SOBUG是一个漏洞悬赏平台。在授权框架下，企业项目在平台上接受白帽的安全测试，按照漏洞危害和数量来付费。SOBUG平台希望营造良好的氛围，通过信息透明和完善的评价体系，方便厂商直接与白帽沟通，来促进安全问题的快速解决。
随着黑客攻击和数据库泄漏事件的频频发生，防守变得越来越被动。SOBUG认为未来的安全由黑客来驱动，企业应该正面去面对黑客攻击，通过SOBUG的悬赏模式付费授权让黑客帮助企业发现安全问题，让企业更专注于安全问题的解决，树立积极的面对安全问题的形象。
漏洞悬赏源起于美国，前有Facebook，Google，微软；后有HackerOne，BugCrowd等商业公司，通过白帽社区帮助企业发现安全漏洞。国内3BAT等一线互联网厂商均有SRC（安全应急响应中心）进行漏洞悬赏计划，他们通过这种方式使外部漏洞数量直线下降至可控范围内，为自己长线的安全体系建设赢得时间和方向指引。
安全漏洞存在于每个企业的线上产品和业务的代码中，客观存在，众测或悬赏本身并不是增加风险的来源，相反，企业应该借助SOBUG这样的漏洞悬赏平台在黑客利用之前尽快发现并解决问题。
对于初次做安全测试的厂商，我们建议先做私密众测（什么是私密众测？）。由SOBUG控制参加测试的白帽子数量，随着漏洞发现难度的提升逐步放量，当漏洞发现成本足够高，企业安全能力得到提升后，再考虑进一步发布公开悬赏计划。SOBUG平台站在企业的角度上，为企业的信息安全着想， 提供专门为企业定制的服务。
不受时间的限制。传统众测周期从1周到1个月不等，时效性短，不方便业务处于频繁迭代的厂商。公开悬赏则是一年365天不间断的帮企业收集安全漏洞，适合处于业务迭代期的企业。
不受人数限制。传统众测人数被限制在单个项目30人左右，是狭义上的“众测”。公开悬赏则是帮企业从10,000+黑客手上收集安全漏洞。
厂商直接定价漏洞最低奖金，不设上限，真正基于效果付费。SOBUG鼓励漏洞的市场经济，厂商可根据自身预算和黑客积极性动态调整奖金额度。
注册SOBUG的厂商账号，在项目设置中填写测试目标和漏洞奖金等信息，提交后等待SOBUG平台审核厂商身份，双方签订合同，完成厂商账号充值，即可开始公开悬赏项目。
SOBUG平台默认收取企业充值金额的20%作为居间服务费。如需代审漏洞等其他专业服务，请联系客服400-050-7895咨询。
私密众测，仅让受邀请的白帽为项目做测试，而未受邀请的白帽无法看到该项目并无法向该项目提交漏洞。私密众测适用于初次做安全测试的厂商，让你借助白帽社区的力量，逐步提升自己的安全能力。发起私密项目的基本流程如下图所示。若需要更多帮助，请联系客服400-050-7895咨询。
请联系客服400-050-7895或发邮件到 bd@sobug.com 获取一对一企业服务。
收费标准请参考：SOBUG收费标准
时间点取决于企业的安全能力，而安全能力取决于众测的效果。SOBUG通过定期数据化的运营，衡量企业安全效果，量化企业安全能力，用数据向企业证明公开悬赏的时机。
1、企业外部漏洞：企业在第三方漏洞平台上的漏洞数量逐步减少，趋于平稳；
2、企业众测漏洞：企业在SOBUG平台的漏洞数量逐步减少，趋于平稳；
3、行业漏洞趋势：企业所在细分行业在第三方漏洞平台的漏洞趋势和类型分布统计；
对于企业来说，公开悬赏代表企业对用户安全的重视程度，可增强用户信任感，帮助树立企业在解决安全问题方面的正面积极形象。
有SRC（应急响应中心）的厂商可以把SOBUG作为白帽子的强补充源，帮助运营白帽社区，SOBUG可以为SRC做定制化的数据服务和接口开发，成为坚实的合作伙伴。SOBUG平台愿意与客户一起联手PR，让用户能够感知企业在安全的投入和重视。
SOBUG平台提供一套被普遍接受的完整的漏洞危害定级，在您填写项目设置时已默认填入，可根据自己的需求再修改。以下是默认的危害定级模板：
0x01应用及主机安全评级
0x02人员安全漏洞评级
0x01应用及主机安全评级
0x02人员安全漏洞评级
0x01应用及主机安全评级
0x02人员安全漏洞评级
漏洞的最低奖金由厂商来定价，SOBUG只做建议，不做干预。需注意这里的定价是最低定价，比如高危漏洞最低价格为3000元，那么符合高危漏洞认定的漏洞最低应该获取的奖金是大于等于3000，我们认为奖金越高，漏洞悬赏的效果越好。
登录后，点击菜单栏的【我的报告】，进入后在左侧报告列表中选中一份报告，即可看到漏洞报告具体内容。
菜单栏【我的报告】--> 左侧列表选中报告（图13-01）--> 右侧底部状态下拉框选状态（图13-02） --> 提交
图13-01
图13-02
一般漏洞处理流程是：
查看漏洞 --> 复现漏洞（1） --> 审核漏洞 --> 修复漏洞（2） --> 奖励白帽（3） --> 漏洞结束
1、白帽首先提交报告给厂商，厂商查看后复现漏洞。
2、当复现成功并且确实造成漏洞危害时，厂商应将漏洞状态改为“审核通过，待修复”(图13-03），并定出危害等级，接着开始修复漏洞。
3、厂商修复该漏洞后，将漏洞状态改为“已修复，立即奖励”，并输入奖金（图13-04）。提交后奖金即刻发给白帽，漏洞结束。
图13-03
图13-04
若遇到重复漏洞(图13-05）
待审核 --> 重复漏洞 --> 填写重复的漏洞编号 --> 漏洞结束
若遇到无效漏洞（无法重现 / 超出范围 / 无危害）(图13-06）
待审核 --> 无法重现 / 超出范围 / 无危害 --> 漏洞结束
若遇到不完整的漏洞报告(图13-07）
待审核 --> 不完整需补充 --> 等待白帽修改报告 --> 厂商重新审核
菜单栏【我的报告】--> 左侧列表选中报告（图14-01）--> 右侧底部状态下拉框选状态 --> 提交
一般正常有效的漏洞报告处理流程：
待审核 --> 已审核，待修复（漏洞定级）--> 已修复，立即奖励（输入奖金）（图14-02） --> 漏洞结束
图14-01
图14-02
帐号余额不足？请点击此处：如何给厂商账号充值?
分歧主要会出现在两个地方：沟通和奖金。SOBUG相信解决分歧的有效办法是信息对称，我们希望通过美好的产品来优雅地解决分歧。
1、通过平台产品将漏洞报告标准化，减少在漏洞认知上的不对称。
2、通过漏洞的最低标底让漏洞奖金在漏洞提交之初透明对称。
3、引入了评价体系，对平台双方进行信用评级。
支持两种充值方式，线上支付宝充值或联系客服线下打款。
SOBUG平台将默认收取20%居间服务费，例如：充值¥50000，实际到账¥40000可作为漏洞奖金。
1、支持线上用支付宝充值。登录后，点击头像旁下拉框，选择“项目设置”，如图：
在页面左侧列表中选择“账单”， 如图：
接着在页面右侧点击“充值”，输入金额，跳转到支付宝页面，完成支付即可。如图：
2、线下打款，请联系客服400-050-7895
SOBUG平台提供有关漏洞的提醒邮件服务，可以在提醒设置里面，添加开发/运维同事的邮箱，共同接收漏洞报告提醒。
1.、点击头像下拉框，选择“项目设置”，如图：
2、在左侧栏选择“提醒设置”，如图：
3、输入电子邮箱地址
4、点击“+”号可以添加多个邮箱
5、最后点击“保存”按钮，如图：
新增测试目标需要SOBUG平台审核后才可更新生效，删除测试目标则立即生效。
1、点击头像下拉框，选择“项目设置”，如图：
2.、在左侧栏选择“项目表单”，修改测试目标，如图：
3、确认无误后，点击“更新”按钮，如图：
SOBUG与第三方威胁情报系统深度合作，在技术层面可协助厂商调查取证，若有证据可证明白帽确实利用厂商漏洞从事非法活动，SOBUG将协助厂商走法律程序，帮助维护厂商利益。
安全工程师小黄正在阅读一份白帽巴哥提交的漏洞报告，小黄遇到了一些业务疑问，想与他的同事，开发部的小李一起讨论。于是小黄在报告内的参与者栏，点击“+”号(图20-01），输入了小李的邮箱 (图20-02），邀请他加入这份报告的审阅。
图20-01
图20-02
小李收到了来自SOBUG发送的邀请邮件，接受邀请并注册了账号后，小李在【我的报告】里面看到了小黄想与他讨论的报告。小李通过评论与白帽巴哥交流后，了解报告中细节，并在报告内发送了内部私密评论，告诉小黄该漏洞应该评高危和一些具体的修复代价。 (图20-03）
图20-03
小黄看完所有评论后，把报告定为高危，并按照小李和巴哥提供的修复方案进行安排。并把修复相关的人员也添加为这份报告的参与者。
相关问题：如何添加安全处理小组的新成员？
公司A有网络安全部，部门共两人。A司本月开始做白帽众测，发现不少高危问题。鉴于网安部门两人的工作量大、信息安全知识有限，需要找专业顾问提供代审核服务。
通过SOBUG,A司得到了顾问的联系方式。A司登录自己的SOBUG厂商账号，在设置-成员管理中（图20-04）
点击“邀请成员”（图20-04）选择权限（代审核至少需要【审核权限】）
输入顾问的邮箱或昵称，确认邀请（图20-05）
图20-04
图20-05
顾问接受邀请后，成为厂商的安全处理小组成员。A司可以在需要顾问代审核的报告中，直接“添加参与者”，选择顾问，确认添加（图20-06）。顾问看到报告后，帮你复现漏洞并审核评级。A司只需要专注修复漏洞，给白帽发奖励既可。
图20-06
另外还可以更改成员的权限（图20-07），分为默认，邀请，审核，奖励（图20-08）。 也可以移除成员（图20-07）。当然移除成员后，你可以随时再邀请他们回来。
图20-07
图20-08
还有正在邀请的列表，你可以随时取消邀请（图20-09）
图20-09
漏洞悬赏计划是基于厂商授权测试的框架上，公开收取漏洞，按照漏洞的危害程度给出赏金。厂商以积极面对安全问题的态度，列出测试目标，给出保底的奖金。SOBUG平台希望在厂商和白帽信息对等的情况下，营造平台良好的沟通氛围，让白帽提洞更舒心，厂商处理安全问题更有效率。
另外，SOBUG平台将不定期开展奖励活动，给广大白帽更多的福利。
厂商会在3个工作日内审核漏洞。当漏洞被审核后，白帽注册邮箱将收到提醒邮件。
在厂商收到一份新报告时，会收到一封提醒邮件。若厂商未及时审核，SOBUG平台将每天发送催促邮件给厂商。我们将尽力推进所有安全问题的处理，但同时也请白帽子理解厂商内部评估，排期，灰度等流程。若还有其他问题，欢迎加入QQ群275463901 ，咨询SOBUG运营人员。
当漏洞被审核通过后，厂商将在1/3/7个工作日内修复高/中/低危漏洞。SOBUG平台将尽力推进所有安全问题的处理，但同时也请白帽子理解厂商内部评估，排期，灰度等流程。若还有其他问题，欢迎加入QQ群275463901 咨询SOBUG运营人员。
取决于厂商的修复时间。漏洞被修复后，厂商才能将漏洞状态修改为“已修复，立即奖励”，同时将漏洞奖金转入白帽的SOBUG账号。
一般正常有效的漏洞报告处理流程：
待审核 --> 已审核，待修复（漏洞定级）--> 已修复，立即奖励（奖励白帽） --> 漏洞结束
我们可能会收到多个白帽子提交相同的漏洞信息。如果发生这种情况，我们以第一位提供完整报告的白帽子为准。完整报告的定义是：漏洞危害，复现过程，修复建议均准确无误。
SOBUG平台支持白帽账号的余额用支付宝账号提现。点击头像旁下拉框，选择个人中心，如图（图7-01）：
图7-01
在左侧选择“账单”，如图（图7-02）：
图7-02
设置支付宝账号（图7-03）后，点击提现（图7-04）
图7-03
图7-04
SOBUG平台将不定期举行积分奖励活动，奖励挖洞速度快，有效成功，思路精巧的白帽。另外，在引入报告评分机制后，SOBUG平台将额外奖励优秀的漏洞报告，鼓励白帽用心填写完整有效的漏洞报告，帮助厂商更快解决安全问题。
在菜单栏中点击【积分商城】，可以使用积分兑换商品。目前，一积分等值五元人民币。
漏洞有效度：报告的平均有效度，范围从-5~7，初始值为0
例如：
白帽巴哥提交过13个漏洞，其中8个漏洞确认，2个漏洞超出范围，1个重复漏洞，1个无危害，1个漏洞无法复现。那么他的探索能力应该是(7*8+2*2-5*1) /13≈4.23
例如：
白帽小莫提交过29个漏洞，其中13个漏洞确认，9个漏洞超出范围，2个重复漏洞，5个漏洞无法复现。那么他的探索能力应该是(7*13+2*9-5*5) /29≈2.89
漏洞价值：确认漏洞的平均危害程度，范围从0~25
例如：
白帽老李提交过15个漏洞，其中3个高危，6个中危，2个低危，4个无效漏洞。那么他的漏洞价值应该是(25*3+15*6+3*2+1*4) /15≈11.66
例如：
白帽小冰提交过30个漏洞，其中4个高危，8个中危，10个低危，8个无效漏洞。那么他的漏洞价值应该是(25*4+15*8+3*10+1*8) /30≈8.6
某些悬赏项目会根据评分来邀请白帽加入测试。有其他问题，欢迎加入QQ群275463901 ，咨询SOBUG运营人员。
一份好报告能完美阐述问题和解决问题。完整填写【提交漏洞】页面的内容，带有完整有效重现步骤、修复方案。以下具体每项说明：
危害说明：说明如何利用漏洞，造成什么样的危害。支持插入代码段、图片。
漏洞类型：选择最贴合最先被利用的漏洞类型。
重现步骤：完整地具体写出你如何发现漏洞，漏洞的成因、危害，提供必要的PoC、payload。详细写出如何利用漏洞，对厂商用户造成危害。支持插入代码段、图片，可以全屏编辑。
修复建议：勾选某些漏洞类型，会自动生成对应的模板式修复建议，这些是通用的方案，针对性较弱，仅供参考。我们强烈建议大家写出针对性修复建议，更有效地帮助他人，节省开发人员的修复时间，加速漏洞处理的时间。另外有效的完整的修复建议，能提升你的报告评分，该评分将影响个人的漏洞质量指数。
SOBUG平台将对完整有效、完美解决问题的报告进行额外奖励。
一般正常有效的漏洞报告处理流程：
白帽提交漏洞个（待审核） --> 厂商查看并复现漏洞 --> 厂商审核漏洞（已审核，待修复）--> 厂商参考白帽的修复建议来处理漏洞 --> 厂商奖励白帽（已修复，立即奖励） --> 漏洞结束（图3-01）
若遇到重复漏洞：
待审核 --> 重复漏洞 --> 填写重复的漏洞编号 --> 漏洞结束（图3-02）
若遇到无效漏洞（无法重现 / 超出范围 / 无危害）：
待审核 --> 无法重现 / 超出范围 / 无危害 --> 漏洞结束（图3-03）
若遇到不完整的漏洞报告：
待审核 --> 不完整需补充 --> 等待白帽修改报告 --> 厂商重新审核（图3-04）
