【必读】阿里云重点业务漏洞挖掘规范

阿里安全响应中心

2026年11月4日 19:16
浙江

去阅读

为了保障阿里云业务的平稳运行，保障阿里云用户的安全，即日起，ASRC将对以下阿里云产品和站点升级白帽子测试授权和规范要求。

在白帽子测试过程中，除需要满足《保密协议》《先知漏洞测试红线1.0》外，还需要遵守本规范的要求。未在本规范范围内的阿里云业务，仍按此前规范要求执行。

我们期望通过明确的规范和报备流程，能够引导白帽师傅们合规合法的挖掘漏洞，避免违规测试导致的赏金损失和法律风险。

产品和站点

以下产品和站点可能会随时更新，请关注ASRC在先知平台上的官方公告获取最新列表：

• 阿里云官网
• 云服务器ECS、负载均衡SLB、专有网络VPC
• 轻量应用服务器SWAS
• 内容分发网络CDN、云解析DNS
• 容器服务ACK、容器计算服务ACS、函数计算FC、弹性容器实例ECI
• 云原生数据库PolarDB、云数据库RDS
• 云原生大数据计算服务 MaxCompute、大数据开发治理平台 DataWorks
• 对象存储服务OSS
• 日志服务SLS
• 访问控制RAM
• 无影云电脑EDS
• 短信服务SMS
• 微服务引擎 MSE
• 百炼、千问AI平台

测试规范和要求

请各位白帽子遵循以下所有要求，避免违规测试导致的业务安全稳定风险和违反法律法规风险。

事前报备

1. 在对任何本规范范围内的阿里云站点、产品进行安全相关的任何测试行为前，都需要报备

• 报备地址：https://survey.aliyun.com/apps/zhiliao/3QZr3xnRQ

1. 每次报备时效1个月，如需延期，需要重新提交报备
2. 报备内容包括您的个人信息、提交漏洞的阿里云账号、测试漏洞的所有阿里云漏洞账号UID、测试出口IP（包括您的代理出口、AI中转站出口等所有IP，使用家庭宽带等可能会变化的IP请及时更新。）
3. 报备有效期内，如果报备信息有任何变化，需要及时更新
4. 未在报备范围内的“测试”行为可能会被视为恶意攻击进行处置

事中

1. 严格控制漏洞测试过程中的接口调用频率和次数，单接口不大于1QPS
2. 严格控制漏洞测试过程中读取敏感数据的量级，禁止获取超过10条用户个人信息或产品业务数据等敏感数据（单接口返回超过10条数据的除外，若接口支持PageSize等参数，禁止设置大于10的值）
3. 严格控制AI工具、自动化工具等的测试范围、测试强度、测试深度，工具使用方需要对工具造成的后果直接负责
4. 严禁测试其他用户的实例或数据，如越权读取其他用户数据、修改其他用户的产品配置等，请务必将测试范围限定在您的测试账号内
5. 严禁进行任何可影响业务稳定性的测试行为，如DoS、修改业务配置、制造垃圾数据
6. 禁止深入利用漏洞，如RCE漏洞仅限执行whoami等非侵犯性命令，AK验证有效性即可
7. 禁止采用社工手段进行钓鱼、获取业务权限、窃取员工身份凭据等
8. 严禁使用非阿里相关的在线文档、网盘等工具存储漏洞报告、附件

事后

1. 发现漏洞后，请在24小时内提交漏洞报告至先知平台，报告中需要包含您发现的所有安全风险，请勿漏报瞒报
2. 漏洞确认有效后，请及时删除漏洞测试过程中的所有本地留存数据，包括数据包、AK、账号密码等信息
3. 漏洞确认有效后，请及时删除、撤销所有非仅测试账号可见的数据和内容，如文章评论、公开项目等
4. 未获取ASRC及阿里云官方许可的情况下，禁止以任何形式透露漏洞信息至第三方

违规处置

违反上述要求中的任意一条，将不会被认定为白帽子合规测试行为，视情节严重程度，ASRC有权采取以下一种或多种方式进行处罚，并通过ASRC官方渠道公告。

• 取消当前漏洞所有奖励和积分
• 取消所有未发放漏洞奖励和积分
• 追回所有发放漏洞奖励和积分
• 取消白帽等级称号
• 封禁ASRC账号
• 公开处罚账号
• 对于违反国家相关法律法规的行为，将转交其他团队依照法律法规处理。

如您不慎违反了本规定，为及时控制危害，避免进一步的危害扩大，请及时通过钉钉联系ASRC运营同学反馈。

本规范自2026年11月5日起执行。