Qtum量子链漏洞赏金计划正式开启

最新推荐文章于 2024-09-16 15:03:26 发布
最新推荐文章于 2024-09-16 15:03:26 发布
阅读量128 收藏
点赞数
文章标签： 操作系统 区块链
原文链接：https://juejin.im/post/5bed2f51e51d451e265b9201
版权




本次Qtum量子链赏金计划为了更好的借助社区的力量参与到QTUM主网及周边应用的开发建设中，让QTUM持续地保持安全、高效的运行，同时能满足更多用户的需求。


Bug分级与奖励体系


1、如果已经有类似的Issue或者Qtum团队已经知道并在解决该问题的情况将不适用于该赏金计划。

2、如果在解决前将问题公开，并造成危害的将不会获得赏金。

3、修复时，请fork代码到自己的仓库中进行修复，然后提交pull request在Qtum成员review之后正式合入主干。

4、Qtum团队成员是受雇于Qtum基金会，Qtum成员直接或间接的参与Bug修复的情况将不会获得赏金。

5、赏金计划以解决Qtum核心产品的技术，提升产品健壮性，Qtum网站、论坛、组织架构等不在赏金计划之列。

6、赏金计划的奖金与众多因素有关、工作量、影响范围、严重程度等，赏金计划的具体赏金数额以QTUM安全团队的结论为准且对于赏金计划QTUM安全团队有最终解释权。


范围


请在以下Github开源项目中查找漏洞：https://github.com/qtumproject/qtum


这里的范围只是我们现在关注的重点产品，如果有未被列在上面，但是同样是被验证的软件漏洞，我们也欢迎通过漏洞上报的方式进行上报和赏金申请，Qtum团队将会对此作出评定并及时给予反馈。


这些漏洞可能会造成以下问题：

  • 损失、盗取用户资产

  • 拒绝服务攻击

  • 引起共识机制的失败

  • 无法控制的通货膨胀

  • 允许未经授权的访问


漏洞等级分类


漏洞的等级与分类我们会参照OWASP 模型，我们将漏洞氛围严重、高危、中危、低危、改进，具体定义方法请参考：http://www.owasp.org.cn/owasp-project/fengxian


需要注意的是：

1、 对于在比特币、以太坊等网络上已上报的问题，赏金会相应的折算。

2、 以上奖励数额为该级别漏洞的最高奖励数额，具体的奖励发放数额会由QTUM安全团队决定。


对于奖励的发放我们还会参照其中几项来进行评审，如仅上报漏洞者，只需要关注上报材料一项。


上报材料（15%）：完整填写上报材料，具体请参考申报模板link，所有上报材料均为英文版本。

代码修复（40%）：完成代码修复，并不引入新的问题，如果有新的问题被引入，需要在同一次提交中解决该问题。

自动化测试脚本覆盖或手动测试方法说明（15%）：自动化测试脚本对代码的持续集成、快速迭代下的质量控制有极其重要的作用，所以自动测试脚本的完善会作为一项重要的考核指标：

提供自动化测试脚本

100%

提供手动测试说明

60%


修复时间与效率（20%）：修复时间指Issue上报被确认后到修复代码被review过后合到代码库间的时间，该时间会在Issue上报后QTUM安全团队确认漏洞的反馈邮件中明确期望修复时间，该时间会与开发者协商。

该部分奖励说明：

期望时间内完成

100%

超过期望时间50%内70%

70%

超过期望时间50%外

50%

修复思路及方法介绍与文档完善（15%）：对于修复完的漏洞，希望完成技术材料的整理与文档的提交，具体请参见：Bug修复后提交材料模板


漏洞的上报与修复流程


报告阶段

报告者访问「Bug上报」页面(URL：https://qtum.org/zh/developer/long-term/bugs) 提交漏洞详情(状态：待审核)


处理阶段

1.一个工作日内，QTUM安全团队会确认收到的漏洞报告并跟进开始评估问题， 同时将情报反馈给上报者(状态：审核中)


2. 三个工作日内，QTUM技术团队处理问题、给出结论与期望完成时间(状态：已确认/已忽略)。必要时会与报告者沟通确认，请报告者予以协助，评估完成后会将评估结果告知开发者。


修复阶段

1. 提交者着手修复该安全漏洞(状态：修复中)

2. 对于修复完成的问题，提交者可以将状态改为（状态：待复查）修复时间根据问题的严重程度及修复难度而定，一般来说，严重和高危问题 24 小时内，中危问题七个工作日内，低危问题十五个工作日内。客户端安全问题受版本发布限制，修复时间根据实际情况确定

3. QTUM安全团队对问题进行复查，确认修复后会告知提交者结论和漏洞得分(状态：已复查/复查异议)


材料整理阶段

根据要求完成测试脚本、手动测试说明、修复思路与文档完善等信息


赏金发放阶段

QTUM安全团队对提交人的材料完整性和修复完成度进行审核并发布奖励(状态：已结束)

Bug上报模板

<!--- Remove sections that do not apply -->

This issue tracker is only for technical issues related to Qtum.

### Describe the issue

### Can you reliably reproduce the issue?

#### If so, please list the steps to reproduce below:

1.

2.

### Expected behavior

Tell us what should happen

### Actual behavior

Tell us what happens instead

### Screenshots.

If the issue is related to the GUI, screenshots can be added to this issue via drag & drop.

### What version of Qtum are you using?

List the version number/commit ID

### Machine specs:

- OS:

- CPU:

- RAM:

- Disk size:

### Any extra information that might be useful in the debugging process.

This is normally the contents of a `debug.log` or `config.log` file. Raw text or a link to a pastebin type site are preferred.


模板举例

Title: DoS of stakers possible by sending a large transaction.

Description

An attacker can publish a very big transaction. This transaction will be accepted into the mempool, however, upon attempting to include that transaction in a block stakers will produce an invalid block that is not accepted by its peers.

Impact

It is possible for an attacker to cause a denial of service attack against all stakers on the network, effectively bringing block production to a halt.

Affected software

The core qtumd client.

Reproduction

  • Start qtumd in regtest mode on a clean chain in staking mode: qtumd -regtest -staking=1

  • Get some mature coins to enable staking: qtum-cli -regtest generate 600

  • Publish a really big transaction: qtum-cli -regtest sendtocontract ...

  • Wait for a minute while the staker loop runs.

  • Inspect the debug log

Expected result

The tx should have been rejected by AcceptToMemoryPoolWorker in step 3.

Actual result

  • The transaction is accepted into the mempool.

  • The debug.log has several entries of a block being rejected at each 16 second interval due to it including a transaction that exceeds the maximum transaction size.

Fix

Make sure that no transactions exceeding the maximum size are allowed into the mempool. This check should be implemented in AcceptToMemoryPoolWorker.

Files

Full debug.log


Bug修复后提交材料模板

###Fault cause

###Solution

###Resulting changes

###Resulting Document change

###Verify method

# Backwords compatible: (yes /no)

#Planned for version : (which version to deliver)

#New test case update/add/Manual testing:

References

  • https://docs.qtum.site

  • https://github.com/qtumproject


weixin_33966365
关注
Qtum量子链周报（01月06日-01月12日）
01-20
【Qtum量子链周报（01月06日-01月12日）】是一篇关于Qtum量子链过去一周动态和技术进展的总结。Qtum量子链，作为一个区块链项目，专注于推动分布式经济体的良性增长。在2020年的路线图中，Qtum的研发重点集中在三个...
Qtum量子链发布2020年路线图，研发重点集中离线Staking、隐私资产和x86虚拟机
01-07
2020年，Qtum量子链的研发将主要集中在离线Staking、Qtum Phantom和Qtum Neutron三个项目上。 离线Staking Qtum在未来将对智能合约Staking等离线Staking手段进行研发，进一步降低用户参与网络的门槛，并保证收益的...
Qtum量子链赏金计划即日启动
weixin_34407348的博客
12-21 77
更多回顾：Qtum量子链漏洞赏金计划正式开启更多参考优化Qtum 官方区块浏览器详细内容请参考 Github 链接：（复制浏览器打开）https://github.com/qtumproject/qtuminfo 和 https://github.com/qtumproject/qtuminfo-ui优化Qtum Electrum 详细内容请参考Github链接：（复制浏览器打开）https://...
Qtum量子链入驻慢雾区，漏洞赏金计划单项最高奖励达1万美金！
weixin_33835103的博客
04-29 109
2018年12月,Qtum量子链发布漏洞赏金计划，愿与全球区块链开发者共同完善Qtum产品与工具，提供更优秀的用户体验，共同打造便捷、稳定高效的新一代区块链平台。“Qtum量子链宣布入驻慢雾区，发布「安全漏洞与威胁情报赏金计划」，发现漏洞者可获取高额奖励，其中严重漏洞最高奖励 $10,000!”长久以来，区块链安全事件频发，行业快速发展下的安全问题存在诸多挑战，慢雾已覆盖十多万区块链安全开发者和...
Qtum量子链新官网全面升级，正式上线！
weixin_34015566的博客
12-26 1634
目前，Qtum量子链新官方网站已经上线。欢迎与Qtum用户一同探索新官网：qtum.org全新的官网升级了整体交互及设计风格，新增开发者、新闻动态、全球节点、资源等页面。从文本、动效和视频等多维度展开介绍Qtum项目，更加简洁明了和通俗易懂，帮助开发者和用户全面了解Qtum的技术和产品。为了方便浏览者快速、便捷查找信息，我们进行了更清晰的分栏设计和页面布局，PC端与移动端都更适配。为了帮助更多...
Qtum量子链周报（11月12日-11月18日）
weixin_42667079的博客
11-19 217
  Qtum量子链 11月12日-11月18日新闻动态回顾 本篇文章会详细回顾Qtum量子链在过去的一周（11月12日- 11月18日）项目动态，新闻回顾后还包含Qtum所有目前技术开发进展，欢迎随时查阅。   Qtum量子链创始人帅初应邀出席 2018 Sora Summit 澳门区块链峰会   近日，Sora Foundation和Sora Ventures将在澳门...
Qtum量子链周报（4月22日-4月28日）
weixin_42667079的博客
04-30 181
Qtum 量子链 4月22日-4月28日 新闻动态回顾 本篇文章会详细回顾 Qtum 量子链在过去的一周（4月22日- 4月28日）项目动态，新闻回顾后还包含 Qtum 所有目前技术开发进展，欢迎随时查阅。 企业级商用新机遇Qtum量子链正式启动企业版Unita 2019年4月18日，Qtum量子链正式发布并上线企业级区块链服务——Unita。这无疑是Qtum量子链团队在区块链技术...
Qtum量子链周报（4月1日-4月7日）
weixin_42667079的博客
04-09 160
Qtum 量子链 4月1日-4月7日 新闻动态回顾 本篇文章会详细回顾 Qtum 量子链在过去的一周（4月1日- 4月7日）项目动态，新闻回顾后还包含 Qtum 所有目前技术开发进展，欢迎随时查阅。 Qtum研究院：Cuckoo Cycle算法简介 Cuckoo Cycle是一种新颖的图论理论算法设计，它结合了可扩展的内存需求和即时可验证性。此外，它也是第一个设计运行时...
Qtum量子链周报（1月28日-2月17日）
weixin_42667079的博客
02-19 173
Qtum 量子链 1月28日-2月17日新闻动态回顾 本篇文章会详细回顾 Qtum 量子链在过去的一周（1月28日- 2月17日）项目动态，新闻回顾后还包含 Qtum 所有目前技术开发进展，欢迎随时查阅。   动态更新|Qtum 量子链赏金计划虚位以待  2018年12月10日，由 Qtum 量子链基金会发起的 Qtum 量子链赏金计划正式启动，活动针对 BUG查找修复者、优化产品工...
Qtum量子链周报（5月20日-5月26日）
weixin_42667079的博客
05-29 120
Qtum 量子链 5月20日-5月26日 新闻动态回顾 本篇文章会详细回顾 Qtum 量子链在过去的一周（5月20日- 5月26日）项目动态，新闻回顾后还包含 Qtum 所有目前技术开发进展，欢迎随时查阅。 Qtum量子链正式上线Crypto.com用Visa开启你的全球数字之旅 2019年5月20日，Qtum量子链正式上线全球领先的支付平台Crypto.com APP...
Qtum量子链周报（10月29日-11月4日）
weixin_42667079的博客
11-05 156
  Qtum量子链10月29日-11月4日新闻动态回顾 本篇文章会详细回顾Qtum量子链在过去的一周(10月29日- 11月4日)项目动态，新闻回顾后还包含Qtum所有目前技术开发进展，欢迎随时查阅。 Qtum量子链企业版—Unita 中文名征集大赛 数据更新 1截止今日为止已收到69个征集名称 2入围名称将于11月16日公布投票，距离公布日期倒数10日，欢迎大家踊跃参与。...
Qtum量子链研究院：x86 SimpleABI 协议与 abigen 工具
01-08
Qtum abigen这是 Qtum x86 合约的一个轻量级的 ABI。这个 ABI 规范称为 Simple ABI。SimpleABI 只编码字段值(flat values)和简单数组(simple arrays)。它不是智能合约 ABI 的终极状态，只是实现起来非常简单，最重要...
公链分析——量子链（qtum）
11-29
主要面向所有区块链领域的技术人员。特别是想分析区块链应用的人员。可以看看已经实现的公链在相关领域具体的进展。
4.网络编程
weixin_45476535的博客
09-14 464
程序注册端口：1024-49151。单个协议下，端口号不能冲突。公有端口0-1023。
【Linux】：信号与信号产生
Yikefore的博客
09-12 924
信号的基本概念、对信号的理解、信号的多种产生方式以及核心转储的详细介绍！
Linux入门1
m0_62770407的博客
09-15 767
Linux的内核源码开源，所以只需要在内核的基础上加入内核程序就能形成一个完美可用的“操作系统”。虚拟机的名字密码根据自己喜好设置即可，接下来我将虚拟机放到了D盘中，大小根据需求，接下来直接点击下一步即可。第一种是绝对路径，第二种是在。当不使用选项和参数，直接使用ls命令本体，表示：以平铺形式，列出当前工作目录下的内容。不同的发行版在Linux的基础部分都是相同的，本教程是以常用的CentOS为例展开。当Linux终端（命令行）打开的时候，会默认以用户的HOME目录作为当前的工作目录。
Linux入门——“Linux基本指令”上
2301_79972085的博客
09-14 814
在刚开始学习Linux时，首先需要掌握一些基本指令，以便我们能更好地使用Linux操作系统，以下指令在Ubuntu 22上执行。以下内容不过多介绍选项内容。
【C++】【网络】【Linux系统编程】单例模式，加锁封装TCP/IP协议套接字
最新发布
2301_79796701的博客
09-16 970
给系统，表明这个套接字所期望的、还未处理的（即还在等待被接受的连接）连接请求的最大队列长度。换句话说，它告诉系统内核为这个套接字分配多大的空间来存储尚未处理的连接请求。有关套接字编程的细节和更多的系统调用课参考《UNIX环境高级编程》一书，可以在如下网站搜索电子版，该书在第16章详细的介绍了各种接口。我们可以根据自己的需求，用面向对象的思想封装出接口简洁的类。在类似添加一个该类类型的指针，该指针是静态的并且是私有成员。结构体填充，为了使不同的地址格式能和套接字绑定，需要把对应的结构体强转成通用地址结构。
量子链困局：币价暴跌97.7%，DApp生态乏力
"本文主要讲述了量子链（Qtum）作为曾经的国产三大公链之一，当前面临的价格暴跌和生态困境。量子链的币价相对于历史高点已经下跌了97.7%，并且在2017年末以来的所有主流币种中表现最差。文章指出，量子链在DApp生态...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值