Shopify作为全球领先的电商平台,非常重视自身系统的安全性。为了鼓励白帽黑客发现系统漏洞,Shopify设立了漏洞奖励计划(Bug Bounty Program)。今天我们就来详细了解一下这个计划的具体内容。
计划概览
Shopify的漏洞奖励计划设立在HackerOne平台上,地址为:https://hackerone.com/shopify?type=team
该计划采用邀请制,只有受邀请的安全研究人员才能参与。不过任何人都可以申请加入,Shopify会定期审核申请并发出邀请。
奖励范围
Shopify明确列出了以下几类系统作为奖励范围:
- Shopify核心平台
- Shopify移动应用
- Shopify POS系统
- Shopify合作伙伴dashboard
- 部分Shopify收购的公司系统
漏洞类型及奖励
Shopify根据漏洞的严重程度给予不同金额的奖励,具体如下:
- 严重(Critical): $500 - $50,000
- 高危(High): $250 - $10,000
- 中危(Medium): $100 - $5,000
- 低危(Low): $50 - $500
一些高价值的漏洞类型包括:
- 远程代码执行
- SQL注入
- 认证绕过
- 敏感信息泄露
- 跨站脚本(X