盘点2023年被广泛关注的10个漏洞赏金项目

最新推荐文章于 2024-10-08 11:26:54 发布

黑客大白

最新推荐文章于 2024-10-08 11:26:54 发布

阅读量1.1k

点赞数 21

分类专栏：互联网程序员计算机文章标签：运维安全系统安全

本文链接：https://blog.csdn.net/Libra1313/article/details/135924964

版权

程序员同时被 3 个专栏收录

383 篇文章 15 订阅

订阅专栏

计算机

382 篇文章 3 订阅

订阅专栏

互联网

381 篇文章 3 订阅

订阅专栏

近年来，漏洞赏金项目作为互联网众包模式在网络安全领域的创新应用，已受到众多白帽黑客和安全专家的广泛关注与参与。通过互联网+的安全漏洞悬赏项目，不仅可以借助全球白帽黑客进行持续的安全性测试，发现影响重大的安全隐患，同时也可以为传统防御性的网络安全策略引入进攻性理念，将人的因素置于网络安全工作的核心位置。在本文中，收集整理了2023年启动的10个被行业广泛关注的漏洞赏金项目。

“黑入五角大楼”三期项目

今年1月，美国国防部宣布启动“黑入五角大楼”漏洞悬赏项目的第三期工作，此前两期分别于2016年和2018年启动并完成。据该项目的启动公告显示，“黑入五角大楼”三期项目的一个关键目标是鼓励白帽黑客攻击国防部设施服务理事会（FSD）的相关控制系统（FRCS）网络，发现其中的安全漏洞，并评估FRCS网络当前的网络安全状况，识别脆弱性和安全漏洞，以改善和加强整体安全状况。

Malwarebytes漏洞赏金计划

2023年3月，反恶意软件供应商Malwarebytes公司宣布推出一项漏洞赏金项目，将为提交确认的安全漏洞提供超过2000美元的漏洞赏金。该公司表示，测试人员可以对Malwarebytes的网络资产或运行其端点保护软件的部分客户进行安全渗透攻击测试，一旦发现构成远程代码执行（RCE）风险的漏洞，或者可能导致AWS云基础设施被接管的漏洞，将会获得对应的赏金奖励。Malwarebytes公司期望该活动能够确保其自身和主要客户的网络安全可靠。

OpenAI的大模型漏洞赏金项目

2023年4月，ChatGPT的开发者OpenAI公司启动了一项新的漏洞悬赏项目，以支持开发更加安全可靠的人工智能应用。据了解，OpenAI公司是通过与漏洞悬赏平台Bugcrowd合作，来管理漏洞提交和奖励流程，旨在确保所有参与者都能获得良好的项目参与体验。OpenAI公司表示，会根据报告问题的严重程度和影响提供现金奖励，奖金最高可以达到2万美元（重大的高危漏洞）。

LayerZero Labs发起Web3安全漏洞赏金项目

2023年5月，跨链通讯协议LayerZero开发商LayerZero Labs公司宣布与面向Web3的漏洞悬赏服务平台Immunefi合作，启动一个新的漏洞悬赏项目。LayerZero Labs公司表示，如果参与者发现高危程度的安全漏洞，最高将可能获得1500万美元的奖励。具体而言，奖励按照Immunefi漏洞严重程度分类系统V2.2评估的漏洞影响来分配。这是一个包含5个等级的量化表，分别针对网站/应用程序、智能合约和区块链/ DLT领域的漏洞威胁和影响。

05
针对SquareX网络安全产品的漏洞赏金项目

2023年6月，终端安全供应商SquareX宣布发起一个漏洞悬赏项目，邀请黑客、安全研究人员、技术人员和学生对该公司研发的基于浏览器网络安全产品进行安全攻击测试，并在产品发布前发现其中的安全漏洞。

为了奖励参与项目的白帽黑客，SquareX将为成功发现、报告和证明的漏洞提供最高可达25000美元的奖励。据SquareX介绍，活动吸引了来自印度、美国和德国等地的数百名白帽黑客踊跃参与，共对其产品发起了数千次自动扫描和针对性攻击，但是并没有发现比较严重的漏洞。

欧洲免费安全漏洞众测项目

2023年7月，安全众测服务平台Hack4Values宣布推出一个面向欧洲非政府组织和非营利组织的免费漏洞悬赏项目。该项目旨在为非政府组织和非营利组织提供免费的安全众测服务，以帮助识别组织中潜在的安全风险，Hack4Values平台还提供相应的解决方案，帮助这些组织解决所发现的漏洞风险。据了解，自项目启动以来，已有50多名自愿参加Hack4Values项目的道德黑客为包括10个非政府组织提供了安全性渗透测试服务。

Huntr AI漏洞赏金计划平台

2023年8月，Protect AI公司宣布启动针对人工智能和机器学习应用的漏洞悬赏平台Huntr。该公司表示，推出这一平台的主要目的是打造强大的AI安全研究社区，更好发现人工智能和机器学习软件包、代码库、框架和模型中的安全漏洞，并提供相应的修复方法。

据了解，该平台会按月举办竞赛活动，为研究人员提供展示技能和获得奖励的机会，其首届比赛专注于Hugging Face Transformers，奖金高达5万美元。

雅虎发起公共安全漏洞赏金项目

2023年9月，雅虎公司宣布与安全众测服务公司Intigriti合作，启动一个新的公共漏洞悬赏项目。该项目涉及近70项资产，包括雅虎的高价值互联网域名、API、搜索服务、雅虎购物、雅虎邮件以及雅虎体育等方面，目前已经吸引了7.5万名白帽黑客参与。

雅虎公司表示，悬赏金额与漏洞的潜在影响成正比，发现高危安全漏洞最高可获得超过1.5万美元的奖金。该项目还为“夺旗”（CTF）大赛中名列前茅的参赛团队提供额外的奖金，此举旨在吸引顶级网络安全人才参与，促进白帽黑客之间的合作。

加密货币交易所Uniswap启动漏洞赏金项目

2023年9月，去中心化加密货币交易所Uniswap宣布启动一个新的漏洞悬赏项目，根据参与者所发现漏洞的严重程度和所影响资产，将提供高达225万美元的奖励。该项目主要面向Uniswap部署的智能合约中的各类漏洞和风险，这些智能合约有可能在众多GitHub代码存储库中被找到，包括通用路由器合约代码、Permit2合约代码、V3合约代码和UniswapX合约代码等。

谷歌扩大漏洞赏金项目的范围

2023年10月，谷歌公司宣布扩大漏洞悬赏项目的范围，将生成式人工智能等特有的安全问题也纳入项目中。谷歌公司表示，此举是为了激励人工智能安全方面的研究，揭露潜在问题，最终确保人工智能对所有人都更安全。

谷歌公司还宣布，将扩大开源安全工作，确保人工智能供应链安全方面的信息能够被更好发现和验证。谷歌的工程技术团队详细列出了有资格获得奖励的人工智能攻击场景，包括提示攻击、训练数据提取、操纵模型、对抗性扰动以及模型盗窃等。

关于我

笔者本人 17 年就读于一所普通的本科学校，20 年 6 月在三年经验的时候顺利通过校招实习面试进入大厂，现就职于某大厂安全联合实验室。

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

感兴趣的可以访问我的往期文章：
VMware17.0安装教程【附安装包】

Nessus工具安装激活教程，三分钟手把手教会，非常简单
 漏洞扫描工具AWVS介绍及安装教程
 【2023最新版】超详细Burp Suite安装保姆级教程，Burp Suite的基本介绍及使用，收藏这一篇就够了

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包需要保存下方图片，微信扫码即可前往获取!

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。
在这里插入图片描述

一些笔者自己买的、其他平台白嫖不到的视频教程。

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包免费领取！

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

[2024最新CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享]

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。