美团安全应急响应中心

美团SRC助力 | 你敢信，他们都来了！HPW白帽世界大会2026全议程发布

Wed, 06 May 2026 17:00:00 +0800

美团安全应急响应中心 2026-05-06 17:00 北京

顶尖AI安全红队亲自传授秘籍，HPW2026，所有议题一次解锁!

跳转微信打开

江湖征召令｜美团SRC专测活动进行中

Wed, 06 May 2026 17:00:00 +0800

美团安全应急响应中心 2026-05-06 17:00 北京

活动时间：2026年4月27日 - 5月20日

战场已开放，高额奖励已备好，只等各位白帽师傅前来破局。期待各位师傅大显身手，提交高质量的实战化漏洞报告！

活动时间：2026年4月27日 - 5月20日。

SECURITY

入侵类风险

活动奖励

符合以下要求的有效漏洞 3万元/个。

测试范围：美团所有对公网开放的业务系统与资产，控股公司视情况收录。

重点关注风险：

RCE 类命令执行、代码执行、表达式注入。

持久化控制Webshell 上传、后门植入。

凭证窃取获取 SSO 任意票据。

核心检验标准：

✅ 是否可直接获取服务器权限？

✅ 是否具备实现持续控制的条件？

✅ 是否可进行横向移动？

🎯 终极验证：利用获取的权限或票据，是否可以成功登录 网页版大象、KM、BI 系统。

SECURITY

AI与大模型风险

活动奖励

符合以下要求的有效漏洞 2倍安全币奖励。

测试范围：属于美团所有对公网开放的 AI 产品、AI 服务、智能体、插件体系等。

重点关注风险：

模型控制越狱 + 提示词注入导致的系统能力滥用、插件滥用。

沙箱突破沙箱逃逸、横向进入美团内网、利用模型能力访问内网资源、获取云凭证/内部接口访问能力。

敏感数据利用 AI 缺陷获取业务订单数据、合同/商户信息、内部系统信息。

核心检验标准：

✅ 是否突破了模型预设的能力边界？

✅ 是否造成了真实的业务数据泄露？

✅ 是否影响了模型自身的稳定性或可用性？

🎯 复现要求：攻击路径与效果必须 可稳定复现。

SECURITY

测试报备

由于本次活动涉及对核心业务及 AI 底层逻辑的深度测试，为了保障测试合规，避免引起安全防护系统的误报与拦截，请各位师傅务必遵守以下规范：

① 报备获取授权凭证

在进行涉及内网触达、沙箱逃逸等敏感操作前，请扫描下方二维码提交测试报备信息：

② 点到为止，即时熔断

实战测试请遵循"证明危害即止"的原则。一旦证明可成功获取内网权限或敏感数据，请立即停止操作并提交报告。严禁进行自动化内网扫描、破坏性测试或大规模数据下载。

SECURITY

测试注意事项

1.严禁使用大流量自动化扫描器，提倡高质量的手工深度测试。允许合理使用AI大模型辅助分析与逻辑挖掘，但需确保测试过程可控，且提交的漏洞必须经过真实环境的人工复现，拒绝未经测试验证的纯AI生成报告。

2.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

3.禁止邮件钓鱼社工；

4.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或 DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取（适用于全平台漏洞）；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：本活动与其他活动奖励不叠加。

— END —

跳转微信打开

江湖征召令｜美团SRC专测活动正式开启

Mon, 27 Apr 2026 10:08:00 +0800

美团安全应急响应中心 2026-04-27 10:08 北京

活动时间：2026年4月27日 - 5月20日

战场已开放，高额奖励已备好，只等各位白帽师傅前来破局。期待各位师傅大显身手，提交高质量的实战化漏洞报告！

活动时间：2026年4月27日 - 5月20日。

SECURITY

入侵类风险

活动奖励

符合以下要求的有效漏洞 3万元/个。

测试范围：美团所有对公网开放的业务系统与资产，控股公司视情况收录。

重点关注风险：

RCE 类命令执行、代码执行、表达式注入。

持久化控制Webshell 上传、后门植入。

凭证窃取获取 SSO 任意票据。

核心检验标准：

✅ 是否可直接获取服务器权限？

✅ 是否具备实现持续控制的条件？

✅ 是否可进行横向移动？

🎯 终极验证：利用获取的权限或票据，是否可以成功登录 网页版大象、KM、BI 系统。

SECURITY

AI与大模型风险

活动奖励

符合以下要求的有效漏洞 2倍安全币奖励。

测试范围：属于美团所有对公网开放的 AI 产品、AI 服务、智能体、插件体系等。

重点关注风险：

模型控制越狱 + 提示词注入导致的系统能力滥用、插件滥用。

沙箱突破沙箱逃逸、横向进入美团内网、利用模型能力访问内网资源、获取云凭证/内部接口访问能力。

敏感数据利用 AI 缺陷获取业务订单数据、合同/商户信息、内部系统信息。

核心检验标准：

✅ 是否突破了模型预设的能力边界？

✅ 是否造成了真实的业务数据泄露？

✅ 是否影响了模型自身的稳定性或可用性？

🎯 复现要求：攻击路径与效果必须 可稳定复现。

SECURITY

测试报备

由于本次活动涉及对核心业务及 AI 底层逻辑的深度测试，为了保障测试合规，避免引起安全防护系统的误报与拦截，请各位师傅务必遵守以下规范：

① 报备获取授权凭证

在进行涉及内网触达、沙箱逃逸等敏感操作前，请扫描下方二维码提交测试报备信息：

② 点到为止，即时熔断

SECURITY

测试注意事项

1.严禁用扫描器或其他自动化工具，只允许手工测试；

2.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

3.禁止邮件钓鱼社工；

4.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或 DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：本活动与其他活动奖励不叠加。

— END —

跳转微信打开

美团SRC发布｜AI生成漏洞报告提交规范公告

Fri, 24 Apr 2026 14:23:00 +0800

美团安全应急响应中心 2026-04-24 14:23 北京

请白帽师傅们在提交报告时恪守本文规范

各位白帽师傅好：

随着大模型能力的日益增强，利用AI工具辅助或自动化挖掘漏洞已成为安全研究的新趋势。近期，平台收到了一些由AI协助发现的高质量漏洞报告，但同时也面临着大量未经人工验证的无效报告，甚至是被AI"幻觉"误导而产生的误报。

为了合理分配审核资源，确保平台审核团队能聚焦于真实、有效的漏洞，同时维护良好的白帽社区生态，美团安全应急响应中心（MTSRC）联合30+SRC共同发布《AI生成漏洞报告提交规范》。请白帽师傅们在提交报告时恪守以下规范，确保信息完整、描述准确、可复现验证：

鼓励AI使用

美团安全应急响应中心（MTSRC）积极鼓励白帽子利用AI工具辅助或自动化挖掘漏洞，提升发现漏洞的效率，挖掘更多潜在风险。

严格人工验证

对于AI辅助或自动化挖掘产出的漏洞报告，提交前务必进行人工验证。请确保您已完成对报告真实性与危害性的评估和复现，并在报告中详细提供人工验证结果，包括但不限于：

✅ 漏洞危害说明
✅ 详细复现步骤
✅ 完整的 POC
✅ 关键步骤及结果截图

无效报告处理

对于直接由AI生成、未经人工复现或未提供有效验证结果截图的报告，平台将直接予以驳回，且不提供驳回原因说明。

注意

违规报告处置

对于累计提交超过 3个 AI生成报告且未经上报者人工验证报告有效性的白帽子，平台将提醒您的行为；

对于累计提交超过 5个 AI生成报告且未经上报者人工验证报告有效性的白帽子，平台有权拉黑您在美团安全应急响应中心（MTSRC）的账号。

我们深知AI技术正在深刻改变安全研究的方式与效率，但高质量的漏洞报告目前还离不开人的判断与责任感。希望广大白帽子在享受技术红利的同时，严守技术伦理，坚守质量底线，共同维护一个专业、高效、可持续发展的漏洞披露与交流平台。

感谢您一直以来对美团安全应急响应中心（MTSRC）的支持与信任。

参与该处置公告的 SRC 组织

美团SRC、阿里云先知平台、蚂蚁SRC、腾讯SRC、百度SRC、字节SRC、京东SRC、滴滴SRC、快手SRC、深信服SRC、携程SRC、顺丰SRC、度小满SRC、BOSS直聘SRC、荣耀SRC、智联招聘SRC、科大讯飞SRC、中通SRC、小红书SRC、货拉拉SRC、小拉SRC、小鹏汽车SRC、理想汽车SRC、奇富SRC、陌陌SRC、vivoSRC、360SRC、OPPO安全中心、小米安全中心、补天漏洞响应平台、360漏洞云、BUGBANK、太初众测平台

（排名不分先后）

📢 美团SRC 重申

为共同守护安全、有序的测试环境，保护平台业务与用户数据安全，美团SRC 在此向各位白帽师傅重申漏洞测试规范，请合法合规开展测试，共同营造良好的安全生态。

END

跳转微信打开

致敬代码背后的守护者，美团SRC 2025年度荣誉答谢

Thu, 22 Jan 2026 19:21:00 +0800

2026-01-22 19:21 北京

一份关于技术与荣誉的年度总结

阅读原文

跳转微信打开

热招｜美团安全邀你共赴新征途！

Thu, 11 Dec 2025 12:18:00 +0800

2025-12-11 12:18 北京

欢迎你的加入，让我们奔赴热爱，无畏山海，共筑安全长城。

工作地点

北京市

岗位职责

1. 担任安全运营角色，协助业务线提供解决方案和能力;

2. 基于业务场景，提炼数据模型，挖掘数据价值，推动改善产品功能和提升运营效率；

3. 和其他技术、运营团队合作，优化数据处理流程、算法和策略。

岗位基本需求

1. 熟练掌握SQL基本功，擅长使用Python或BI工具（必须）；

2. 具备可拆解复杂问题并提供解决方案的能力，应对风险事件具备应急处理能力；

3. 至少主导过1-2个完整运营项目（如活动策划、用户分层体系），需提供可量化的成果；

4. 理解开发逻辑，能与技术团队高效沟通，具备ETL流程经验者优先；

5. 数据安全意识强。

岗位亮点

核心部门，公司重点项目，可支配资源丰富，发挥空间广阔。

工作地点

北京市，上海市

岗位职责

1. 负责美团反爬风控能力建设和运营，向业务线提供基于服务端及各类前端（APP、小程序、H5等）的反爬防护能力；

2. 负责持续发现和对抗线上各类爬虫攻击，保护业务数据资产不被大批量获取，并持续跟进爬虫情报分析溯源；

3. 调研及应用各类的反爬相关安全能力及解决方案，并结合美团业务线实际情况，制定长短期建设规划；

4. 协调各安全协同团队和业务侧，提升反爬的纵深防御以及安全运营的效率，并持续优化迭代。

岗位基本需求

1. 本科及以上学历，3年以上反爬或流量安全相关工作经验；

2. 有长期反爬对抗经验，对于反爬常见的防御措施（策略、前端、API、行为、产品形态等任一）有深入理解；

3. 具备较强的风险洞察能力和责任心，能够根据业务诉求，评估风险严重程度并制定解决方案；

4. 具备良好的沟通能力和项目推进能力，能主动协调多部门成员，建设项目效果衡量指标，确保方案高效落地。

具备以下者优先

1. 有大型互联网公司反爬建设和运营者经验；

2. 有高强度风控领域对抗经验，深入理解各类型风控防御措施，并能够灵活应用；

3. 有账号安全、移动安全、数据挖掘算法等经验者优先。

岗位亮点

1. 参与外卖等核心业务的反爬防护工作，面临多方面的挑战，包括巨大的流量、快速的对抗、激烈的攻防节奏等；

2. 为业务发展提供关键的数据防护能力，受到业务和公司的高度关注和认可。

工作地点

上海市，北京市

岗位职责

1. 根据各类爬虫特点，应用机器学习&深度学习&AI技术，针对海量信息，解决业务痛点,保障业务健康发展；

2. 基于各类行为数据、业务数据、设备指纹数据等，通过算法有效赋能，有效刻画用户/商户/设备的风险服务；

3. 根据分析结果设计解决方案，完成模型的选取、训练、测试和上线以及后续模型的优化。

岗位基本需求

1. 良好的数据结构和算法基础，熟练掌握C/C++/Python/Java/Shell等编程语言（其中之一）；

2. 熟悉常用的数据挖掘与机器学习算法，对算法原理、实现、优化有较深入了解；精通传统机器学习中的聚类/分类或者深度学习中的至少一种算法，用至少一种算法在以下任一领域有过比较突出的产出，如：推荐、广告、NLP、图像识别，有异常点检测相关经验尤佳；

3. 业务理解能力强，对数据有较高敏感度，逻辑思维能力强，有较强的独立思考能力。

4. 优秀的沟通表达能力和组织协调能力，能够快速掌握工作领域的业务和技术；

5. 熟悉AI技术（含RAG、SFT）及应用，有核心工作链路AI落地经验（可不考虑对传统算法的要求）。

具备以下者优先

1. 有大公司/风控相关工作经历者优先，有深度学习在风控中的应用经验者优先；

2. 有发表过高质量的会议或期刊论文者优先。

岗位亮点

1. 参与大型反爬系统的建设，体验并掌握各个环节的核心技术要素；

2. 反爬业务正在高速发展，目前面临多方面的挑战，包括巨大的流量、快速的对抗、激烈的攻防节奏、不断迭代的系统和策略，相信你来之后能跟团队一起快速成长；

3. 风控核心算法的设计与开发以及后续的优化工作，可以给算法爱好者很好的发挥空间，百亿级的数据让你在数据的海洋里翱翔。

工作地点

北京市，上海市

岗位职责

1. 参与日常红蓝对抗演练活动，分析防守方薄弱点，以攻促防；

2. 研究反爬领域的对抗技术，从攻防视角设计方案，持续提高反爬水位；

3. 参与体系化对抗系统建设、自动化武器设计与对内部赋能；

4. 业界爬虫前沿对抗思路研究、探索、设计、落地。

岗位基本需求

1. 本科及以上学历，网络安全，计算机相关专业，熟悉Android开发；

2. 精通爬虫客户端对抗思路，包括不限于APP、浏览器、小程序等多客户端，了解客户端的指纹实现，会话认证机制，点击触摸模拟、人机识别（图形、语音）；

3. 精通反爬系统风控策略，从协议、行为模拟、真人化、好人化等多角度识别定位绕过防御系统；

4. 熟悉Android Hook原理，熟悉常见Xposed、LSPosed、Magisk、Frida等HOOK工具；

5. 掌握常见的动态静态分析技巧，熟练使用IDA、Ghidra、Jeb和Jadx等常用工具对程序进行分析；

6. 熟悉iOS客户端对抗知识，掌握软件静态分析、动态调试、协议抓包、HOOK技术原理、HOOK框架应用。

具备以下者优先

1. 拥有大厂APP风控、终端对抗经验优先；

2. 具备一定的渗透测试能力，有CTF比赛或SRC提交漏洞等相关经历。

岗位亮点

1. 参与核心业务的红蓝对抗演练工作，快速提升反爬对抗思路，提升端侧逆向对抗经验，提升策略风控专业与经验。

工作地点

北京市，上海市

岗位职责

1. 分析常见的黑产工具、作弊软件等，复盘攻击手法和攻击路径，迭代防御策略；

2. 挖掘针对美团重点业务场景的黑灰产业链，对关键链路进行监控，分析产业链运转/盈利模式/规模等，构建全局视野；

3. 对针对美团的头部黑灰产进行溯源，并协助相关部门进行取证打击。

岗位基本需求

1. 熟练掌握Web攻防、移动安全、大数据分析等能力之一；

2. 掌握至少1门主要开发语言（Python/Golang/PHP等）；

3. 掌握基础的数据分析挖掘能力（HiveSQL/MongoDB等）；

4. 思路清晰，善于主动思考，有创新、能独立分析和解决问题，具有良好的沟通能力和团队合作精神。

具备以下者优先

1. 具有三年以上业务安全/反欺诈/反爬虫/黑灰产/威胁情报等背景工作经验；

2. 具有敏锐的风险洞察力和数据分析能力，能够快速对数据进行关联分析，具有黑灰产团伙技术溯源、打击支持的案例及相关经验；

3. 有过往蓝军经验或SRC核心白帽子，擅长A PP/小程序/Web漏洞挖掘。

岗位亮点

1. 通过情报和黑产攻击视角赋能公司核心业务的风险治理；

2. 参与建设大型情报监控/分析平台及运营工作，持续打磨最佳实践，成为该领域的优秀人才。

工作地点

上海市，北京市

岗位职责

1.负责美团信息安全部内容安全防控职责，主攻底线内容安全风险治理，理解业务并解决实际问题；

2.负责优化内容安全通用多模态模型、大语言模型，服务美团全平台内容业务，判别、挖掘有害内容；

3.负责优化内容安全模型体系，提升模型单位产出效率。

岗位基本需求

1.硕士及以上学历，机器学习、深度学习、计算机科学、通信工程、电子工程、自动化等相关专业;

2.熟练使用C++/Java等编程语言，熟练使用Hadoop/Spark等大数据开发工具；

3.了解TensorFlow/Pytorch/ONNX等至少一个框架的底层实现者优先；有CUDA优化、SIMD开发经验者优先；

4.强烈的技术热情和学习欲望，希望能够树立行业影响力;

5.强烈的自驱力与责任感，对技术驱动业务有不懈追求，并善于通过沟通协作达成目标；

6.理解常用数据结构，掌握机器学习/计算机视觉/自然语言处理/数据挖掘中至少一个领域的算法原理。

具备以下者优先

1.超过2年互联网搜索/推荐、内容理解、信息安全或相关领域的工作者优先;

2.有成果发表在国际顶级会议、期刊者优先，有在权威比赛中取得优异成绩者优先;

3.有开源社区项目贡献者优先。

岗位亮点

1.我们有核心的业务场景，你可以全身心地投入大安全+人工智能的时代浪潮中，建设业界卓越的安全产品、算法；

2.我们有挑战性的技术愿景，如：超大规模向量检索、大规模预训练、垂类知识图谱等；

3.我们有开放、直接的工作氛围，以逻辑和事实说话，而不是岗位级别和层级，我们尊重知识和常识。

工作地点

上海市

岗位职责

1. 社区风控的算法策略体系搭建：根据各类作弊场景，应用机器学习、深度学习、大模型技术，挖掘风险特征、建立模型、识别风险，为风险识别的准召和稳定性负责。涉及风险领域包括评价风控、笔记风控、互动风控、榜单风控等；

2. 算法部署落地：与产品、开发团队合作，将开发的算法集成到公司的业务系统中。参与系统的测试和上线，确保算法在实际环境中的有效性和稳定性；

3. 报告与沟通：与业务部门合作，提供风险管理方面的技术支持和建议，确保开发的算法恰当落地应用于业务生产环节中。并生成风险分析数据看板和报告，向管理层汇报风险状况和控制效果。

岗位基本需求

1. 本科以上学历；

2. 有三年以上数据挖掘、机器学习、深度学习相关经验。至少对图算法、序列算法、传统机器学习算法、大模型应用中的一种有深入研究和应用；

3. 熟练使用SQL、Python等工具，能够进行有效的数据处理、统计、分析、建模等工作；

4. 业务理解能力强，对数据有较高敏感度；

5. 具备一定的沟通和影响能力。

具备以下者优先

1. 大型互联网公司安全相关工作经历者优先；

2. 熟悉黑产生态，有黑产作弊攻防经验者优先。

岗位亮点

1. 有海量的数据和复杂的生活服务落地场景；

2. 与安全领域的算法大牛一起学习工作，持续进步；

3. 期待一起做对社会有价值的事情，帮助人们吃得更好、生活更好。

工作地点

北京市

岗位职责

1. 负责解决各业务线各类作弊问题，对美团关键业务相关数据抽象梳理，同时结合有效的算法模型，挖掘风险特征，制定有效的反作弊策略，持续优化策略效果；

2. 调研各类算法与模型，识别作弊与异常发现，快速找到有效特征，沉淀能用的技术能力，支持产品、运营解决实际作弊问题（含大模型落地方向）。

岗位基本需求

1. 有扎实的机器学习算法或数据挖掘理论基础、并在反作弊、异常检测、社区发现、知识图谱等至少一个领域有较深入的理论研究和实践经验；

2. 至少熟练使用python、java、C++中一种编程语言，熟练运用多种常用算法与数据结构；

3. 熟悉各类常见作弊手段，有互联网相关风控反作弊策略和模型设计等工作经验者优先；

4. 具备优秀的逻辑思维能力，对解决挑战性问题充满热情，善于分析、解决问题。

岗位亮点

1. 核心本地商业业务群核心业务之一，成长空间大，技术挑战大；

2. 与业务方合作紧密，能够深入了解电商类业务的全链路；

3. 有机会探索前沿技术领域和研究方向，并快速落地取得业务收益（大模型落地为重点方向之一）。

工作地点

北京市，上海市，成都市

岗位职责

1. 基于风控等团队反馈的作弊case，还原攻击手法，找到特征并进行快速补防；

2. 基于攻击case和手法进行总结，定义当前主要矛盾以及防御短板，协同进行安全方案的正向建设。

岗位基本需求

1. 熟悉业界移动端安全产品的技术架构，具备移动端设备指纹、风险对抗及检测相关工作经验；

2. 熟悉移动端主要的攻防手段，熟悉黑灰常见攻击手法；

3. 熟悉Android或iOS系统原理、主要Root、注入等相关工具底层实现原理；

4. 具备较好的逻辑思维能力、沟通能力、解决问题能力、学习能力及团队合作精神。

具备以下者优先

1. 有移动端风控、反爬领域攻防经验；

岗位亮点

1. 核心服务，服务全公司业务，挑战大机会多；

2. 直面一线攻防对抗，成长快。

工作地点

北京市、巴西

岗位职责
1. 负责Keeta风控策略工作，包括但不限于风险特征挖掘、策略生产与维护、客诉数据分析；
2. 与业务团队协同，提供方案风险评估、监控线上风险变化并推动业务共同完善对抗能力落地；
3. 对于线上突发风险进行应急响应，第一时间定位问题并协调团队内部资源进行快速止损；
4. 沉淀风控基建能力，推动产研、算法共同优化系统、模型能力，持续完善风控体系的健壮程度。
岗位基本需求
1. 本科及以上学历，思维逻辑好，有一定sql和数据分析能力，有风控经验加分；
2. 能够熟练使用英语进行工作交流，可接受长期差旅；
3. 较强的协作能力，能够与业务团队、产研团队保持紧密协同，达成风控目标；
4. 具备业务思维，能够主动了解业务流程与业务目标，并能够根据业务变化灵活调整风控尺度；
5. 风险意识强，掌握风险研判、分析、管控相关的技能，并具备较强的学习能力。
具备以下者优先
境外风控经验--英语--可接受长期出差或 base 境外。
岗位亮点
创业型业务，国际化视野，面向更复杂的环境、语言、文化、习惯等挑战，你的策略方案，可以从全局得到锻炼与成长。

工作地点

北京市

岗位职责
1. 通过海量O2O场景数据，挖掘风险特征，制定业务解决方案，平衡风险管控和服务体验；
2. 结合风控核心指标与业务核心指标，定量分析处理问题，与业务团队协同，提供方案风险评估、监控线上风险变化并推动业务共同完善对抗能力落地，对风控策略和管控流程进行优化；
3. 对于线上突发风险进行应急响应，第一时间定位问题并协调团队内部资源进行快速止损；
4. 沉淀风控基建能力，推动产研、算法共同优化系统、模型能力，持续完善风控体系的健壮程度。
岗位基本需求
1. 本科学历，3年及以上策略产品或数据分析工作经验；
2. 具备较强的风险洞察能力和责任心，能够结合业务诉求，评估风险严重程度并制定解决方案，推进项目落实、规避风险；
3. 业务理解能力强，对数据有较高敏感度，逻辑思维能力强；
4. 具备良好的沟通能力、项目推进能力，能主动协调多部门成员，建设项目效果衡量指标，确保方案高效落地，达到预期成果并持续优化。
具备以下者优先
有主导行业优秀风控解决方案建设的经验优先；
拥有OTA、酒旅从业经验者优先。
岗位亮点
1. 酒旅业务作为美团旗舰业务，机会多、挑战大，可跟随业务发展快速成长；
2. 深耕OTA酒店业务场景，主导复杂业务场景的风控系统建设；
3. 面向行业前沿，接触业务场景广泛，成为独当一面的风控专家。

工作地点

北京市，上海市

岗位职责

1. 负责以AI大模型为主内容安全策略的产品设计，构建并优化大模型输出风险内容的审核与过滤机制；

2. 深入理解平台内容管控政策，洞察内容安全风险，提出策略体系防控主链路的改进建议；

3. 结合美团业务不同阶段发展需要及场景特性，设计分层、弹性的防控方案，平衡业务正向价值和安全水位；

4. 协同算法、技术、运营、法务等团队，及时推动策略落地并跟踪监控执行效果。

岗位基本需求

1. 本科及以上学历，理工科优先；

2. 熟练掌握SQL。熟悉Python，及常用机器学习算法优先；

3. 3年及以上内容安全从业经验，熟悉审核全链路。有大模型、Agent在垂直领域应用经验者优先；

4. 具备较强的逻辑思维和问题归纳能力，善于将复杂问题拆解为一系列简单问题。能够从宏观视角制定清晰的目标。

岗位亮点

1. 我们有开放、直接的工作氛围，以逻辑和事实说话，而不是岗位级别和层级，我们尊重知识和常识；

2. 我们有核心的业务场景，你可以全身心地投入安全+人工智能的时代浪潮中，建设业界卓越的内容安全解决方案。

工作地点

北京市，上海市

岗位职责

1. 负责设计、推动和执行落地领域垂类多Agent协作工作流落地；

2. 与算法、工程职能协作，推动高频重复运营动作AI产品；

3. 建设内容安全核心数据资产，包括不限于领知识库、样本库，持续运营数据资产质量和规模，驱动内容安全防控能力良性循环。

岗位基本需求

1. 极强的好奇心和动手改变局面的欲望，思维逻辑性较强；

2. 工科，对机器学习/深度学习有基础理解，能与工程师进行高效对话；

3. 对于Agent/Workflow有动手经验和个人见解，善用SOP、Benchmark牵引进展；

4. 具备数据敏感度和分析能力，熟练使用数据分析工具；

5. 有在大型内容平台工作经验者优先；

6. 具备强烈的风险预判和管控意识；

7. 有项目管理经验，具备较强的沟通、协调能力，推动跨部门协作达成共识。

具备以下者优先

垂直场景AI落地经验；

大模型安全防护经验；

境外内容安全经验。

岗位亮点

1. 我们有开放、直接的工作氛围，以逻辑和事实说话，而不是岗位级别和层级，我们尊重知识和常识；

2. 我们有核心的业务场景，你可以全身心地投入安全+人工智能的时代浪潮中，建设业界卓越的内容安全解决方案；

3. 内容安全识别是复杂的认知理解问题，涉及模式识别、逻辑推理、认知决策等具体任务。内容安全业务仍将长期处于机器智能与领域专家伴生的阶段，如何处理场景内人机协同问题，需要结合具体场景归纳/演绎并试错。

美团安全致力于建设业界卓越的安全团队，落地更多业界认可的实践，同时助力业务奔跑。

欢迎你的加入，让我们奔赴热爱，无畏山海，共筑安全长城。

阅读原文

跳转微信打开

活动｜秋日“挖洞”季，邀您来测！

Wed, 24 Sep 2025 18:37:00 +0800

2025-09-24 18:37 北京

内含中秋礼品福利！请及时更新平台默认收货地址哦！

1.严禁用扫描器或其他自动化工具，只允许手工测试；

2.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

3.禁止邮件钓鱼社工；

4.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取（适用于全平台漏洞）；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

阅读原文

跳转微信打开

活动｜Keeta安全专测英雄帖：邀您洞见非凡，守护新域！

Thu, 21 Aug 2025 18:30:00 +0800

2025-08-21 18:30 北京

活动时间：2025年8月22日-9月5日

为进一步提升Keeta业务的安全性，保障全球用户数据与隐私，我们特发起「Keeta业务专测活动」。诚邀各位安全研究者共同参与，挖掘潜在安全风险，共建安全生态。

活动范围

opcenter-**.mykeeta.com
courier-**.mykeeta.com
merchant-**.mykeeta.com
fooddelivery-**.mykeeta.com
passport-**.mykeeta.com
Keeta APP

以及其他Keeta C端/商家端/骑手端/管理端等，不包括Keemart、充电宝等海外业务。

报告标题请注明【Keeta专测】，未标注无法发放奖励。

活动时间

2025年8月22日-9月5日

活动奖励

奖励范围内的漏洞类型2倍安全币奖励

奖励范围

1.典型的Web漏洞，包括但不限于：SQL注入、SSRF、XSS、RCE等；

2.导致大量数据泄漏的未授权访问、越权查询等API漏洞；

3.导致任意账号盗用/个人信息泄漏的逻辑或技术漏洞；

4.App端的典型漏洞，如信息泄漏风险、组件暴露风险。

除上述类型外，以下类型漏洞将视情况不翻倍奖励或不收取，敬请留意：

商家端/骑手端的写操作越权：如越权修改其他商家活动配置等，但实际业务影响有限的问题；
无实际传播利用场景的XSS：如在图片上传等入口注入但无法主动触达和影响其他用户的XSS；
非敏感信息泄漏：如不包含敏感数据的系统配置信息、无实际价值的常规报错信息泄露等。

必读规范

1.严禁以任何形式保存、传播与业务相关的任何敏感数据，包括但不限于从业务服务器、Github等平台获取的源代码、运营数据、用户个人信息等。如测试中涉及个人信息泄露，请在漏洞报告中进行脱敏处理（如对关键信息打码），严禁将原始数据直接写入报告。若在测试过程中不慎下载了敏感数据，请立即删除并在提交报告时主动说明情况；

2.严禁用扫描器或其他自动化工具，只允许手工测试；

3.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

4.禁止邮件钓鱼社工；

5.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

6.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

7.禁止网络拒绝服务（DoS 或DDoS）测试；

8.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

9.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

10.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

11.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

12.获取网站的权限时，禁止修改代码文件或植入后门等操作；

13.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

14.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取（适用于全平台漏洞）；

15.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

16.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

测试高压线

详见本次推送次图文《美团安全应急响应中心漏洞测试高压线V2.0》。

阅读原文

跳转微信打开

美团安全应急响应中心漏洞测试高压线V2.0

Thu, 21 Aug 2025 18:30:00 +0800

2025-08-21 18:30 北京

为帮助所有白帽子在美团SRC测试过程中规避违规风险，保护平台和白帽子的安全和利益，确保平台漏洞奖励机制得以良性运作，美团安全应急响应中心发布《漏洞测试高压线V2.0》。

大家好：为帮助所有白帽子在美团SRC测试过程中规避违规风险，保护平台和白帽子的安全和利益，确保平台漏洞奖励机制得以良性运作，美团安全应急响应中心发布《漏洞测试高压线V2.0》，请各位白帽子仔细阅读并在今后的测试中避免违规操作。即日起，本规则正式生效，原V1.0版本同步废止。本规则将根据实际情况不定期动态调整，以确保其有效性和适应性。请大家定期关注美团SRC官网公告，及时了解规则变化。

一般违规行为

1、非美团官方渠道获取的美团账号进行测试，包括但不限于借用、租赁或购买的美团账号；

2、使用“安全专测”活动提供的测试账号，测试非活动范围的业务；

3、篡改专测账号信息，包括但不限于修改绑定手机、密码、添加子账号、修改关联门店等；

4、修改真实业务数据、引起客诉事件或业务投诉，如越权修改配置、未授权接口访问行为等；

5、使用不当言论作为测试用例，包括但不限于涉政、涉黄或侮辱性内容；

6、对线上业务系统实施DOS攻击测试；

7、使用自动化工具对美团资产进行高频漏洞扫描，如自动化漏洞扫描器；

8、未经美团SRC书面批准，在任何场合传播/讨论漏洞基础属性信息，包括但不限于：漏洞存在性声明、漏洞评级、奖励金额或发放状态、漏洞处置进度等）；

9、借用或共用美团SRC账号。

一般违规行为处理

1、对违规人员予以警告，并对相关漏洞进行降级处理；

2、累计发生三次（含三次）一般违规行为，即升级为严重违规行为，按严重违规行为进行处理；

3、美团SRC有权回收相关测试账号；

4、对于情节严重的违规行为，美团保留追究法律责任的权利。

严重违规行为

1、未经批准，擅测“*.sankuai.com”域名、或需美团SSO账号登录的站点（须提前联系SRC运营报备：提供测试范围、测试账号、测试时间、测试IP、联系手机号进行申请测试，收到授权后可进行测试）；

2、针对未开放注册的美团账号（如员工账号、合作商账号等），获取账号账密凭证并证明可以成功登陆即可，无需进一步证明，如未经批准，进一步测试，视为违规行为；

3、修改、影响线上业务数据，或引起大量客诉事件或引起业务运行事故（包括越权修改数据、未授权接口访问行为、扫描器违规扫描等）；

4、使用/盗用他人账号进行测试；

5、遍历敏感数据（包括但不限于：个人敏感信息，如手机、住址、银行卡信息等；公司及业务商业数据，任何可用于用户身份鉴权和登陆的相关凭证）实际获取数量超过50条（含SQL注入获取数据）；

6、保存/二次利用测试所得的敏感数据；

7、未经美团SRC书面批准，披露可能被直接利用的技术细节，包括但不限于：漏洞验证过程录屏/截图、漏洞利用代码（POC/EXP）、敏感接口地址及参数构造方法、安全防护绕过技术、未修复漏洞的复现步骤、漏洞报告内容等；

8、上传恶意文件/木马，进行内网扫描等影响美团基础服务的行为；

9、以测试漏洞为名，在测试过程中利用漏洞/情报获取利益；

10、使用小号提交漏洞，小号指同一自然人在美团SRC平台非唯一使用的账号，具体定义为：a) 同一自然人注册或实际控制多个账号（包括但不限于通过不同手机号/邮箱注册）；b) 使用未完成[人脸识别+银行卡四要素认证]的账号提交漏洞；c) 多个账号绑定相同银行卡/身份证信息。

严重违规行为处理

1、视情节严重情况，扣除单个至多个核心严重最高级别安全币及贡献值；

2、累计发生两次（含两次）严重违规行为，扣除平台所有安全币及贡献值，并取消当年全季度/年度奖励参评资格；

3、美团SRC有权回收相关测试账号；

4、对于情节严重的违规行为，美团保留追究法律责任的权利。

感谢大家的理解与支持，规则不是限制，而是建立双方信任的基石——当测试行为在阳光下进行时，漏洞修复速度与质量同步提升，专业价值将获得充分尊重。

漏洞提交

美团SRC：security.meituan.com

阅读原文

跳转微信打开

筑牢AI防线，大模型安全专测活动已开启！

Mon, 09 Jun 2025 10:01:00 +0800

2025-06-09 10:01 北京

活动时间：6月9日-6月22日

美团自主研发、基于大模型技术的AI产品，包括但不限于Wow、妙刷，以及美团各业务线或产品中内嵌的AI服务。

符合下方奖励范围内的漏洞，2倍安全币奖励。将依据最终对模型与对话、业务系统的影响，辅助数据泄漏量级与敏感程度等，对漏洞等级做评定。传统安全风险，无额外安全币奖励。

通过模型窃取、模型逆向等手法提取模型权重、参数、训练数据，且重建一个功能等效的模型；
结合越狱攻击和提示词注入，可造成命令执行、任意文件读写等入侵类情况发生；
结合越狱攻击和提示词注入，可造成未授权/越权访问，并进一步获取美团敏感数据，包括不限于：个人身份信息（PII）、合同与业务订单等敏感信息等；
利用大模型三方供应链组件漏洞，实现对模型篡改、业务系统权限获取等；
通过LLM劫持攻击获取模型云凭证，造成大量非法预期访问。
利用接口或模型漏洞使模型消耗异常多的资源，使模型质量严重下降甚至不可用；
利用对抗性攻击生成对抗样本，实质性干扰模型会话、生成、预测效果；
结合越狱攻击和提示词注入造成XSS、SSRF等风险；
通过加载自定义智能体及插件引发的安全漏洞。

注：本次活动暂不收录涉及内容安全风险的报告，包括但不限于通过越狱、提示词注入等方式，利用大模型实现违反伦理性、事实性、法律合规性、隐私安全、暴力与仇恨、健康安全及审查敏感性等相关维度的漏洞。

如发现不在上述奖励范围内但依然涉及大模型安全漏洞的情形，欢迎正常提交报告，平台审核团队将根据漏洞的实际影响范围进行审核与后续处理。

标题请注明【大模型专测】

1.严禁用扫描器或其他自动化工具，只允许手工测试；

2.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

3.禁止邮件钓鱼社工；

4.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取（适用于全平台漏洞）；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

1.测试过程中，触犯一般违规行为，平台将进行提醒/警告；

2.测试过程中，触犯严重违规行为，对涉及的漏洞进行安全币及贡献值清零处理；

3.在已收到平台关于一般违规行为的三次提醒/警告（含三次）后，测试人员仍执行违规测试操作，对涉及的漏洞进行安全币及贡献值清零处理；

4.一个季度内，因违规行为，被扣除漏洞奖励两次（含两次），本季度内全部漏洞安全币及贡献值清零，取消当季度排名奖励；

5.对于情节严重违规行为，美团SRC保留追究法律责任的权利。

阅读原文

跳转微信打开

报名 | 美团技术沙龙【AI+安全：智能技术在安全领域的应用探索】

Thu, 29 May 2025 12:03:00 +0800

2025-05-29 12:03 北京

6月19日（周四） 14:00 - 17:30，线上直播，快来报名吧

【美团技术沙龙】由美团技术团队和美团科协主办，每期沙龙邀请美团及其他互联网公司的技术专家分享来自一线的实践经验，覆盖各主要技术领域。从2015年7月举办第一期至今，已经吸引了十万多名工程师参会。

本期活动由清华大学-美团数字生活联合研究院和深圳市美团机器人研究院联合出品。

扫码立即报名

活动时间：2025年6月19日（周四） 14:00 - 17:30

活动地址：活动开始之前会发短信通知直播链接（文末附群二维码，可提前入群）。

本次沙龙聚焦AI安全领域创新实践，美团技术专家将分享AI驱动的威胁情报分析、智能数据治理和自动化漏洞挖掘等实战经验。我们特别邀请到南京大学许封元教授分享数据与智能安全，探讨可信计算架构、数据质量评估和LLM辅助分析等前沿技术。

欢迎对AI安全感兴趣的同学报名参与，一起交流。

/ 出品人 /明建，美团研究员

资深网络安全专家，长期关注前沿安全技术发展与行业生态建设。

e1knot，美团技术专家

负责入侵检测和安全运营的平台建设与功能设计。

分享议题：《基于 AI Agent 的 APT 情报运营能力建设》

该议题将深入探讨基于 AI Agent 技术在高级持续性威胁(APT)情报领域的创新应用与实践落地。将通过实际案例，展示如何从零开始基于 NLP 等技术构建一套 APT 外部攻击情报分析基础设施并基于 AI Agent 重塑威胁情报运营模式，为安全团队提供从"数据"到"洞察"的端到端智能解决方案。

许封元，南京大学计算机学院教授

软件新技术全国重点实验室学术骨干，国家级青年人才，江苏“双创人才”，江苏六大人才高峰入选者，微软“铸星计划”学者。从事智能化安全的研究，现聚焦在安全领域AI智能体设计、隐私安全的终端用户AI助理、基于TEE的可信数据空间等。主持国家重点研发计划课题等多个国家级项目，发表CCS、S&P、MobiCom、WWW、SIGIR、CVPR、TMC、TPDS等CCF-A类会议期刊40余篇，获安全领域CCF-A类会议CCS 2022最佳论文提名奖，获授权10余项中/美/国际专利并许可发明专利两项，主持和参与多项国标、获奖团标。指导的学生荣获中国中文信息学会优博论文奖、江苏省计算机学会优秀博士论文奖、ACM中国嵌入式系统专委会优博，以及多个国际会议最佳学生论文奖。

分享议题：《数据与智能安全》

AI时代的到来让计算对数据的利用水平和渴求程度达到了全新的高度。但诸多安全方面的担忧和威胁事实上阻碍着AI的落地和应用。在系统基座层面缺少智能计算友好的安全保障，在数据共享层面缺少多源异构数据的质量评估，在模型应用层面缺少领域化高鲁棒的LLM辅助工具。这次报告将介绍一下我们在这三个层面做的一些工作，包括基于TEE的可信智能计算架构、训练数据质量和贡献度评估、有效支撑LLM逆向分析代码的工具。希望我们的工作能助力数据驱动智能在应用领域的价值提升，探索AI时代安全研发从成本中心向利润中心的转变路径。

子腾，美团技术专家

2020年加入美团，先后负责美团安全风控流量/身份/交易等多领域的数仓建模。

分享议题：《全领域数仓内容体系化实践》

安全风控数据具有超大规模、超高复杂度的特点，AI应用热潮之下，“烟囱式”数据开发模式愈发难以为继。因此，议题将介绍以“实体 × 行为”为核心的数据内容框架，并重新解读数仓分层，收敛数据模型，保证数据内容的唯一性，为安全攻防AI化夯实基础。

气纯，美团技术专家

负责SDL体系建设和AI for Security的落地实践。

分享议题：《基于流量特征挖掘与AI推理的越权漏洞自动化识别》

分享基于流量分析与AI智能运营的越权漏洞治理实践。重点解析了“数据私有分析”和“AI打工日常”。通过海量业务日志中私有接口的识别，构建高价值接口检测通道；基于RAG技术动态知识融合进行多模型协同推理，通过权限关系建模、业务逻辑深度解析及风险动态评估，将安全运营从"人工筛漏洞"升级为"智能控全局"，联动打造AI驱动的全流程自动化越权漏洞识别体系。

往期PPT及视频资料已整理，我们愿意帮助更多的同学在技术成长的路上不断狂奔！关注美团技术团队公众号（meituantech），通过【菜单栏】下的【技术沙龙】进行查看。

👇 点击左下角阅读原文报名👇

阅读原文

跳转微信打开

活动｜「春风送暖，安全同行」美团直播专测召集令

Mon, 24 Mar 2025 10:00:00 +0800

2025-03-24 10:00 北京

活动时间：2025.03.24-04.03

美团APP直播功能

美团直播助手Web端/APP端/PC端

2025.03.24-04.03

注意避开以下高峰时间段：

周一到周四：11:00-13:30，17:00-19:00

周五到周日：10:00-14:00，16:00-20:00

> 高质量漏洞奖励

严重及高危漏洞2倍安全币奖励

> 新人奖励

活动期间提交有效中危及以上漏洞，将获得团团盲盒1个

团团盲盒（随机一款）

1.联系运营同学（微信：Secre4Garden）报备测试信息并获取测试账号，数量有限，先到先得；

2. 到美团SRC官网提交漏洞，漏洞标题处需添加【直播专测】字样。

官网地址：https://security.meituan.com

1.严禁用扫描器或其他自动化工具，只允许手工测试；

2.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

3.禁止邮件钓鱼社工；

4.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取（适用于全平台漏洞）；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

1.测试过程中，触犯一般违规行为，平台将进行提醒/警告；

2.测试过程中，触犯严重违规行为，对涉及的漏洞进行安全币及贡献值清零处理；

3.在已收到平台关于一般违规行为的三次提醒/警告（含三次）后，测试人员仍执行违规测试操作，对涉及的漏洞进行安全币及贡献值清零处理；

4.一个季度内，因违规行为，被扣除漏洞奖励两次（含两次），本季度内全部漏洞安全币及贡献值清零，取消当季度排名奖励；

5.对于情节严重违规行为，美团SRC保留追究法律责任的权力。

抓到漏洞，押解至此

阅读原文

跳转微信打开

荣誉 | 美团SRC2024年终奖励荣耀揭晓

Fri, 17 Jan 2025 18:01:00 +0800

2025-01-17 18:01 北京

向每一位守护者致敬！

感谢所有热爱技术、守护安全的白帽英雄们

一直以来的支持与关注

接下来揭晓美团SRC2024年度白帽荣誉榜单

这是一份属于你们的荣耀！

2024年圆满结束，我们并肩作战，荣耀满载；

展望2025，期待更多白帽子加入，激情续燃，传奇再启！

阅读原文

跳转微信打开

美团SRC邀您领取新年礼盒啦！

Fri, 17 Jan 2025 18:01:00 +0800

2025-01-17 18:01 北京

获取方式见文中。

阅读原文

跳转微信打开

鸿蒙应用签名实操及机制探究

Tue, 31 Dec 2024 10:01:00 +0800

原创张晨 2024-12-31 10:01 北京

本文对鸿蒙公开资料进行了深入分析和解读，梳理了鸿蒙单框架应用的签名机制，拆解每一步的实操过程和背后的实现原理，并对源码分析整理签名的校验机制。

//文 | 张晨

美团移动安全架构师，主要从事移动端安全防护方向的研究，当前在美团致力于Guard各端的安全建设。

0x00 背景

华为鸿蒙单框架操作系统HarmonyOS NEXT已于2024年10月23日正式发布Release版。HarmonyOS NEXT仅支持鸿蒙原生应用，不再兼容安卓。本文对鸿蒙公开资料进行了深入分析和解读，梳理了鸿蒙单框架应用的签名机制，拆解每一步的实操过程和背后的实现原理，并对源码分析整理签名的校验机制。从中管中窥豹，探究鸿蒙系统的安全设计思路，给从事鸿蒙研发的同学提供一些借鉴。

成文过程中特别参考OpenHarmony 5.0.0-Release版的文档和源码，详见

https://gitee.com/openharmony/docs/blob/OpenHarmony-5.0.0-Release/zh-cn/release-notes/OpenHarmony-v5.0.0-release.md。

0x01 签名机制

签名相关的代码在developtools_hapsigner仓库（https://gitee.com/openharmony/developtools_hapsigner/tree/OpenHarmony-v5.0.0-Release/）里，签名流程梳理如下：

签名步骤可按如下分组：

生成开发者签名证书，包括①、② 、③。
生成Profile文件，包括④ 、⑤ 。
生成签名的App，包括⑥ 、⑦。

1.生成开发者签名证书

① 生成开发者公私钥

通过华为的DevEco-Studio工具可以直接生成包含开发者公私钥的p12文件，操作步骤：

https://developer.huawei.com/consumer/cn/doc/harmonyos-guides-V5/ide-signing-V5#section462703710326。

笔者示例生成的p12文件（保存为my.p12）是标准的PKCS#12格式（定义在RFC 7292：https://datatracker.ietf.org/doc/html/rfc7292），用来存储一组或多组公钥证书（里面包含公钥）和其对应的私钥（用localKeyID字段进行匹配公私钥的匹配），使用ASN.1来定义其数据结构，并采用DER编码规则将这些结构编码为二进制形式。

可以通过openssl命令解析其结构，或者直接查看公钥证书和私钥信息：

openssl asn1parse -in my.p12 -inform DER  //解码DER和解析ASN.1openssl pkcs12 -info -in my.p12  //查看公钥证书和私钥信息

笔者用于示例生成的p12文件里包含的公钥证书如下：

公钥证书的表示是遵循Privacy Enhanced Mail（PEM）协议（定义在RFC 7468：https://datatracker.ietf.org/doc/html/rfc7468）的文本文件，其格式如下：

PEM 文件的label用于指示文件的内容类型。以下是一些常见的 PEM header和footer（后面会陆续见到）：

解析具体公钥证书信息可以采用如下命令（将公钥证书以文本的形式保存为my.pem文件）：

openssl x509 -in my.pem -text -noout

解析得到如下输出（重要部分加了注释）：

Certificate:    Data:        Version: 3 (0x2) //证书的版本号        Serial Number: 2913163237517564203 (0x286da287a8f6192b) //证书的序列号，用于唯一标识证书        Signature Algorithm: ecdsa-with-SHA256        Issuer: C = , ST = , L = , O = , OU = , CN = testscr //证书颁发者的信息        Validity            Not Before: Sep 23 12:56:37 2024 GMT //证书的开始有效期            Not After : Sep 17 12:56:37 2049 GMT //证书的结束有效期        Subject: C = , ST = , L = , O = , OU = , CN = testscr //证书持有者的信息        Subject Public Key Info:            Public Key Algorithm: id-ecPublicKey //公钥算法，这里是椭圆曲线                Public-Key: (256 bit) //公钥的位数，这里是256                pub:// 证书持有者的公钥值，以十六进制表示                    04:3d:bc:b3:bf:2b:17:cf:97:d4:95:a0:91:07:1f:                    1c:1d:86:cb:6d:0c:09:3e:75:3a:e7:ba:78:6e:59:                    6c:fb:14:2a:56:6b:3f:1d:1a:45:7d:1e:8a:72:f6:                    13:95:ac:13:7b:2d:d3:32:38:ca:f8:f4:2b:38:5d:                    13:09:2c:09:60                ASN1 OID: prime256v1                NIST CURVE: P-256        X509v3 extensions:            X509v3 Subject Key Identifier: //证书持有者的标识                6D:08:45:8C:8C:4A:FE:6E:75:E8:02:A4:82:7E:39:A4:D5:BB:49:40    Signature Algorithm: ecdsa-with-SHA256    Signature Value: //证书的数字签名值        30:45:02:20:00:88:cb:50:5e:00:8c:53:1a:ca:b5:a3:ca:bc:        6a:a5:96:cc:22:d4:54:54:87:56:eb:08:06:c9:d6:df:35:16:        02:21:00:c5:db:ce:67:89:94:0e:ff:cf:16:43:50:b2:d1:5b:        4a:c2:63:a0:94:dc:a3:03:1e:bf:0d:df:c1:26:b8:3b:a0

公钥信息（包括公钥算法、公钥位数、公钥值等）属于结构化数据并且较长，不利于识别和比较，所以需要用一个简短的字符串来标识公钥唯一性。常用做法是使用公钥指纹（Public Key Pin，也叫公钥Pin），计算方式是对DER编码的公钥进行SHA-256计算并进行Base64编码。

这里需要注意的是，在X509扩展字段里包括了Subject Key Identifier（SKID）字段，也是证书持有者的标识。那标识公钥的唯一性为什么不直接使用证书里自带的SKID，还要自己算一遍呢，根据RFC 3280-4.2.1.2章节（https://datatracker.ietf.org/doc/html/rfc3280#section-4.2.1.2）中对SKID的定义：

For CA certificates, subject key identifiers SHOULD be derived from the public key or a method that generates unique values.
Two common methods for generating key identifiers from the public key are:
(1) The keyIdentifier is composed of the 160-bit SHA-1 hash of the value of the BIT STRING subjectPublicKey (excluding the tag, length, and number of unused bits).
(2) The keyIdentifier is composed of a four bit type field with the value 0100 followed by the least significant 60 bits of the SHA-1 hash of the value of the BIT STRING subjectPublicKey (excluding the tag, length, and number of unused bit string bits).

SKID的计算可以通过公钥得到，但计算方式并不唯一，也可以通过任意的算法得到，只要保证唯一性就可以了。定义里推荐了两种基于SHA-1的算法，openssl采用的算法（详见v3_skid.c的ossl_x509_pubkey_hash函数：https://github.com/openssl/openssl/blob/master/crypto/x509/v3_skid.c）是对DER编码的公钥进行SHA-1计算。

如果采用SKID来进行公钥的唯一性校验，那么攻击者可以伪造一个证书，里面的SKID和你的一样（SHA-1碰撞，或者直接照抄一下也行），这样的证书也是合法的，就可以轻易绕过对公钥的校验。所以SKID一般只用于在证书链中寻找父子关系，并不用于公钥的唯一性标识。另外，还有Authority Key Identifier（AKID）字段用于标识证书的颁发者。当验证一个证书链时，验证程序会检查每个证书的AKID和上一个证书的SKID是否匹配，确保它们形成一个连续的信任链。

使用如下命令可以从PEM协议的公钥证书中提取PEM协议的公钥：

openssl x509 -in my.pem -pubkey -noout

输出如下：

-----BEGIN PUBLIC KEY----- //公钥标头MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE95zFs5cFHauzIYEuuw3g2R75a1irqEW0JWP9qAKkyVCizN0nnzcn/Fo5oeSZR1iPUnJvjlnpNvZL9BcQbLqa7g==-----END PUBLIC KEY-----

使用如下命令可以继续转换成DER编码并计算SHA-256和Base64编码：

openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64

所以结合使用如下命令可以直接从符合PEM协议的公钥证书文件中得到对应的公钥指纹：

openssl x509 -in my.pem -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64

最终笔者示例的公钥证书计算得到的公钥指纹为：

fzyRjPvTPElBAj0VlYlVA74M3RMtUh5ljKbOYf1NDA0=

② 生成证书签名请求

同样通过DevEco-Studio可以直接生成证书签名请求Certificate Signing Request（CSR）文件（操作步骤：https://developer.huawei.com/consumer/cn/doc/harmonyos-guides-V5/ide-signing-V5#section462703710326）。得到的CSR内容示例如下：

-----BEGIN NEW CERTIFICATE REQUEST----- //CSR标头MIIBMzCB2wIBADBJMQkwBwYDVQQGEwAxCTAHBgNVBAgTADEJMAcGA1UEBxMAMQkwBwYDVQQKEwAxCTAHBgNVBAsTADEQMA4GA1UEAxMHdGVzdHNjcjBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABD28s78rF8+X1JWgkQcfHB2Gy20MCT51Oue6eG5ZbPsUKlZrPx0aRX0einL2E5WsE3st0zI4yvj0KzhdEwksCWCgMDAuBgkqhkiG9w0BCQ4xITAfMB0GA1UdDgQWBBRtCEWMjEr+bnXoAqSCfjmk1btJQDAKBggqhkjOPQQDAgNHADBEAiAlzkRf0AHKh59/deFGo/4JHQRSbw6P+Q7qsiiMMWHT7wIgGugWrCm7tFLhmRjEEyJNOpen9kfhyOanSRrwtBlEFc0=-----END NEW CERTIFICATE REQUEST-----

生成的CSR文件是标准的PKCS#10格式（定义在RFC 2986：https://datatracker.ietf.org/doc/html/rfc2986），用于向证书颁发机构（CA）请求签发数字证书的文件，包含申请者的公钥和一些身份信息，这些信息将包含在颁发的证书中。可以看到CSR文件也是遵循PEM协议的，可以如下命令解析CSR文件的内容（保存为my.csr文件）：

openssl req -text -noout -verify -in my.csr

输出示例（重要部分加了注释）：

Certificate request self-signature verify OK //表明CSR的自签名已成功验证Certificate Request:    Data:        Version: 1 (0x0)        Subject: C = , ST = , L = , O = , OU = , CN = testscr //证书申请者的信息        Subject Public Key Info:            Public Key Algorithm: id-ecPublicKey                Public-Key: (256 bit)                pub: //证书申请者的公钥值，和上面my.pem里的公钥值相同                    04:3d:bc:b3:bf:2b:17:cf:97:d4:95:a0:91:07:1f:                    1c:1d:86:cb:6d:0c:09:3e:75:3a:e7:ba:78:6e:59:                    6c:fb:14:2a:56:6b:3f:1d:1a:45:7d:1e:8a:72:f6:                    13:95:ac:13:7b:2d:d3:32:38:ca:f8:f4:2b:38:5d:                    13:09:2c:09:60                ASN1 OID: prime256v1                NIST CURVE: P-256        Attributes:            Requested Extensions:                X509v3 Subject Key Identifier: //证书申请者的标识                    6D:08:45:8C:8C:4A:FE:6E:75:E8:02:A4:82:7E:39:A4:D5:BB:49:40    Signature Algorithm: ecdsa-with-SHA256    Signature Value:        30:44:02:20:25:ce:44:5f:d0:01:ca:87:9f:7f:75:e1:46:a3:        fe:09:1d:04:52:6f:0e:8f:f9:0e:ea:b2:28:8c:31:61:d3:ef:        02:20:1a:e8:16:ac:29:bb:b4:52:e1:99:18:c4:13:22:4d:3a:        97:a7:f6:47:e1:c8:e6:a7:49:1a:f0:b4:19:44:15:cd

注意到其中证书申请者的公钥值和上面p12文件中的公钥值是一样的，说明CSR中包含了我们的公钥信息。使用如下命令也可以直接从CSR文件中得到公钥指纹：

openssl req -in my.csr -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64

示例生成的CSR计算得到的公钥指纹为：

fzyRjPvTPElBAj0VlYlVA74M3RMtUh5ljKbOYf1NDA0=

和通过公钥证书计算得到的公钥指纹相同。

⓷ 生成开发者签名叶子证书

证书的作用可以抽象概括为：

颁发者（Issuer）说：持有者（Subject）的公钥是某某某。

证书一般分为三级：根证书（Root Certificate）、中间证书（Intermediate Certificate）、叶子证书（Leaf Certificate）。

叶子证书由中间证书颁发（即叶子证书的Issuer+AKID和中间证书的Subject+SKID相同）
中间证书由根证书颁发（即中间证书的Issuer+AKID和根证书的Subject+SKID相同）
根证书由自己颁发（也就是自签名，根证书的Issuer和Subject相同）

我们需要的是用于给我们App签名的开发者签名叶子证书，这需要华为的开发者签名中间证书来帮我们颁发。叶子证书分为调试证书和发布证书，我们以发布证书为例（操作步骤：https://developer.huawei.com/consumer/cn/doc/app/agc-help-add-releasecert-0000001946273961）：

需要上传我们的CSR文件，得到的证书文件内容示例如下：

可以看到叶子证书文件里也包括了中间证书和根证书，分别解析证书信息如下：

根证书：

 Certificate:    Data:        Version: 3 (0x2)        Serial Number: 5339133492510690512 (0x4a18699f9d7d8cd0)        Signature Algorithm: ecdsa-with-SHA384        Issuer: C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Root CA G2        Validity            Not Before: Mar 16 03:04:39 2020 GMT            Not After : Mar 16 03:04:39 2049 GMT        Subject: C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Root CA G2        Subject Public Key Info:            Public Key Algorithm: id-ecPublicKey                Public-Key: (384 bit)                pub:                    04:5a:27:64:1a:70:d2:3b:0d:ff:1c:4d:b2:d8:61:                    e5:f9:fa:56:04:86:b9:4b:e2:25:9c:da:ec:19:4b:                    f0:0b:52:36:41:6b:ed:a8:21:d6:9b:01:65:14:af:                    79:cc:a5:e2:33:cb:3d:c9:5d:d5:55:78:7b:8a:f3:                    7c:64:93:b7:48:2e:4d:d5:30:ab:bc:1d:a5:a4:73:                    01:c1:cc:f8:0c:0d:24:80:70:8c:9b:fc:03:79:ce:                    a4:38:7c:75:c6:f0:91                ASN1 OID: secp384r1                NIST CURVE: P-384        X509v3 extensions:            X509v3 Key Usage: critical                Certificate Sign, CRL Sign            X509v3 Basic Constraints: critical                CA:TRUE            X509v3 Subject Key Identifier:                 A3:8E:5A:F5:5A:BC:71:8C:2A:6A:25:72:7E:48:92:E2:92:DC:20:00    Signature Algorithm: ecdsa-with-SHA384    Signature Value:        30:64:02:30:33:2a:5e:07:b3:f4:21:b6:3b:73:a8:29:59:c0:        a5:85:1c:e7:38:91:63:f2:e6:af:ac:db:b6:3c:8a:33:f4:a2:        2a:af:78:e7:06:50:47:26:cd:26:c8:8e:e7:b5:8a:44:02:30:        5b:9b:c7:83:31:96:39:ce:ae:62:31:95:02:e8:7e:d4:cd:84:        a2:c7:85:32:d5:89:6c:2d:55:7b:df:c3:ed:28:ff:61:15:38:        e0:0c:77:2d:5c:99:42:e4:be:fe:64:36

中间证书：

 Certificate:    Data:        Version: 3 (0x2)        Serial Number: 6803676100576229407 (0x5e6b835db5a9381f)        Signature Algorithm: ecdsa-with-SHA384        Issuer: C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Root CA G2        Validity            Not Before: Jul  9 02:04:24 2020 GMT            Not After : Jul  7 02:04:24 2030 GMT        Subject: C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Developer Relations CA G2        Subject Public Key Info:            Public Key Algorithm: id-ecPublicKey                Public-Key: (384 bit)                pub:                    04:eb:92:dd:a0:86:61:d6:19:69:67:68:0f:6c:9e:                    a0:3e:11:ec:bd:84:91:7b:6d:8a:11:38:1d:a9:e5:                    5e:62:7a:db:44:72:3d:c2:c3:d3:e9:11:98:4b:ea:                    54:e2:63:e5:eb:0c:73:80:33:2a:37:a4:98:fc:1a:                    19:96:e8:64:13:53:f3:68:7a:0f:a0:d2:16:22:ad:                    0e:df:78:69:c8:ac:b2:63:00:1a:70:85:04:8d:8b:                    ab:93:0d:44:f6:bf:67                ASN1 OID: secp384r1                NIST CURVE: P-384        X509v3 extensions:            X509v3 Authority Key Identifier:                 A3:8E:5A:F5:5A:BC:71:8C:2A:6A:25:72:7E:48:92:E2:92:DC:20:00            X509v3 Subject Key Identifier:                 DB:5E:93:B2:23:E8:D0:E4:FE:71:7A:66:E9:A4:73:47:5B:7F:F3:5E            X509v3 Certificate Policies:                 Policy: X509v3 Any Policy                  CPS: http://cpki-caweb.huawei.com/cpki/cps            X509v3 Basic Constraints: critical                CA:TRUE, pathlen:0            X509v3 Key Usage: critical                Certificate Sign, CRL Sign            X509v3 CRL Distribution Points:                 Full Name:                  URI:http://cpki-caweb.huawei.com/cpki/servlet/crlFileDown.crl?certype=10&/root_g2_crl.crl    Signature Algorithm: ecdsa-with-SHA384    Signature Value:        30:64:02:30:58:ed:57:e6:ad:8c:75:fa:51:d5:0d:b7:ec:6a:        54:1c:66:cb:d4:2d:77:ac:6c:85:83:6a:77:01:8a:38:e0:5a:        59:db:f0:3d:b2:cd:30:38:72:8c:e0:a0:e5:64:fa:9d:02:30:        4b:91:ff:0d:3d:9c:bb:29:5a:20:f7:cf:a2:09:32:ea:df:90:        c9:d9:95:71:90:2c:64:9c:0f:58:86:21:d5:c9:77:f8:1c:f9:        b8:26:54:fb:ad:6e:e8:43:e1:73:33:77

叶子证书：

Certificate:    Data:        Version: 3 (0x2)        Serial Number:            63:cb:a2:fe:fb:f0:c6:a1:5f:fa:41:68:91:85        Signature Algorithm: ecdsa-with-SHA384        Issuer: C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Developer Relations CA G2        Validity            Not Before: Sep 23 12:58:04 2024 GMT            Not After : Sep 23 12:58:04 2027 GMT        Subject: C = CN, O = \E5\BC\A0\E6\99\A8, OU = 1289676786065494977, CN = "\E5\BC\A0\E6\99\A8(1289676786065494977)\\,Release"        Subject Public Key Info:            Public Key Algorithm: id-ecPublicKey                Public-Key: (256 bit)                pub:                    04:3d:bc:b3:bf:2b:17:cf:97:d4:95:a0:91:07:1f:                    1c:1d:86:cb:6d:0c:09:3e:75:3a:e7:ba:78:6e:59:                    6c:fb:14:2a:56:6b:3f:1d:1a:45:7d:1e:8a:72:f6:                    13:95:ac:13:7b:2d:d3:32:38:ca:f8:f4:2b:38:5d:                    13:09:2c:09:60                ASN1 OID: prime256v1                NIST CURVE: P-256        X509v3 extensions:            X509v3 Basic Constraints: critical                CA:FALSE            X509v3 CRL Distribution Points:                 Full Name:                  URI:http://h5hosting-drcn.dbankcdn.cn/cch5/crl/hdrcag2/HuaweiCBGHDRG2crl.crl            X509v3 Authority Key Identifier:                 DB:5E:93:B2:23:E8:D0:E4:FE:71:7A:66:E9:A4:73:47:5B:7F:F3:5E            X509v3 Subject Key Identifier:                 6D:08:45:8C:8C:4A:FE:6E:75:E8:02:A4:82:7E:39:A4:D5:BB:49:40            X509v3 Key Usage: critical                Digital Signature            X509v3 Extended Key Usage:                 Code Signing    Signature Algorithm: ecdsa-with-SHA384    Signature Value:        30:64:02:30:5c:cd:96:c6:9f:36:ce:da:77:9c:5e:95:93:b3:        09:e6:dd:46:87:c4:55:a4:19:25:6d:28:e5:00:1d:4d:7d:2d:        f4:88:f5:a3:fc:d4:9b:46:d7:21:ff:19:65:32:4b:62:02:30:        2a:eb:99:bb:e2:de:2c:22:d9:24:51:0c:ee:d6:0a:0e:12:0a:        4d:e8:02:89:eb:0f:d5:31:ee:32:08:99:85:96:0e:62:5d:64:        21:90:4f:56:b1:01:f0:ed:70:b7:11:26

注意到，颁发下来的叶子证书里Subject和我们申请时所使用的CSR里的Subject不同，叶子证书里是：

Subject: C = CN, O = \E5\BC\A0\E6\99\A8, OU = 1289676786065494977, CN = "\E5\BC\A0\E6\99\A8(1289676786065494977)\\,Release"

CSR里是：

Subject: C = , ST = , L = , O = , OU = , CN = testscr

说明华为在颁发叶子证书的时候，并没有使用我们CSR里的Subject，而是根据我们在开发者平台网站上登陆的账号信息，对Subject进行了填充。其中OU字段跟账号信息有关（类似iOS的Team ID，但在华为开发者网站上没有找到直接查看的地方）。叶子证书里的公钥信息还是和CSR保持一致，计算得到的公钥指纹也一样。

另外，华为目前给叶子证书的有效期是3年，3年以后需要续期成新证书。当然，如果续期新证书的时候使用的CSR不变，那么新证书的公钥指纹也依然会保持不变。

2.生成Profile文件

⓸ 登记App信息

这里主要是在华为开发者平台上登记一下App的各项信息，操作步骤：

https://developer.huawei.com/consumer/cn/doc/app/agc-help-harmonyos-releaseapp-0000001914554900

需要注意的是，包名填写的时候，平台会在线检查一下是否和已经存在的包名有重复（包括其他人申请的包名）。申请成功以后，会分配一个唯一的APP ID：

这个APP ID用来在网站上标识APP的唯一性。后面文章中会出现类似的名称，为了消除歧义，相似的字段用括号内容区分，这里称为APP ID（网站）。

⑤ 生成Profile文件

Profile文件是描述App的包名、签名、申请的权限列表、安装包类型、可安装设备等信息的文件（类似iOS的Provisioning Profile），签名后保存为Cryptographic Message Syntax格式（CMS，扩展的PKCS#7/格式，CMS定义在RFC 5652（https://datatracker.ietf.org/doc/html/rfc5652），PKCS#7定义在RFC 2315（https://datatracker.ietf.org/doc/html/rfc2315））。

跟着操作步骤：

https://developer.huawei.com/consumer/cn/doc/app/agc-help-add-releaseprofile-0000001914714796，选择之前的APP ID（网站）和证书，可以得到对应的Profile文件：

Profile也分为发布和调试两种，发布只能选择发布证书，调试只能选择调试证书。这里继续以发布类型为例，生成的Profile文件（保存为my.p7b）被华为签名后，通过如下命令可以查看里面的所有信息：

openssl pkcs7 -in my.p7b -print -inform DER

主要包括配置信息和签名信息两部分，也可以通过如下命令分别查看配置信息和签名信息：

openssl smime -verify -in my.p7b -inform DER -noverify //查看配置信息openssl pkcs7 -in my.p7b -print_certs  -inform DER //查看证书信息

得到的示例配置信息如下（*为手动打码）：

{    "version-name": "2.0.0",    "version-code": 2,    "app-distribution-type": "app_gallery",    "uuid": "234e1d73-****-****-****-f81e2598d0ff",    "validity": {        "not-before": 1727096284,        "not-after": 1821704284    },    "type": "release",    "bundle-info": {        "developer-id": "300**********7916",        "distribution-certificate": "-----BEGIN CERTIFICATE-----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\nTegCiesP1THuMgiZhZYOYl1kIZBPVrEB8O1wtxEm\n-----END CERTIFICATE-----\n",        "bundle-name": "com.***.test",        "apl": "normal",        "app-feature": "hos_normal_app",        "app-identifier": "576************2509"    },    "baseapp-info": {},    "permissions": {},    "acls": {},    "issuer": "app_gallery"}

具体每个字段的含义可以参考官方文档和源码中的定义。

官方文档：https://gitee.com/openharmony/docs/blob/OpenHarmony-v5.0.0-Release/zh-cn/application-dev/security/app-provision-structure.md

源码定义：https://gitee.com/openharmony/security_appverify/blob/OpenHarmony-v5.0.0-Release/interfaces/innerkits/appverify/src/provision/provision_verify.cpp

其中重点字段解析如下：

字段
app-distribution-type		应用的发布类型，有： app_gallery：上架华为应用市场 enterprise：企业签名分发，类似iOS的In-House enterprise_mdm：企业MDM应用，有设备管理特权 enterprise_normal：企业MDM应用，无设备管理特权 os_integration：系统预置应用 crowdtesting：众包测试应用 none：其他
validity		Profile文件的有效期。跟叶子证书的有效期一样，华为目前给Profile文件的有效期也是3年。
type		调试场景是debug 发布场景是release
bundle-info	developer-id	申请Profile所用的账号ID，在开发者平台网站上可以直接看到。如果加入了团队，这里显示的是团队账号ID，团队内不同成员看到的也是相同的。
	distribution-certificate	发布证书的信息，如果是调试证书，这里的字段名称是development-certificate 这里示例得到的证书信息和我们之前通过CSR申请得到的叶子证书是一样的。
	bundle-name	在“登记App信息”步骤里填写的包名，注意在应用安装过程中，系统会校验Profile里的包名和实际App的包名是否一致，如果不一致，App无法安装，并报一个安装错误码：9568329（https://developer.huawei.com/consumer/cn/doc/harmonyos-faqs-V5/faqs-compiling-and-building-67-V5）。
	app-identifier	应用的唯一标识，由云端统一分配。和上文提到的APP ID（网站）是一个东西，值也一样。后面文章中会出现类似的名称，为了消除歧义，这里称为app-identifier（Profile）。该ID在应用全生命周期中不会发生变化，包括版本升级、证书变更、开发者公私钥变更、应用转移等。
permissions		允许使用的受限敏感权限列表。
acls		已授权的ACL权限列表。
issuer		Profile文件的签发者。
debug-info	device-ids	Debug场景下允许调试的设备ID列表。一个账号每年最多可注册100台设备，且注册成功后一年内不允许删除，和iOS一样：）

得到的示例证书内容如下：

subject=C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Root CA G2issuer=C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Root CA G2-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

subject=C = CN, O = Huawei, OU = HOS AppGallery, CN = HOS Profile Managementissuer=C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Software Signing Service CA-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

subject=C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Software Signing Service CAissuer=C = CN, O = Huawei, OU = Huawei CBG, CN = Huawei CBG Root CA G2-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

这里依然是完整的三级证书链，注意，根证书和之前申请到的开发者签名证书的根证书一样，但中间证书和叶子证书均不一样，比较如下（红色底色表示内容相同）：

3.生成签名的APP

⓺ 得到签名的APP包

将生成的Profile文件、叶子证书文件等配置到项目的signingConfigs里，使用华为的IDE可以直接得到签名后的App包：

或者参考命令（https://gitee.com/openharmony/developtools_hapsigner#%E4%BD%BF%E7%94%A8%E8%AF%B4%E6%98%8E）手动给未签名的App包进行签名。

得到的签名的App包只是用于提供给华为商店进行审核和后续的拆包，并不能直接安装到手机上运行。App包实际上就是标准的ZIP格式，可以修改后缀为.zip进行解压：

可以看到里面包括了.hap包和描述App一些信息的pack.info文件。

那么对App包进行签名的内容以及Profile文件在哪里呢？根据对源码里VerifyHap.java类的verifyHap函数（https://gitee.com/openharmony/developtools_hapsigner/blob/OpenHarmony-v5.0.0-Release/hapsigntool/hap_sign_tool_lib/src/main/java/com/ohos/hapsigntool/hap/verify/VerifyHap.java）进行分析，发现鸿蒙上的签名机制类似Android V3，签名信息和Profile文件存储在自定义的HapSigningBlock区，放到了ZIP格式Central Directory区的前面，其结构如下：

HapSigningBlock区的魔数（转成string也就是）：

    /**     * The value of lower 8 bytes of magic word     */    public static final long HAP_SIG_BLOCK_MAGIC_LO_V3 = 0x676973207061683cL;
    /**     * The value of higher 8 bytes of magic word     */    public static final long HAP_SIG_BLOCK_MAGIC_HI_V3 = 0x3e6b636f6c62206eL;
    /**     * Size of hap signature block header     */    public static final int HAP_SIG_BLOCK_HEADER_SIZE = 32;

通过hex工具直接打开App包也可以在Central Directory区前面找到：

其中SignatureSchemeBlock区存放了CMS格式的Hap包签名信息，而Profile文件就存储在SigningBlock区，Type是0x20000002：

    /**     * ID of profile block     */    public static final int HAP_PROFILE_BLOCK_ID = 0x20000002;

通过如下hap-sign-tool.jar（https://gitee.com/openharmony/developtools_hapsigner/tree/OpenHarmony-v5.0.0-Release/dist）的命令可以导出存储在App包或Hap包里的签名证书和Profile文件：

java -jar hap-sign-tool.jar verify-app -inFile my-signed.app -outCertChain my-signed.cer -outProfile my-signed.p7b

⑦ 签名校验、拆包、重签名

提供给华为应用市场审核的App包在经过签名校验，确认是开发者的应用以及应用的完整性以后，华为会取出App包SigningBlock区的Profile文件，解压出Hap包，把Profile文件或Profile文件内的配置（下一章节展开描述区别）重新放到Hap包的SigningBlock区里，并用Hap的签名叶子证书对Hap包进行重新签名，签名方式和给App包签名一样。最终真正通过应用市场下发到手机上的是经过重签名的Hap包（类似iOS的双层签名机制）。解析出签名证书如下：

CN=HOS AppGallery Application Release, OU=HOS AppGallery, O=Huawei, C=CN-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----CN=Huawei CBG Software Signing Service CA, OU=Huawei CBG, O=Huawei, C=CN-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

注意这里给Hap的签名证书和我们之前申请的开发者签名证书不一样，Hap签名证书和对应的私钥都是华为的，跟我们的应用没有关系，而且签名证书链里不包含根证书的信息。

这里再和之前的证书对比一下（红色和黄色底色表示内容分别相同）：

三者的根证书都一样，Profile签名证书和Hap签名证书的中间证书一样，三者的叶子证书均不一样。

另外，如果在上架应用市场的时候，勾选了加密：

根据《鸿蒙生态应用安全技术白皮书》（https://developer.huawei.com/consumer/cn/doc/guidebook/harmonyecoappsecurity-guidebook-0000001808819033）描述，只是对Hap包里的代码做加密，然后重新签名，所以证书和Profile文件的解析均不受影响。

0x02 校验机制

签名校验步骤可以分成三组，分别是：

SignatureSchemeBlock区校验。
Profile校验和解析。
Hap包完整性校验。

1.SignatureSchemeBlock区校验

校验Hap包时首先在ZIP的Central Directory区前32个字节寻找是否有HapSigningBlock区的Header，找到以后定位到SignatureSchemeBlock区，解析其CMS格式，并校验SignatureSchemeBlock区证书链的完整性。证书链完整性校验流程如下：

校验叶子证书时，需要按证书指定算法重新计算证书的hash，并使用上一级证书（中间证书）的公钥对叶子证书里的证书签名进行解密，与重新计算的hash比对是否相同，相同则认为证书可信。中间证书继续通过根证书的公钥校验自己的证书签名。根证书用自己的公钥校验自己。

上一章说到，SignatureSchemeBlock区的证书链不包括根证书，所以这一步需要使用到根证书其实是内置在鸿蒙系统里的，存放地址是：

/system/etc/security/trusted_root_ca.json

具体内容如下：

{    "C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Root CA G2":"-----BEGIN CERTIFICATE-----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\nFTjgDHctXJlC5L7+ZDY=\n-----END CERTIFICATE-----\n"}

可以看到这个根证书就是上一章解析出来的根证书，所以这里可以校验通过。

在确认证书链可信以后，根据叶子证书的Subject判断Hap包的安装来源，具体代码在trusted_source_manager.cpp的MatchTrustedSource函数(https://gitee.com/openharmony/security_appverify/blob/OpenHarmony-v5.0.0-Release/interfaces/innerkits/appverify/src/init/trusted_source_manager.cpp)里，也就是和内置的Hap签名证书列表进行比较，看匹配到哪一个。内置的Hap签名证书列表存放地址是：

/system/etc/security/trusted_apps_sources.json

具体内容如下：

{    "version": "1.0.1",    "release-time":"2021-06-03 10:06:00",    "trust-app-source":[        {            "name":"huawei app gallery",            "app-signing-cert":"C=CN, O=Huawei, OU=HOS AppGallery, CN=HOS AppGallery Application Release",            "profile-signing-certificate":"C=CN, O=Huawei, OU=HOS AppGallery, CN=HOS Profile Management",            "profile-debug-signing-certificate":"C=CN, O=Huawei, OU=HOS AppGallery, CN=HOS Profile Management Debug",            "issuer-ca":"C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Software Signing Service CA",            "root-ca": "C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Root CA G2",            "max-certs-path":3,            "critialcal-cert-extension":["keyusage","huawei-signing-capability"]        },        {            "name":"huawei system apps",            "app-signing-cert":"C=CN, O=Huawei CBG, OU=HOS Development Team, CN=HOS Application Provision Release",            "profile-signing-certificate":"C=CN, O=Huawei CBG, OU=HOS Development Team, CN=HOS Application Provision Profile Release",            "profile-debug-signing-certificate":"C=CN, O=Huawei CBG, OU=HOS Development Team, CN=HOS Application Provision Profile Release_Debug",            "issuer-ca":"C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Software Signing Service CA",            "root-ca": "C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Root CA G2",            "max-certs-path":3,            "critialcal-cert-extension":["keyusage","huawei-signing-capability"]        },        {            "name":"third_party app preload",            "app-signing-cert":"C=CN, O=Huawei, OU=HOS Open Platform, CN=HOS Preload Service",            "profile-signing-certificate":"",            "profile-debug-signing-certificate":"",            "issuer-ca":"C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Software Signing Service CA",            "root-ca": "C=CN, O=Huawei, OU=Huawei CBG, CN=Huawei CBG Root CA G2",            "max-certs-path":3,            "critialcal-cert-extension":["keyusage","huawei-signing-capability"]        }   ]}

这里有“huawei app gallery（应用市场）”、“huawei system apps（系统应用）”、“third_party app preload（三方预装）”三组。每一组包括对应的Hap签名证书Subject、Profile签名证书Subject等信息。

我们走应用市场分发的Hap包会匹配到“huawei app gallery”这个证书。

2. Profile解析和校验

接下来在SigningBlock区寻找Profile，这里注意到不同Hap包签名方式会影响Profile的存储格式。对于走应用市场分发的Hap包，Profile是直接把其配置以字符串的格式保存，而对于其他情况，则是用CMS的格式保存。那么应用市场分发的Hap包也就不需要Profile的文件签名校验了。

对于其他情况，首先会使用Profile里保存的叶子证书公钥校验Profile的文件签名，然后会校验叶子证书Subject是否和匹配的同组内Profile签名证书Subject相同。

校验通过后解析Profile里的配置信息，根据type不同走不同的校验逻辑：

发布，会校验是否为允许的安装来源，根据hap_verify_v2.cpp的IsAppDistributedTypeAllowInstall函数（https://gitee.com/openharmony/security_appverify/blob/OpenHarmony-v5.0.0-Release/interfaces/innerkits/appverify/src/verify/hap_verify_v2.cpp），允许的来源包括企业签名、MDM、众包测试等分发场景。
调试，会校验待安装的设备UDID是否在Profile的device-ids列表中。

都校验通过后，再继续看Profile文件签名证书和Hap的签名正式是否相同，并继续对Profile配置的字段规则合法性进行检测。走完这一步，就可以认为Profile是可信的。

随后会生成App ID（公钥）和Fingerprint两个新的字段和验证结果一并返回。其中APP ID（公钥）是根据Profile配置里开发者签名证书公钥生成的（详见GenerateAppId函数：https://gitee.com/openharmony/security_appverify/blob/OpenHarmony-v5.0.0-Release/interfaces/innerkits/appverify/src/verify/hap_verify_v2.cpp），fingerprint是根据Profile配置里开发者签名证书直接计算整个证书的指纹（注意不是上一章的公钥指纹，详见GenerateFingerprint函数：https://gitee.com/openharmony/security_appverify/blob/OpenHarmony-v5.0.0-Release/interfaces/innerkits/appverify/src/verify/hap_verify_v2.cpp）。至此完成Profile的解析和校验。

另外，在鸿蒙SignatureInfo API（https://developer.huawei.com/consumer/cn/doc/harmonyos-references-V5/js-apis-bundlemanager-bundleinfo-V5#signatureinfo）中，会返回三个参数：

其中API返回的appId为了消除歧义，这里称为APP ID（接口）。

根据包管理子系统bundle_install_checker.cpp的ParseHapFiles函数（https://gitee.com/openharmony/bundlemanager_bundle_framework/blob/OpenHarmony-v5.0.0-Release/services/bundlemgr/src/bundle_install_checker.cpp）、inner_bundle_info.h的SetProvisionId函数（https://gitee.com/openharmony/bundlemanager_bundle_framework/blob/OpenHarmony-v5.0.0-Release/services/bundlemgr/include/inner_bundle_info.h）和这个PR（https://gitee.com/openharmony/bundlemanager_bundle_framework/pulls/52/files）来看：

// bundle_install_checker.cpp    newInfo.SetProvisionId(provisionInfo.appId);
// inner_bundle_info.h    void SetProvisionId(const std::string &provisionId){        baseBundleInfo_->appId = baseBundleInfo_->name + Constants::FILE_UNDERLINE + provisionId;    }

APP ID（接口）的值实际上是APP ID（公钥）加上了{bundleName}_的前缀。

3.Hap包完整性校验

这一步的过程和Hap包签名类似，将ZIP包中数据和HapSigningBlock区里非SignatureSchemeBlock的部分拼接，重新计算hash，与使用Hap签名叶子证书公钥解密SignatureSchemeBlock区签名后的hash比较，相同则认为Hap包未被篡改。具体可以参考hap_signing_block_utils.cpp的VerifyHapIntegrity函数（https://gitee.com/openharmony/security_appverify/blob/OpenHarmony-v5.0.0-Release/interfaces/innerkits/appverify/src/util/hap_signing_block_utils.cpp），这里就不展开了。

0x03 总结

从鸿蒙单框架应用的签名和校验机制的种种细节中可以看出，HarmonyOS NEXT的安全设计非常务实，融合了Anroid和iOS双端的特性，有借鉴Android成熟的部分（签名格式），但更多的是参考了iOS的设计思路（双层签名机制），甚至更加严格。期待HarmonyOS NEXT给我们带来一个新的未来。

感谢华为同学对本文的大力支持。

美团信息安全部

美团信息安全部，肩负统筹保障公司整体业务和数据的信息安全重要职责，涵盖合规与隐私保护、基础安全、移动安全、数据安全、内容安全、业务风控等风险领域。随着业务升级与拓展，我们拥有诸多全球化安全领域人才，依托前瞻的安全技术视野、创新的机器学习技术、领先的产品运营体系和针对性的安全解决方案，构建全方位、多维度的智能防御体系，全面赋能公司各业务合规、安全和高质量的发展，为美团业务生态链上亿万C端、B端用户的安全提供有力保障。

我们致力于建设业界卓越的安全团队，落地更多业界认可的实践，同时助力业务奔跑。期待你的加入，让我们奔赴热爱，无畏山海，共筑安全长城。

阅读原文

跳转微信打开

白帽世界大会 | 美团SRC期待与您在澳门相见

Thu, 19 Dec 2024 17:31:00 +0800

2024-12-19 17:31 北京

HackProve World 2025，用真正的技术，验证数字世界的安全。

2025.1.11 MACAU

HACKPROVE WORLD 2025

Hello, Hackers!

HACKPROVE

全球仅占1%的白帽精英

在他们的世界里

没有国界与种族的界限

代码和智力是唯一的共同语言

HACKPROVE WORLD 2025

顶尖参与者们将齐聚一堂

用真正的技术

验证数字世界的安全

2025年1月11日

世界交汇，澳门相见

The Elite 1% of White Hat Hackers

There are no borders, no racial boundaries.

Code and intelligence are the only universal languages.

Top participants will unite,

Showcasing real skills

To secure the digital realm.

See you in Macau！

BOOTH GUIDE

美团安全应急响应中心（简称MTSRC），是美团面向外部安全爱好者公开收集漏洞及情报的平台。自2017年启动以来，我们已携手逾万名安全专家共同识别了众多安全风险。平台设置了丰厚的漏洞奖励以表达感谢，单个漏洞最高税后奖励可达6万元！我们诚邀社会各界通过MTSRC平台向我们报告美团产品及业务的安全风险信息，MTSRC将派有专业人员跟进。

期待与您携手，为守护美团亿万用户安全保驾护航，共同构建更安全的网络生态环境！

了解更多或提交漏洞，请访问：https://security.meituan.com

HackProve World 2025

我们在⌈A4展台⌋等你

CONFERENCE SCHEDULE

REGISTRATION

时间：2025年1月11日

地点：澳门美高梅酒店

报名方式：🔗https://www.hackprove.com/events/conference

参会tips：

大会当天，组委会将安排珠海/深圳-澳门往返班车

详情请见后续公告

HackProve is a global bug bounty platform headquartered in Singapore.

By connecting security researchers and ethical hackers worldwide to offer high-quality professional vulnerability discovery and penetration testing services.

阅读原文

跳转微信打开

年末冲刺！2024漏洞马拉松『美团站』正式启动

Tue, 03 Dec 2024 18:30:00 +0800

2024-12-03 18:30 北京

活动时间：即日起至2024年12月15日。

活动范围

美团及旗下开放在互联网的应用系统

（美团控股公司漏洞视情况收取，暂停收录系统见平台公告）

提交地址

https://security.meituan.com

活动规则

漏洞标题必须标注【漏洞马拉松2024】前缀，否则无法享受活动奖励；本活动不与平台其他活动同享。

注意事项

1.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

2.禁止邮件钓鱼社工；

3.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

4.禁止用扫描器或其他自动化工具，只允许手工测试；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

违规处理

1.测试过程中，触犯一般违规行为，平台将进行提醒/警告；

2.测试过程中，触犯严重违规行为，对涉及的漏洞进行安全币及贡献值清零处理；

3.在已收到平台关于一般违规行为的三次提醒/警告（含三次）后，测试人员仍执行违规测试操作，对涉及的漏洞进行安全币及贡献值清零处理；

4.一个季度内，因违规行为，被扣除漏洞奖励两次（含两次），本季度内全部漏洞安全币及贡献值清零，取消当季度排名奖励；

5.对于情节严重违规行为，美团SRC保留追究法律责任的权利。

阅读原文

跳转微信打开

活动｜短视频激励系统专测开启！

Mon, 25 Nov 2024 10:00:00 +0800

2024-11-25 10:00 北京

活动时间：11月25日-11月28日

活动范围

美团短视频激励系统

入口：1.美团APP首页底部Tab"视频"

2.美团APP-我的-全部工具-视频赚钱

活动时间

11月25日-11月28日

测试时间注意避开11:00-13:00，17:30-19:00！

活动奖励

严重及高危漏洞2倍安全币奖励

活动要求

标题请注明【短视频专测】

注意事项

1.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

2.禁止邮件钓鱼社工；

3.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

4.禁止用扫描器或其他自动化工具，只允许手工测试；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取（适用于全平台漏洞）；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

违规处罚

1.测试过程中，触犯一般违规行为，平台将进行提醒/警告；

2.测试过程中，触犯严重违规行为，对涉及的漏洞进行安全币及贡献值清零处理；

3.在已收到平台关于一般违规行为的三次提醒/警告（含三次）后，测试人员仍执行违规测试操作，对涉及的漏洞进行安全币及贡献值清零处理；

4.一个季度内，因违规行为，被扣除漏洞奖励两次（含两次），本季度内全部漏洞安全币及贡献值清零，取消当季度排名奖励；

5.对于情节严重违规行为，美团SRC保留追究法律责任的权利。

阅读原文

跳转微信打开

活动｜美团SRC七周年，多重惊喜派送中！

Mon, 11 Nov 2024 10:08:00 +0800

2024-11-11 10:08 北京

活动时间：11月11日10: 00-11月18日0: 00

11月11日10: 00-11月18日0: 00

美团及旗下开放在互联网的应用系统

（美团控股公司漏洞视情况收取，暂停收录系统见平台公告）

活动期间，所有有效严重漏洞 3倍安全币奖励！

有效高危、中危漏洞 2倍安全币奖励！

活动期间，有效严重及高危漏洞数量总计

≥10个：奖励10,000元RMB

≥5个：奖励3,000元RMB

≥3个：奖励1,000元RMB

活动期间，贡献值排名前3且提交有效漏洞人数≥2人的团队，

将获得相应团队奖励。

Top 1：奖励5,000元RMB

Top 2: 奖励3,000元RMB

Top 3：奖励2,000元RMB

奖励将以安全币形式发放给队长，由队长进行分配。

活动期间提交中危以上漏洞的白帽子

以及提交有效漏洞的新白帽（2024年未提交有效漏洞）

可获得【团团生日公仔】1个～

1.当发现入侵类风险后需周知美团，经授权后才能进行横向移动，未经授权禁止植入后门或者对内网其他主机进行测试；

2.禁止邮件钓鱼社工；

3.禁止盗用或借用管理账号、内部账号进行测试，测试使用的非美团普通用户账号，需说明账号来源，不明来源的账号视为违规盗用或借用；

4.禁止用扫描器或其他自动化工具，只允许手工测试；

5.测试SQL注入类漏洞时，应采取手工注入，且获取的数据量不能超过10组；

6.禁止网络拒绝服务（DoS 或DDoS）测试；

7.严禁利用漏洞下载/保存源代码、用户个人信息等敏感数据。若在不知情情况下下载，应及时告知美团SRC工作人员并删除；

8.测试命令执行漏洞时，证明漏洞即可，禁止植入文件或者对内网其他主机进行扫描测试；

9.测试验证越权漏洞等逻辑风险时，请自行注册测试账号进行测试。务必控制测试范围，不得危害系统正常数据或影响正常用户使用；

10.禁止进行物理测试、社会工程学测试或邮件钓鱼等任何其他非技术漏洞测试；

11.获取网站的权限时，禁止修改代码文件或植入后门等操作；

12.参与测试的同学，需要遵守保密协定，勿将页面截图、功能模块详情等外传泄露；

13.同一系统按照漏洞提交时间收取前三个同类型漏洞，后续不再收取同类型漏洞，但若有危害重大的同类型漏洞，将酌情收取；

14.我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害美团系统及用户的利益的攻击行为，我们保留追究法律责任的权利；

15.须知：符合活动要求的漏洞，可以享受漏洞奖励翻倍，首杀/白帽关怀奖励不再叠加，本活动与其他活动奖励不叠加。

1.测试过程中，触犯一般违规行为，平台将进行提醒/警告；

2.测试过程中，触犯严重违规行为，对涉及的漏洞进行安全币及贡献值清零处理；

3.在已收到平台关于一般违规行为的三次提醒/警告（含三次）后，测试人员仍执行违规测试操作，对涉及的漏洞进行安全币及贡献值清零处理；

4.一个季度内，因违规行为，被扣除漏洞奖励两次（含两次），本季度内全部漏洞安全币及贡献值清零，取消当季度排名奖励；

5.对于情节严重违规行为，美团SRC保留追究法律责任的权利。

阅读原文

跳转微信打开

活动正式开启｜美团SRC邀您加入双11安全保卫战

Thu, 19 Sep 2024 10:01:00 +0800

2024-09-19 10:01 北京

美团SRC活动时间：2024.09.19-09.30

阿里巴巴联合蚂蚁、百度、贝壳、Boss直聘、

京东、快手、美团、OPPO、平安、

荣耀、微博、小米、字节跳动

组成双11安全联盟

公司排名不分先后

诚邀白帽战士参与

第八届双十一安全保卫战

为数亿用户的安全保驾护航

活动时间

整体活动时间

2024.9.19-2024.10.13

SRC特别奖励时间

活动规则&奖励

1、军衔奖励&升级规则

整体活动期间，向对应SRC提交活动范围内的报告，均计算军衔奖励

军衔奖励说明

1、穿双11T恤一起狂欢

所有获得军衔的白帽均可获得双11T恤礼包！

2、差旅全包参与颁奖典礼

双11颁奖典礼&阿里白帽大会将差旅全包邀请司令、军长、师长参加狂欢盛典。

3、超多权益的王牌A特权

司令、军长、师长，将获得直升王牌A-黑桃/红桃/方块权益，有效期半年，超多权益点击了解王牌A计划

4、仅1枚的定制纯金勋章

每年的双11安全保卫战仅有一人可以获得司令荣誉，司令将获得定制版刻有自己名字的纯金勋章一枚。

5、14家SRC安全高管致谢

司令称号只授予第一个到达军衔要求的白帽战士，14家SRC的安全高管将联合录制一段致谢视频，共同为你发声，告诉全世界你的优秀！！！

⚡️2017年双11安全保卫战司令：张飞

⚡️2018年双11安全保卫战司令：带头老哥

⚡️2019&2020年双11安全保卫战司令：whoamiii

⚡️2021年双11安全保卫战司令：Seven7

点击司令ID可看各家SRC高管为司令录制的专属点赞视频

温馨提示

活动期间，获得军衔的名单将会每周公布在活动官方钉钉群中。为方便统计军衔名单，请参与活动的报名，在活动期间，在各家SRC中使用相同昵称。
司令仅1人可以获得，即最先达到司令军衔要求的白帽战士。
整体活动期间，向对应SRC提交活动范围内的报告，均正常计算军衔奖励，大家记得确认好各家的活动范围。

2、安全团队奖励

1）累计提交高危严重报告数量TOP3团队

团队专属定制奖牌
团队队长或代表差旅全包受邀参加白帽大会
团队奖金：

第一名 10000元
第二名 8000元
第三名 5000元

2）累计获得军衔数量TOP3团队

团队专属定制奖牌
团队队长或代表差旅全包受邀参加白帽大会
团队奖金：

第一名 10000元
第二名 8000元
第三名 5000元

14家SRC特别奖励

（最终活动奖励规则以各家SRC发布的为准）

提交漏洞时请在标题处备注【双十一】

请重点关注各SRC各自特别活动时间

美团

活动时间：9.19-9.30

活动范围：

美团全业务均可测试，建议重点关注电商业务，范围为美团APP-电商板块、团好货微信小程序、团好货APP。

奖励规则：

1、漏洞翻倍活动：

活动期间有效中危及以上漏洞2倍奖励。

有效电商业务漏洞严重高危漏洞≥3个，额外获得5000元奖励。

2、新人活动：

2024年未提交有效漏洞的白帽子，在活动期间提交有效中危及以上漏洞，将获得团团公仔（25cm）一个。

温馨提示：

本次活动不与其他活动叠加，提交漏洞时漏洞标题需注明【双十一】，若无则视为不参加本次活动。

阿里

奖励规则：

1、各业务线特别活动规则

阿里云

活动时间：9.19 10:00-9.30

奖励形式：所有有效报告双倍奖励

活动范围：

阿里云产品：https://yundun.console.aliyun.com/?p=xznew#/taskmanagement/tasks/detail/153 中关键资产、核心资产、一般资产（超级资产不参与双倍奖励）下的所有云产品；

阿里云站点：https://yundun.console.aliyun.com/?p=xznew#/taskmanagement/tasks/detail/152 中所有阿里云的有效站点，限以下域名：

*.aliyun.com

*.alibabacloud.com

不包括使用了阿里云域名，但实际为非阿里云的业务，包括但不限于：Modelscope、阿里云邮、阿里云盘、Dataphin、BI、QuickBI、达摩院等，未能一一列出，以实际审核结果为准。
不包括阿里云售卖类、升降配类问题。

特别彩蛋：

阿里云专项活动10月8日发布，敬请期待。

淘天、阿里妈妈、淘宝买菜

活动时间：9.19 10:00-9.30

奖励形式：高危严重双倍及中低危业务风险双倍奖励

业务范围：

大淘宝（仅限淘宝、天猫、闲鱼）、阿里妈妈、B2C零售（仅限手机天猫、天猫国际、天猫超市），

以及上述业务中涉及到淘宝/天猫会员/卖家信息(招商/报价等)/批量遍历获取卖家信息的漏洞情报，包括：

买家个人敏感信息泄漏，需要包含姓名、手机、邮箱、银行卡、地址、身份证至少四元组及以上；
大批量遍历获取商家联系信息的漏洞，包括：商家姓名、手机、邮箱、地址等信息四元组及以上；
淘天集团所有员工信息，需要包含组织架构和联系方式；
涉及商品的漏洞：上下架商品、加购、加关注、加收藏功能的越权、Get型CSRF漏洞；
涉及资金损失的漏洞：增加、篡改双十一营销活动并影响资金的越权、Get型CSRF漏洞
可获取到关键会话凭据的XSS漏洞（不包括店铺、商品域相关XSS漏洞，此类漏洞不收）
淘宝APP端内可给任意淘宝用户发消息、无感知添加任意淘宝用户为好友的漏洞
淘宝APP端内可非法调用任意JSAPI的漏洞
AIGC应用相关的漏洞，包括不仅限于提示词注入、AI模型越狱、AI模型提取等特有安全风险或者XSS、SSRF、RCE等传统安全风险。

菜鸟

活动时间：10.8-10.18

奖励形式：高危严重双倍奖励

AE、ICBU、Lazada、盒马

活动时间：9.19 10:00-10.13

奖励形式：高危严重双倍奖励

灵犀

活动时间：10.1-10.13

奖励形式：高危严重双倍奖励

阿里健康

活动时间：9.19 10:00-9.30

奖励形式：高危严重双倍奖励

2、王牌A额外奖励

活动时间：9.19 10:00-10.13

王牌A-梅花，每个高危严重报告额外奖励由10%增加到30%

王牌A-方块，每个高危严重报告额外奖励由30%增加到50%

王牌A-红桃，每个高危严重报告额外奖励由50%增加到80%

王牌A-黑桃，每个高危严重报告额外奖励由100%增加到150%

温馨提示

升级王牌A之后的每一个高危/严重报告享受王牌A专属加成奖励，该奖励直接发放至有效报告上
活动无需报名，请在阿里云先知官网各业务提交报告，默认参加活动
王牌A额外奖励适用于王牌A业务，可以与业务特别奖励叠加，非王牌A业务不参与该活动

3、王牌A升级/保级奖励

活动时间：9.19 10:00-10.13

活动期间升级/保级王牌A梅花，获得500元额外奖励

活动期间升级/保级王牌A方块，获得1000元额外奖励

活动期间升级/保级王牌A红桃，获得3000元额外奖励

活动期间升级/保级王牌A黑桃，获得6000元额外奖励

温馨提示

在活动期间升级或者保级成功，都可以获得额外奖励，该奖励需要额外联系先知运营春雪领取（钉钉号chunxuecc）

蚂蚁

活动时间：9.19-10.13

奖励规则：

1、感谢有你奖：

有效安全漏洞、情报可获取感谢奖（蚂蚁SRC T恤/蚂蚁玩偶二选一）。

2、高质量奖：

有效高危严重漏洞双倍奖励。

有效安全情报可获取双倍奖励（需详细列出情报复现链路、情报影响、情报利用证明等详情，理论及猜测情报影响均无效，需为完整情报，不完整情报不参与额外奖励，隐私合规情报与内容风险情报不参与）。

3、额外奖：

有效高危严重漏洞积分排名（总分不低于800分）前三名再额外依次发放2万、1万、5000的奖励。（如遇排名分数相同，则按提交时间排名）。

黑灰产情报、业务情报等对蚂蚁业务有较大影响的有效高危严重情报可额外再获取1倍奖励。

百度

活动时间：10.1 10:00-10.13 19:00

活动范围：百度全域

奖励规则：

1、翻倍奖励：

确认为有效严重漏洞4倍安全币，高危漏洞3倍安全币奖励；

2、实物奖励：

活动期间，提交有效严重漏洞且总分排名前三白帽送「bose soundlink mini 音箱」，提交有效高危漏洞且总分排名前十白帽送「度熊键鼠套装」；

3、年度盛典：

活动期间，在BSRC提交漏洞总分最高的白帽直通2024BSRC年度盛典（差旅0自费）。

温馨提示：

提交漏洞时漏洞名称需注明【双十一】若无则视为不参加本次活动；针对产品深度测试，如RCE利用等，需提前走BSRC报备流程，报备入口：BSRC漏洞提交页面右下角。

最终解释权归BSRC所有

贝壳

活动时间：9.19-9.30

活动范围：

贝壳直接发布的所有产品和服务，其中包括但不限于：*.ke.com、*.lianjia.com、*.realsee.com、*.ehomepay.com.cn、*.bkjk.com

奖励规则：

1、多倍奖励活动期间有效漏洞1.5倍奖励

2、前10个有效高危漏洞提交人员，获得罗技键盘/鼠标套装一份（不叠加，奖品随机发，不可选）

温馨提示：

漏洞标题需备注【双11】哦

Boss直聘

活动时间：9.19-10.13

活动范围：

参照《漏洞处理流程和评分标准V1.5版》

BOSS 直聘的产品和业务，域名包括但不限于*.zhipin.com、*.dianzhangzhipin.com、*.bosszhipin.com、*offertoday.com、*themarryapp.com；服务器包括 BOSS直聘运营的服务器；产品包括BOSS直聘发布的网站、PC客户端、移动端、小程序等。

应用类型划分：

1) 核心应用：BOSS直聘、店长直聘相关业务；

2) 一般应用：而立、offertoday、BOSS管家相关业务；

3）其他应用：其他属于BOSS直聘公司的业务。

奖励规则：

1、安全币奖励：

核心/一般应用有效严重/高危漏洞/情报 2倍安全币；

核心/一般应用有效中危漏洞/情报 1.5倍安全币；

在此基础上：

① 核心/一般应用SQL注入类漏洞每个漏洞额外增加2000安全币；

② 核心/一般应用命令执行类漏洞每个漏洞额外增加2000安全币；

③ 核心应用-严重漏洞每个漏洞额外增加2000安全币（与第1、2条同享）；

④ 核心应用-高危漏洞每个漏洞额外增加1000安全币（与第1、2条同享）；

⑤ 一般应用-严重漏洞每个漏洞额外增加500安全币（与第1、2条同享）；

⑥ 一般应用-高危漏洞每个漏洞额外增加300安全币（与第1、2条同享）；

例如：直直同学在活动期间提交核心业务SQL注入漏洞，经判定为有效高危漏洞，价值2500安全币。因活动规则中高危漏洞2倍安全币、SQL注入类漏洞额外增加2000安全币、核心应用-高危漏洞每个漏洞额外增加1000安全币，直直同学可最终获得8000安全币。

2、额外奖励：

核心/一般应用提交严重/高危漏洞数量：

数量≥1：奖品韶音OpenMove S661骨传导蓝牙耳机

数量≥2：奖品 MARSHALL EMBERTON III马歇尔无线蓝牙音响

数量≥3：奖品佳能200D 二代单反照相机（18-55mm）镜头套机官方标配

数量≥10：奖品联想YOGA Book 9i笔记本 13.3英寸双屏触控/i7-1355U/16G/1T/集显/2.8K OLED屏/雾海蓝

以上奖励不可叠加！

例如：直直同学在活动期间提交一般应用10个漏洞，经判定均为有效高危漏洞，除了“a.安全币奖励”中漏洞对应的安全币外，还可带走联想YOGA Book 9i笔记本一项奖品。

3、参与奖：

活动期间，提交有效漏洞即可获得乐扣乐扣水杯（颜色随机）

京东

活动时间：9.19-10.13

活动范围：京东所有业务

奖励规则：

1、双倍奖励：

高危及以上有效漏洞获得双倍奖励

2、高危新人有礼：

活动期间新人提交首个有效高危可额外获得1000元现金奖励及倍轻松猫爪按摩仪一个

ps：本次活动前未提交过有效高危严重漏洞白帽即视为高危新人。

3、集齐四个业务高危有礼：

活动期间京东零售、京东科技、京东健康、京东物流每个资产提交一个有效高危漏洞，即可获得迪士尼K歌音响音箱套装一个，数量有限先到先得，按照最后一个有效高危提交时间。

4、TOP高危贡献奖励

活动期间提交有效严重、高危漏洞积分（积分≥2000）

TOP1：5000元

TOP2：3000元

TOP3：1000元

温馨提示：

1、本次活动不与其他活动叠加，提交漏洞标题需添加【JSRC双十一】，若无则视为不参加本次活动；
2、基础奖励以积分形式发放，额外奖励活动结束后统一发放现金；
3、请严格遵守测试规范。

快手

活动时间：9.19-10.13

活动范围：

核心业务：

快手APP、快手极速版APP、快手电商（kwaixiaodian.com）、商业化（e.kuaishou.com）

其他业务：

「国内」 *kuaishou.cn、快影、一甜相机、快手直播伴侣、轻雀协作、回森

「国际」 Kwai

奖励规则：

1、翻倍奖励：

核心业务严重/高危漏洞3倍奖励，其余漏洞2倍奖励。

2、新人奖励：

新人白帽提交有效漏洞，可获得双倍卡奖励和卫衣一件。

3、数量奖励：

有效漏洞数量大于等于5个，可获得额外2K元奖励。

有效漏洞数量大于等于5个，且至少有2个严重/高危漏洞，可获得额外5K元奖励。

温馨提示：

（1）平台其他活动不同享，隐私漏洞、情报不参与活动。

（2）双倍卡使用规则：可在平台非活动期间使用，在报告标题进行备注。

OPPO

活动时间：10.1-10.13

奖励规则：

1、活动期间核心业务中危以上有效漏洞额外享有基础奖励的50%奖励（即1.5倍奖励）

2、活动期间提交有效核心业务高危严重漏洞数量2≤N＜5，即可享受N*1000的额外奖励，数量N≥5，即可享受N*5000的额外奖励，多挖多得，不设上限

3、活动期间首次在OSRC提交有效漏洞的白帽可获得额外奖励加成，可以跟1.5倍奖励叠加（仅首个有效漏洞享有）

平安

活动时间：9.19-10.13

活动范围：寿险、产险、健康险、壹钱包、普惠、证券、壹账通、银行

奖励规则：

1、漏洞奖励：

活动期间，提交寿险、产险、健康险、壹钱包、普惠、证券、壹账通的漏洞可享受如下奖励：（具体活动范围见漏洞详情页介绍）

低危 100元

中危 1500元

高危 5000元

严重 12000元

2、通关奖励：

集齐7家BU漏洞，可获得高危漏洞（2倍）翻倍卡1张。

翻倍卡使用方式：

在漏洞原有奖励基础上翻2倍。

翻倍卡不可与其他奖励叠加。

每个用户限用一张翻倍卡，在2024年12月31日前使用。

荣耀

活动时间：9.19-10.13

活动范围：

《荣耀互联网服务安全奖励计划规则 V1.1》

https://security.honor.com/src/#/announcement/detail?code=345595866324262912340802164

《荣耀终端安全奖励计划规则》

https://security.honor.com/src/#/announcement/detail?code=1357192657478369281134761867

奖励规则：

翻倍奖励：活动期间确认为有效漏洞双倍金额奖励

温馨提示：

禁止使用扫描器对业务扫描

提交漏洞时漏洞名称需注明【双十一】若无则视为不参加本次活动

微博

活动时间：9.19-9.30

奖励规则：

1、翻倍奖励：

严重漏洞：3倍金币

高危漏洞：2倍金币

2、总贡献奖：

活动期间总贡献积分值排名前三名的白帽子，将分别获得额外奖励

第一名：3000元

第二名：2000元

第三名：1000元

3、新人奖励：

活动期间首次提交有效报告的新人白帽可获得微博龙年公仔一个

温馨提示：

提交漏洞时漏洞名称需注明【双十一】若无则视为不参加本次活动

小米

活动时间：10.1-10.13

奖励规则：

1、翻倍奖励：

提交有效中危安全漏洞可获得1.5倍贡献币奖励

提交1-3个有效高危/严重安全漏洞可获得2倍贡献币奖励

提交4个及以上有效高危/严重安全漏洞可获得3倍贡献币奖励

2、叠加奖励：

提交有效高危及以上安全漏洞且贡献值排名前三白帽：送Redmi投影仪2Pro一台

提交有效高危及以上安全漏洞且贡献值排名前十白帽：送小米手环8Pro一个（不与上一条礼品叠加使用）

温馨提示：

1、提交漏洞时漏洞名称需注明【双十一】若无则视为不参加本次活动

2、边缘业务不参与本次活动

3、最终解释权归小米安全中心所有

字节

活动时间：9.19-10.13

奖励规则：

1、全线业务翻倍奖励：

严重、高危漏洞2倍

积分中危、低危漏洞1.5倍积分

2、新人有礼：

2024年未提交有效漏洞的白帽子，在活动期间提交任意有效漏洞，奖励虎鲸抱枕一个。

3、高校学生限时福利叠加：

9.22前报名参与ByteHACK高校挖洞挑战赛，可叠加享有福利：

提交任意有效漏洞奖励“日渐富有”桌垫一份。

温馨提示：

漏洞标题需备注【双11】；【双11】与【ByteHACK】奖励可叠加，ByteHACK需先报名，活动奖励及报名要求请扫码获取。

双十一安全保卫战报名方式

1、填写报名问卷

报名二维码(浏览器/钉钉扫描)

报名后即可申请加钉钉群

2、申请加入双11白帽战士钉钉群

活动唯一官方群，报名成功再申请进群，需备注报名时填写的昵称

此次活动的所有信息都将通过此群同步大家

填写完毕报名问卷后再加群

已在1/2/3/4/5/6群的小伙伴无需重复加群

活动唯一官方群

群号： 98405009305

或点击阅读原文申请进群

3、报名特别福利

第1、11、21、31、41、51、61、71、81、91、101、111、151、201、251、301、351、401、451、501名提交报名的白帽同学，可以获得阿里云先知定制礼品一份
工作人员会钉钉和你联系，获取邮寄地址
获奖人员公示：礼品为中秋礼盒或阿里云手办一份，按地址获取顺序优先发货中秋礼盒

报名福利第二波！第999、1000名、1001名、1100名、1101名、1200名、1201名、1201名提交报名的白帽同学，可以获得阿里云先知定制礼品一份（报名人数很接近了，还没报名的同学概率UP！）

温馨提示：

1、为方便军衔统计和发放奖励，仅在活动期间，请统一您在14家SRC中的昵称

2、群内超多福利等你（仅限钉钉群群友）

福利活动群内专享，奖励多多快来加入
优秀白帽云集，互相学习一起进步
SRC工作人员，即时沟通交流答疑
行业第一手招聘信息，我的工作我做主

以上内容仅在白帽战士钉钉群（活动唯一官方群）中进行，需报名成功再申请进群。

双十一安全保卫战

第八年

为数亿用户的安全保驾护航

双十一安全保卫战

等你加入

❤️

阅读原文

跳转微信打开

美团安全应急响应中心

美团SRC助力 | 你敢信，他们都来了！HPW白帽世界大会2026全议程发布

江湖征召令｜美团SRC专测活动进行中

江湖征召令｜美团SRC专测活动正式开启

美团SRC发布｜AI生成漏洞报告提交规范公告

致敬代码背后的守护者，美团SRC 2025年度荣誉答谢

热招｜美团安全邀你共赴新征途！

活动｜秋日“挖洞”季，邀您来测！

活动｜Keeta安全专测英雄帖：邀您洞见非凡，守护新域！

美团安全应急响应中心漏洞测试高压线V2.0

筑牢AI防线，大模型安全专测活动已开启！

报名 | 美团技术沙龙【AI+安全：智能技术在安全领域的应用探索】

活动 ｜「春风送暖，安全同行」美团直播专测召集令

荣誉 | 美团SRC2024年终奖励荣耀揭晓

美团SRC邀您领取新年礼盒啦！

鸿蒙应用签名实操及机制探究

0x00 背景

白帽世界大会 | 美团SRC期待与您在澳门相见

年末冲刺！2024漏洞马拉松『美团站』正式启动

活动｜短视频激励系统专测开启！

活动｜美团SRC七周年，多重惊喜派送中！

活动正式开启｜美团SRC邀您加入双11安全保卫战

活动｜「春风送暖，安全同行」美团直播专测召集令