Shopify安全漏洞奖励计划解析

Shopify作为全球领先的电商平台,非常重视自身系统的安全性。为了鼓励白帽黑客发现系统漏洞,Shopify设立了漏洞奖励计划(Bug Bounty Program)。今天我们就来详细了解一下这个计划的具体内容。

计划概览

Shopify的漏洞奖励计划设立在HackerOne平台上,地址为:https://hackerone.com/shopify?type=team

该计划采用邀请制,只有受邀请的安全研究人员才能参与。不过任何人都可以申请加入,Shopify会定期审核申请并发出邀请。

奖励范围

Shopify明确列出了以下几类系统作为奖励范围:

• Shopify核心平台
• Shopify移动应用
• Shopify POS系统
• Shopify合作伙伴dashboard
• 部分Shopify收购的公司系统

漏洞类型及奖励

Shopify根据漏洞的严重程度给予不同金额的奖励,具体如下:

• 严重(Critical): $500 - $50,000
• 高危(High): $250 - $10,000
• 中危(Medium): $100 - $5,000
• 低危(Low): $50 - $500

一些高价值的漏洞类型包括:

• 远程代码执行
• SQL注入
• 认证绕过
• 敏感信息泄露
• 跨站脚本(X