提交有效中危及以上漏洞，将享受最高35%的额外加成奖励。

Ps: 本次众测活动现金发放统一以BSRC安全币形式（1安全币=5RMB），同时每个确认漏洞按照V5.0中核心业务线对应的各漏洞等级最高安全币参与BSRC年度榜单排名。

四、活动时间

测试时间：2020年7月29日—8月31日

五、漏洞提交相关说明

提交漏洞时，漏洞标题请注明【IOT】+漏洞名称，如【IOT】+ 某处XX漏洞。如提交漏洞未注明本次活动，此漏洞将不参与众测奖励，只享受常规安全币奖励。不在众测范围内的漏洞不要添加众测标题。

六、设备申请

如有设备申请需求，可发送邮件到security@baidu.com/点击阅读原文提交表单申请，需提交相关能力证明，包括但不限于个人、团队介绍、有效漏洞证明、IoT领域相关技术分享、参加国内外相关安全赛事证明。

附：IOT设备评分标准

一、严重等级包括：

远程有条件或本地临时性拒绝服务漏洞。说明：在特定场景下如设备配网、绑定或已经获取调试权限情况下，对设备发起远程或本地拒绝服务攻击，需要设备重启才能重新工作
敏感信息泄漏漏洞。说明：获取存放在设备公共目录的用户/设备敏感信息，包括身份凭证、语音通话、留言、家庭相册等，或通过固件提取、逆向等方式获取加解密密钥、BDUSS等
任意安装第三方应用。说明：绕过设备限制任意安装第三方应用