小米10安全守卫战-单个漏洞奖励高达20w – 作者:小米安全中心-安全小百科

活动简介

用户对智能产品的安全要求是小米的首要责任，为此我们发布小米智能生活安全守护计划，该计划针对小米系列智能产品中可能存在的安全隐患，以互联网众测形式邀请广大网络安全专家、白帽团队、电子工程师、爱好者对设备进行安全测试，最大程度发现未知安全风险并对结果重金奖励的测试计划。

目标产品

小米10：小米公司2020年的旗舰手机，采用骁龙865处理器 / 1亿像素8K电影相机 / 双模5G / 新一代LPDDR5内存 / 对称式立体声 / 90Hz刷新率+180Hz采样率 / 适配Wi-Fi 6 /30W极速闪充+30W无线闪充 / 4780mAh大电量 / 多功能NFC

测试时间：2020年8月13日 – 2020年9月30日

测试 ROM 版本>= 12.0.4（能获取到的最新版rom）

测试浏览器版本 >= 12.6.22

活动规则

提交的漏洞需满足以下规则，经验证漏洞在规定的场景中真实有效，方可参与本次[小米10安全守卫战]奖金评估，漏洞提交地址：https://sec.xiaomi.com/submit/project/9

1、漏洞利用要求

（1）官方小米 10 稳定版ROM (版本 >= 12.0.4，能获取到的最新版rom)
（2）浏览器版本通过小米应用商店更新到最新版本 (版本 >= 12.6.22)
（3）保持默认的系统设置，或是正常使用手机的设置，无任何特殊改动
（4）不能申请和使用Accessibility权限
（5）外界未曝光细节与 POC 的 0day 漏洞（Chrome buglist 内公开漏洞不在奖励计划内）
（6）所有漏洞(包括root权限提升)在所有场景中只会判定有效一次，在其他场景或利用链中再次被使用，将被视为漏洞重复

2、交互定义说明

针对包括但不限于需要诱导用户点击链接、钓鱼邮件、诱导用户安装恶意应用等行为才能触发的安全漏洞。分为无交互、弱交互和强交互三种类型，具体说明如下：

3、漏洞验证方式

（1）白帽子需提交完整的漏洞利用报告，包括:
 ● 漏洞分析的详细报告，包括必要的调用链描述+截图
 ● 验证漏洞的poc，或exp 的源码+apk
 ● 存在多交互场景或者具备一定演示效果的，上传录制视频
（2）小米安全团队会在“漏洞利用要求”中提及的环境中复现漏洞
 ● 漏洞复现成功，会确认漏洞与攻击场景成立
 ● 漏洞复现失败，会对漏洞利用链中有效的漏洞进行单独折算奖励

4、漏洞有效性

（1）漏洞有效性以最先提交为准，后续提交的重复漏洞不纳入「小米 10 安全守卫战」奖励范围
（2）对于PoC链中存在多个漏洞的场景中，如果出现部分漏洞重复的情况，会对PoC链中非重复漏洞内容进行场景折算(如完整复现 POC 链中有 3 个漏洞，其中一项未重复，则奖励为完整奖励的 1/3)
(如担心漏洞重复，提交前可向[email protected]先行提供漏洞片段信息，提交小米安全团队进行确认)

奖励标准

本期活动漏洞影响范围如下（其他风险不纳入本次[小米 10 安全守卫战]，但仍依照MiSRC奖励标准进行相应的奖励）

奖金计算方法：相应奖励系数 x 交互奖励系数 + 挑战项（成功达成前提）

挑战项

通过未公开 0day 漏洞在任意场景可以获取小米10 root 权限（官方 root 工具除外），直接奖励 100,000 元奖金。

注意事项

（1）违反测试条款泄露漏洞细节危害用户安全的，小米有权拒绝对其奖金发放并追究其相关法律责任
（2）测试过程与项目结束后，请对漏洞报告中所有细节严格保密，如需要进行细节披露、PR、技术演讲/分享等行为，请联系 [email protected] 征求意见，违反者小米公司有权追究法律责任
（3）任何以测试为理由造成用户或者小米公司损失的，小米公司有权追究法律责任
（4）任何因测试规则与测试过程中产生的疑问可联系 [email protected] 协商解决
（5）小米安全中心在法律允许的范围内对本活动评判标准和规则拥有解释权与修改权