陌陌安全 https://wechat2rss.xlab.app/feed/9ed3866991b2dec386b67cc579ab80f510abccc2.xml 陌陌安全致力于守护陌陌亿万用户信息安全，为陌陌产品安全保驾护航，为亿万用户提供安全的互联网生态环境。 (wechat feed made by @ttttmr https://wechat2rss.xlab.app) (陌陌安全) https://wx.qlogo.cn/mmhead/Q3auHgzwzM5s6wVRtmT4IFexmg8ibJG6Gzy7BfibhK4pHg0DBzjGZLbw/0 陌陌安全 https://wechat2rss.xlab.app/feed/9ed3866991b2dec386b67cc579ab80f510abccc2.xml 陌陌白帽赏金赛正式开赛！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489590&idx=1&sn=ee8730d408ac11854bfd5600b79a57dd 各位白帽大佬速来冲！赏金赛火热进行中，抓紧时间高效挖洞，漏洞越多赏金越丰厚，用技术变现，别错过薅奖金的好机会～ 陌陌安全 2026-05-18 11:42 天津

各位白帽大佬速来冲！赏金赛火热进行中，抓紧时间高效挖洞，漏洞越多赏金越丰厚，用技术变现，别错过薅奖金的好机会～

MMSRC

白帽赏金挑战赛

赏金开赛

欢迎各位顶尖白帽、漏洞猎手，对陌陌全业务线开展合规漏洞挖掘，积极提交安全漏洞报告。我们将依据漏洞危害等级给予丰厚赏金奖励，携手排查安全隐患、筑牢业务安全防线，以技术共建守护用户数据安全，期待各位一展身手！

文末特设惊喜抽奖福利，诚邀大家转发分享至朋友圈，参与抽奖互动，一同助力网络安全建设～

（注：转发不可设置分组，中奖后可在中奖处填写收货地址，或联系陌陌运营）

01

挖洞须知

02

活动规则

比赛活动时间：

2026.5.18-5.31（14天）

1

核心、一般业务：

  • 严重漏洞 & 情报（客户端除外），积分2.5倍暴击！

  • 高危漏洞 & 情报（客户端除外），积分2倍暴击！

  • 中危、低危漏洞 & 情报（客户端除外），积分1.5倍暴击！

2

边缘业务：

  • 严重、高危漏洞 & 情报（边缘游戏、客户端除外），积分1.5倍暴击！

3

额外奖励：

  • 凡属于Soulchill、Yaahlan、Amar业务的有效漏洞与情报，可额外获得500京东卡

  • 凡提交有效高危漏洞&情报可额外获得端午礼盒一份

  • 凡2026年陌陌白帽贡献值180以上且参加了本次活动可额外获得端午礼盒一份

  • 凡提交有效漏洞的均可获得陌陌定制T恤一件

    （注：端午礼盒限量20份，送完即止，每个ID仅领取一份奖品）

4

老带新活动：

  • 老白帽子推荐新人白帽，提交的首个有效漏洞&情报（边缘游戏业务及客户端除外），老白帽子可获得当前新人白帽的奖金10%作为推荐奖励

03

温馨提示

  1. 漏洞报告标题前标注【白帽赏金挑战赛】，若未备注标题，则视为不参加本次活动

  2. 陌陌白帽子第一名并满足3个高危及以上（需同一个ID满足3个高危及以上，不包含边缘业务和客户端），即有机会赢取三亚线下颁奖资格，全程包差旅；同时可额外斩获「白帽赏金赛」专属活动奖金

  3. 禁止多人用同一ID提交漏洞，一经发现取消所有奖励，并追回已发奖励

  4. 若5.1-5.17提交的没有积分翻倍活动，也不纳入白帽赏金赛积分排名榜

  5. 若陌陌白帽子未满足包差旅资格，也可以联系陌陌运营获取「白帽赏金赛」邀请函

    （注：未满足条件2，则不包含差旅，最终活动解释权归陌陌安全所有）

About MMSRC

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。

为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。与此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

【陌陌安全】

扫上方二维码码关注我们，惊喜不断哦

跳转微信打开

]]> Mon, 18 May 2026 11:42:00 +0800 春日福利暴击！陌陌 Q1 直播抽奖，惊喜好礼等你来薅～ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489582&idx=1&sn=2806d6b599accc8d2fff29ada330ec60 5月15号锁定陌陌直播间，Q1季度福利抽奖，好礼在线派送，人人有机会～ 陌陌安全 2026-05-12 15:00 天津

5月15号锁定陌陌直播间，Q1季度福利抽奖，好礼在线派送，人人有机会～

陌陌安全

Q1福利来袭

MMSRC

2026Q1直播抽奖

陌陌安全应急响应中心，向每一位超会 “找 bug” 的挖洞人致敬！你们手握代码利刃，精准锁定漏洞靶心，一路为平台扫清风险，用硬核实力守护陌陌安全。

值此 2026 年 Q1，我们精心准备了专属直播抽奖，诚意回馈每一份热血与坚守！

抽奖规则

2026年1月1日至2026年3月31日提交过有效漏洞的同学均有1次抽奖机会！

美丽冬天

另外还为大家准备了额外抽奖次数：

“元宵活动”活动加成：在元宵活动时间内提交过有效漏洞的白帽子们可以额外获得一次抽奖机会

元宵活动：

凡夫麒麟额外增加7次抽奖机会

把剑渡长淮额外增加2次抽奖机会

北海、Bbdolt各额外增加1次抽奖机会

2026年1月1日至2026年3月31日提交过有效高质量漏洞的白帽子可额外再获得奖品一份！

高质量漏洞：凡夫麒麟可额外获得E80全屋可移动摄像头128g一个

2026年1月1日至2026年3月31日季度TOP也可额外获得奖励

TOP1：凡夫麒麟可获得罗技K98键盘一个

TOP2：Bbdolt可获得罗技MX Master 3S鼠标一个

TOP3：北海可获得小米即热饮水机一个

（如抽奖名单有任何问题可在5月14号之前联系：momosrc@hellogroup.com或直接联系陌陌运营）

最终抽奖名单

感谢以上白帽师傅以及每一位为陌陌安全坚守的老友们，辛苦啦！

2026 全新启程，我们将持续推出奖励更丰厚、玩法更有趣的系列活动，也期待各位继续并肩，常来相聚！

活动规则

直播时间：2026.5.15   下午16:00

01/抽奖注意事项

1. 直播抽奖在陌陌APP上进行，参与的白帽师傅们和中奖的观众需登录陌陌APP，提前关注我们的主播ID：582161162

2. 需要提前修改陌陌APP上的昵称，白帽师傅陌陌APP昵称与SRC官网昵称要保持一致

3.转发公众号抽奖的观众需要和微信中奖的昵称一致

02/观众参与抽奖方式

1.参加文末抽奖（5名）

2.可观看直播参与观众现场抽奖（5名）

参与抽奖规则：

1.关注公众号

2.开奖前转发此文章至朋友圈，转发不可设置分组

03/奖品领取方式

  1. 白帽子中奖可以通过陌陌APP或微信私信主播，提供：此文章转发公众号至朋友圈截图+src账号昵称截图+奖品截图+收货地址

  2. 观众中奖可以通过陌陌APP或微信私信主播，提供：此文章转发公众号至朋友圈截图+中奖截图+奖品截屏+收货地址

  3. 所有奖品需要在 2026年5月31日 17:00 前进行兑换，未转发公众号此文章或者中奖后转发的均视为作废，白帽子和中奖观众者未参与直播抽奖均视为自动放弃，逾期未私信主播提供地址的视为放弃领取

  4. 奖品将在收到地址后的15个工作日内发出

最后再强调下时间

  直播日期 TIME  2026.05.15 16:00

下载陌陌 关注主播ID  582161162

About MMSRC

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。

为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。与此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

【陌陌安全】

扫上方二维码码关注我们，惊喜不断哦

跳转微信打开

]]> Tue, 12 May 2026 15:00:00 +0800 陌陌安全平台关于 AI 生成漏洞报告的处置公告 https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489533&idx=1&sn=c758a42bb50af4a60bfb89bdbb19bce4 感谢您一直以来对陌陌安全平台的支持与信任！ 年年 2026-04-24 10:42 天津

感谢您一直以来对陌陌安全平台的支持与信任！

随着大模型能力日益增强，利用 AI 工具辅助或自动化挖掘漏洞已成为安全研究的新趋势。近期，我们确实收到了一些由 AI 协助发现的高质量漏洞报告，但同时也面临大量未经人工验证的无效报告，甚至是被 AI “幻觉”误导而产生的误报。

为了合理分配有限的审核资源，确保陌陌安全审核团队能聚焦于真实有效的漏洞，同时维护良好的社区生态，特此发布本公告，对 AI 辅助挖掘和生成的漏洞报告提交标准进行规范：

  • 鼓励 AI 使用：陌陌安全平台积极鼓励白帽子利用 AI 工具辅助或自动化挖掘漏洞，提升发现漏洞的效率，挖掘更多潜在风险。

  • 严格人工验证：对于 AI 辅助或自动化挖掘产出的漏洞报告，提交前务必进行人工验证。请确保您已完成对报告真实性与危害性的评估和复现，并在报告中详细提供人工验证结果，包括但不限于：

    • 漏洞危害说明

    • 详细复现步骤

    • 完整的 PoC

    • 关键步骤及结果截图

  • 无效报告处理：对于直接由 AI 生成、未经人工复现或未提供有效验证结果截图的报告，陌陌安全平台将直接予以驳回，且不提供驳回原因说明。

  • 违规账号处置：对于累计提交超过 3 个 AI 生成报告且未经上报者人工验证报告有效性的白帽子，陌陌安全平台将提醒您的行为；对于累计提交超过 5 个 AI 生成报告且未经上报者人工验证报告有效性的白帽子，陌陌安全平台有权拉黑您的陌陌安全账号。

我们深知 AI 技术正在深刻改变安全研究的方式与效率，但高质量的漏洞报告目前还离不开人的判断与责任感。希望广大白帽子在享受技术红利的同时，严守技术伦理，坚守质量底线，共同维护一个专业、高效、可持续发展的漏洞披露与交流平台。

感谢您一直以来对陌陌安全平台的支持与信任！

参与该处置公告的SRC组织：阿里云先知平台、蚂蚁SRC、腾讯SRC、百度SRC、字节SRC、京东SRC、滴滴SRC、美团SRC、快手SRC、深信服SRC、携程SRC、顺丰SRC、度小满SRC、BOSS直聘SRC、荣耀SRC、智联招聘SRC、科大讯飞SRC、中通SRC、小红书SRC、货拉拉SRC、小拉SRC、小鹏汽车SRC、理想汽车SRC、奇富SRC、陌陌SRC、vivoSRC、360SRC、OPPO安全中心、小米安全中心、补天漏洞响应平台、360漏洞云、BUGBANK、太初众测平台（排名不分先后）

跳转微信打开

]]> Fri, 24 Apr 2026 10:42:00 +0800 【春锋行动】陌陌 SRC 联合狩猎，积分翻倍 + 新人专享 + 老带新福利+专项福利等你来！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489523&idx=1&sn=220c8fa6decac039b8019fdd6fca7ee7 春日猎洞狂欢！陌陌 SRC 多重活动叠加，奖励直接拉满 陌陌安全 2026-04-01 10:00 天津

春日猎洞狂欢！陌陌 SRC 多重活动叠加，奖励直接拉满

跳转微信打开

]]> Wed, 01 Apr 2026 10:00:00 +0800 陌陌安全招人啦~ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489517&idx=1&sn=05d94b0f87f0fe0b71b7d2ce96f6d39f 陌陌安全招聘进行时……MOMO陌陌招聘职等你来陌陌安全团队，招聘进行时，期待你的加入！ 陌陌安全 2026-03-23 19:09 天津

陌陌安全招聘进行时……

MOMO

陌陌招聘

职等你来

陌陌安全团队，招聘进行时，期待你的加入！

五险一金

周末双休

晋升通道

一年16薪

招聘岗位

MOMOSRC

安全工程师（SDL方向）

职位描述

1、参与业务的安全方案评审、上线前的安全测试，针对其中漏洞输出修复方案并跟进落地；

2、参与完善安全开发流程、体系化建设，制定相关安全标准和要求；

3、跟踪安全动态，研究前沿安全技术，对互联网重大安全漏洞进行响应分析；

4、对网络入侵，业务风险事件进行响应处理。

任职要求

1、熟悉常见Web安全漏洞，对漏洞原理、利用与修复加固有深刻理解；

2、熟悉Java、Python、PHP、Go等至少一种编程语言，能阅读设计文档和相关代码;

3、在漏洞挖掘，代码审计及安全解决方案等方向有较为丰富经验。

4、本科及以上学历。

5、 1-3年工作经验。

投递邮箱：sec.job@hellogroup.com

「扫码关注陌陌安全」

跳转微信打开

]]> Mon, 23 Mar 2026 19:09:00 +0800 AI代码审计（逻辑漏洞方向） https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489502&idx=1&sn=c0314b2a211b439d3b96e5a5645d66a0 陌陌安全课堂：AI 代码审计（逻辑漏洞方向）讲解 陌陌安全 2026-03-06 15:09 天津

陌陌安全课堂：AI 代码审计（逻辑漏洞方向）讲解

 momosrc 

AI代码审计

（逻辑漏洞方向）

一、概述

在上一篇“AI代码审计的探索实践”的文章中，我们探讨了利用AI进行常规Web漏洞（如SQL注入SRF、命令执行）的审计方法。对于这类漏洞，在代码形态上通常具有明显的特征，白盒审计可以很容易的定位。

       然而，安全从业者都知道，逻辑漏洞（Business Logic Vulnerabilities）才是代码审计中的深水区。与传统的注入类或配置类漏洞不同，业务逻辑漏洞往往隐匿于复杂的跨过程控制流与数据流交互之中，具有高度的上下文依赖性与非通用性。越权访问（IDOR）、支付篡改、竞争条件等这些漏洞往往隐藏在复杂业务逻辑中，且代码本身在语法上是完全正确的，这导致通过漏洞代码的形态定位到具体sink点，是行不通的，于是在本期分享中，我们将分享一种新的AI代码审计框架，可覆盖常规漏洞与逻辑漏洞的扫描。

二、难点与痛点

逻辑漏洞的核心在于状态与流程。

上下文跨度大：

Controller层的入口参数，可能经过Service层、Util层的多次流转，最后才在DAO层产生影响；

缺乏明显特征：

不像eval()或system()那样有明显的危险函数特征，逻辑漏洞往往是“合法的代码执行了非预期的业务流程”；

幻觉问题：

直接把仓库级代码丢给AI，它很容易产生幻觉，或者因为丢失上下文而漏报；

真实业务逻辑适配：

很多情况下逻辑漏洞的判别需要与真实的业务场景、逻辑相结合，而不是直接丢给模型，让AI分析是否有逻辑漏洞

三、技术路线架构

为了解决上述问题，我们采用以下架构：

01

代码结构化（Code Modeling）：

利用AST语法解析的能力将项目代码转化为代码属性图

02

关键子图提取（Subgraph Extraction）：

以实际路由为单位，利用图数据库查询路径，提取对链路分析有价值的上下文

03

AI推理与CoT（Reasoning）：

将精简后的上下文投喂给LLM，利用贴合业务逻辑的思维链技术指导LLM进行逻辑推演。

整体架构图如下所示：

Schema设计

在图数据库 NebulaGraph 中，我们需要定义清晰的 Schema 来描述代码仓库的函数调用关系，其中包括图的节点以及边的定义，如表3.1所示：

构建流程

我们采用静态分析（Static Analysis）的通用思路来构建图谱：

·解析与提取：利用语言对应的AST解析工具，遍历项目源码，提取出所有的函数定义（作为点）和函数之间的调用关系（作为边）；

·数据导入：将提取的数据通过NGQL语法，连接至Nebula Graph并进行批量导入。

3.2 有效上下文提取

与常规漏洞不同，逻辑漏洞没有定式的Source-Sink形态，所以逻辑漏洞的有效上下文应该为API的完整逻辑链路。与此同时，真实业务仓库中通常会利用注解符来对API注入拦截器、过滤器以及Controller增强类，在实际的AST解析时无法识别到这一引用关系，我们通过在项目扫描时，对这一部分单独提取扫描。

上下文的提取分为三步

·识别仓库级的拦截器、过滤器以及Controller增强类的具体实现；

·识别到整个仓库所有的API；

·根据API获取包含所有调用关系的链路，以及链路上的代码实现（子图提取）。

3.3 贴合业务场景的AI推理

在原本“图数据库 -> AI”的流程中，直接把所有提取出来的链路都丢给 AI（LLM）去审，虽然比审全量仓库代码，但依然存在两个问题：

·成本问题：很多API链路在功能、 场景上不可能存在部分漏洞，没必要浪费 AI 的算力。如查看公开文章等功能路由，我们不需要关心其越权、并发问题。

·效率问题：LLM的输出时间和输出Token量是正相关的，对于初筛步骤而言，我们只需要输出少量的内容用于标记其是否可能有漏洞，在全量仓库扫描时可以大幅度提升扫描速度

因此，在 第二步（图查询） 和 第三步（AI 深度审计） 之间，插入一个 “基于业务场景规则的 AI 初筛（Pre-screening）” 环节，是工程化落地的关键。

3.4 RAG 增强的动态 Prompt 注入与 CoT 终极推理

这一步是整个系统的“大脑”。我们利用 RAG 技术，将通用大模型瞬间转化为懂业务、懂规范的定制化安全专家，并利用 CoT 进行深度逻辑推演。

我们将这一步细分为三个阶段：动态 Prompt 注入 -> 思维链（CoT）四步推演 -> 结构化判决输出。

动态 Prompt 注入（Context Injection）

在进行推理之前，我们需要先构建一个向量数据库（Vector DB）作为 AI 的“外挂大脑”。当链路在上一步的初筛中给出漏洞标签（如条件竞争、越权）。在这一步，我们根据标签的内容，在向量数据库中进行检索，动态加载不同的专家级 Prompt 模板。

CoT 四步推理

在没有 CoT （Chain of Thought）的情况下，由于LLM 基于概率预测下一个字，容易产生幻觉，或者因为代码表面看起来没报错就认为没漏洞。

引入 CoT 后，我们要求它在给出结论之前，必须先生成一段推理路径（Reasoning Path），基于LLM的注意力机制，最后输出的时候会受到推理阶段输出内容的影响，输出正确的逻辑链从而可以降低幻觉。

我们将CoT的推理过程主要拆分成以下四步：

·识别场景与入口：识别API的功能场景，分析用户可控的入口参数；

·防御机制审计：寻找代码中的“锁”和“盾”，并结合框架层的防御内容分析防御机制的完备性与有效性；

·对抗性沙箱模拟：使AI尝试设计PoC，经过真实链路代码中的逻辑处理后，观察是否可以真实触发漏洞；

·漏洞结果判定与证据链呈现：基于推演结果，给出负责任的结论。

四、结语

     从传统的正则匹配到 AST 静态分析，再到如今的 “图数据库 + RAG + CoT” 组合拳，代码审计技术正在经历一场从“特征识别”到“认知推理”的范式转移。

在本文中，我们详细拆解了一套面向逻辑漏洞的工业级 AI 审计架构：

·数据层（Context）：利用 NebulaGraph 的高性能图计算能力，解决了代码上下文的“碎片化”问题，将跨文件、跨层级的调用链路完整地呈现在 AI 面前。

·知识层（Knowledge）：通过 RAG 技术，将企业沉淀的安全规范与历史漏洞转化为 AI 的“外挂大脑”，实现了审计能力的动态成长与业务对齐。

·推理层（Reasoning）：借助 CoT 思维链，打破了 LLM 的黑盒幻觉，强制 AI 像安全专家一样进行“攻防推演”，从而精准捕捉那些语法正确但逻辑崩坏的深层漏洞。

这套架构不仅解决了逻辑漏洞“难以自动化挖掘”的行业痛点，更通过“规则初筛 + 动态 Prompt”的漏斗模型，在工程上实现了成本与效果的平衡。

About MMSRC

陌陌安全应急响应中心

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y

跳转微信打开

]]> Fri, 06 Mar 2026 15:09:00 +0800 2026元宵福利来袭：漏洞奖金翻倍，陌陌SRC邀你共庆佳节！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489167&idx=1&sn=470a4f3eb8f8ecf9af7d78cc355d1af1 陌陌安全祝大家元宵节快乐🥣 2026 首场活动开启，3倍积分 + 限时奖金卡+额外奖励等你拿 陌陌安全 2026-03-03 15:04 天津

陌陌安全祝大家元宵节快乐🥣 2026 首场活动开启，3倍积分 + 限时奖金卡+额外奖励等你拿

元宵吃汤圆

漏洞赢奖金

_momo_

PART.1

赏金翻倍

元宵喜乐，马到功成！2026 年的第一场福利，从这碗热气腾腾的汤圆开始！🍡废话不多说，2026 开年首场活动正式上线！

活动时间：2026/3/3     15:00

             2026/3/15    23:59:59 

业务范围：

下版业务范围是最新更新的业务范围，大家可以戳戳

详见业务范围汇总公告👉🔗 业务范围汇总及奖励机制汇总

01

核心、一般业务

严重漏洞 & 情报（客户端除外），积分3倍暴击！

高危漏洞 & 情报（客户端除外），积分2.5倍暴击！

中危漏洞 & 情报（客户端除外），积分2倍暴击！

低危漏洞 & 情报（客户端除外），积分1.5倍暴击！

02

边缘业务

严重、高危漏洞 & 情报（客户端除外），积分2倍暴击！

积分加成

*表格为加成后的收益 单位： 元*

PART.2

额外福利

只要提交有效漏洞 & 情报，无论等级，个个都有额外奖励！

（一个id仅限领取一个）

PART.3

奖励体系

      陌陌SRC采用基础奖励+升级奖励+季度抽奖的奖励加成体系，详情请见 👉🔗 奖励体系&来个总结

每个季度为一个周期，无任何活动的情况下，奖励最高2.5倍buff加成+额外升级奖励最高4000元+季度末惊喜抽奖。

（活动期间如遇多个活动重叠，将按照最高奖励标准发放，不同活动不叠加享受，仅可选取其中一种活动规则参与，客户端不参与）

PART.4

限时福利

“九”逢知己，感恩同行！除了精美的元宵好礼，更有 9 周年限定奖金卡限时放送！今年的奖金池诚意拉满，各位白帽大神，准备好策马扬鞭，赢取大奖了吗？👇

9 周年前夕诚意拉满，凡属于Soulchill、Yaahlan、Amar业务的有效漏洞与情报，均可额外获赠同等级周年庆奖金卡，多提多得！

具体使用规则：

活动期间，Soulchill、Yaahlan、Amar业务的有效漏洞&情报，每一个都送对应等级奖金卡一张，奖金卡可在周年庆期间与同等级漏洞叠加兑换现金~

About MMSRC

陌陌安全应急响应中心

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

/   相  关  文  章   /

陌陌安全｜日常奖励体系

陌陌安全｜业务范围汇总

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y

跳转微信打开

]]> Tue, 03 Mar 2026 15:04:00 +0800 Q4直播抽奖福利已就位！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489122&idx=1&sn=4c97b2a71a06ccdceb9db13bda3a75a6 2025年收官Q4直播抽奖开启！丰厚硬核好礼，犒劳每一位安全守护者，速来锁定！ 陌陌安全 2026-01-22 14:30 天津

2025年收官Q4直播抽奖开启！丰厚硬核好礼，犒劳每一位安全守护者，速来锁定！

陌陌安全

年终盛宴

Q4

陌陌安全应急响应中心，始终感恩每一位 “挖洞人” 的硬核守护。你们以代码为刃、以漏洞为靶，为平台筑牢安全防线，用专业与专注，撑起了陌陌的网络安全屏障。

    值此年终之际，我们特意筹备了专属直播抽奖盛宴，回馈每一份热血付出！

🎁 重磅奖品：Switch游戏机、苹果手表 iWatch s9、苹果手表 iWatch s10、美的空气净化器、罗技MX Master 3S鼠标、小米显示器、chole香水、美的空气炸锅等等等！！！

抽

奖

规

则

2025年1月1日至2025年12月31日提交过有效漏洞的同学均有1次抽奖机会！

另外还为大家准备了额外抽奖次数：

Q4活动加成：vigar、Bbdolt额外增加3次抽奖机会，leisons额外增加2次抽奖机会

高质量漏洞：Bbdolt额外增加1次抽奖机会！

年度TOP3：Bbdolt、vigar、桃子额外额外增加一次抽奖机会！

（如抽奖名单有任何问题可在1月28号之前联系：momosrc@hellogroup.com或直接联系陌陌运营）

最终抽奖名单

感谢以上白帽师傅以及每一位为陌陌做出贡献的老友们，辛苦啦！

愿我们在新的一年里明年我们会推出奖励更加丰厚的活动和更有意思的玩法，欢迎大家常来做客。

活

动

规

则

抽奖注意事项

1. 直播抽奖在陌陌App上进行，参与的白帽师傅们和抽奖的观众需登录陌陌App，提前关注我们的主播：582161162

2. 需要提前修改陌陌App上的昵称，白帽师傅陌陌App昵称与SRC官网昵称要保持一致，转发公众号抽奖的观众需要和微信中奖的昵称一致。

观众抽奖方式

1.关注公众号

2.开奖前转发此文章至朋友圈，转发不可设置分组

我们将在公众号抽取8名幸运儿，陌陌直播间现场抽取2名幸运儿，参与现场直播抽奖

奖品领取方式

1.需要关注主播陌陌号：582161162

2.中奖者请在陌陌app私聊主播，白帽子中奖需提供src账号截图领取奖品

3.公众号中奖观众需要提供微信中奖账号截图和转发朋友圈截图领取奖品

4.直播间中奖观众需要提供转发公众号文章截图可直接通过中奖账号私信主播哦！

5.所有奖品需要在 2026年2月6日 17:00 前进行兑换~

奖品将在收到地址后的30个工作日内发出

（未转发公众号此文章或者中奖后转发的均视为作废，逾期未私信主播提供地址的视为放弃领取）

最后再强调下时间

  直播日期 TIME  2026.01.29 17:00

下载陌陌 关注主播ID  582161162

「扫码参与抽奖」

「扫码关注陌陌公众号」

阅读原文

跳转微信打开

]]> Thu, 22 Jan 2026 14:30:00 +0800 《跨年SRC联合狩猎翻倍盛典》第三期启幕 ！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489076&idx=1&sn=fca16e91ea15fec15ec90029636a8464 12家SRC联手，共筑安全防线，赢大奖！ 顺丰安全 2026-01-17 09:00 北京

12家SRC联手，共筑安全防线，赢大奖！

  * CEREMONY

跨年SRC

(

12家联手

)

GET

奖励翻倍的挖洞狂欢

DOUBLE 

REWARD

联合狩猎

翻倍盛典

DOUBLE

THE

REWARD

12家SRC联手

共筑安全防线 · 赢大奖！

G R A N D  CEREMONY     DOUBLE  THE  REWARD 

! !

G R A N D  CEREMONY     DOUBLE  THE  REWARD ! !

跨年SRC联合狩猎翻倍活动

正式启动！

12家国内SRC首次联手，打破平台限制

汇聚顶尖白帽，共同守护数字安全

奖励翻倍，机会平等

——无论你是资深高手还是新生力量

都欢迎加入这场技术与荣誉的盛宴

这个冬天，让我们一起用实力迎接新年！

总活动周期： 25.12.15- 26.1.31 

日

一

二

三

四

五

六

15

16

17

18

19

20

→ 超级福利开启！走过路过不要错过

21

22

23

24

25

26

...

未完待续... ...

新年预热    2025.12.15 - 2025.12.28

巅峰狩猎    2026.1.1 - 2026.1.15

终极冲刺    2026.1.16 - 2026.1.31

*规则提醒：你可以自由选择在任意一个或多个翻倍期里集中提交漏洞，享受奖励翻倍！非翻倍期（比如2025.12.29-12.31）提交的漏洞，会按原价正常收录，也计入总积分，只是不享受翻倍。合理安排时间，让你的收益最大化！

DOUBLE THE REWARD

GRAND CEREMONY

奖励规则

（ 怎么赢得超级大奖？） 

G R A N D  CEREMONY     DOUBLE  THE  REWARD ! !

REWARD*2

【规则详情】

基础翻倍，人人有份

  1. 在翻倍期内向任一SRC提交漏洞，即可享受该平台公布的翻倍奖励（具体倍数详见各SRC公告）。

广度挑战 赢联合礼包

  1. 如果在9家及以上SRC都提交了中危及以上漏洞，就能额外获得 “12家SRC新年联合大礼包” 一份！证明你具备跨平台实战能力。

深度角逐  冲榜赢特别激励

  1.  活动按漏洞等级累计个人总积分（严重30分，高危20分，中危10分，低危5分）。

  2.  活动结束后，总积分前5名的顶尖白帽，将获得专属 “12家SRC联合特别激励礼包” ，这是属于顶尖猎手的至高荣誉。

DOUBLE THE REWARD

GRAND CEREMONY

终极冲刺

（ 第三期SRC活动抢先看） 

G R A N D  CEREMONY     DOUBLE  THE  REWARD ! !

第三期冲锋号角由以下SRC吹响！

顺丰、小鹏汽车、BOSS直聘、陌陌、

OPPO、奇安信、马上消费

各SRC第三期翻倍规则与福利：

顺丰安全应急响应中心

一、活动时间：26.1.16-26.1.31

二、活动奖励

提交任意一般/核心系统的高危/严重漏洞即可领取一份新年礼盒。

小鹏汽车安全应急响应中心

一、活动时间：26.1.16-26.1.31

二 、活动范围

1.本次漏洞活动仅涵盖以下域名及相关系统：

*.xiaopeng.com

*.xpeng.com

*.x-peng.com

*.xiaopeng.link

特别说明：

sip系统（包括不限于sip.xiaopeng.com，

sip-eu.uat.xpeng.com，tis.xpeng.com）

只收取RCE和SSRF等能影响到内网的漏洞。

2.小鹏汽车相关威胁情报，详细标准见【公告】小鹏汽车威胁情报1.0。

三、活动奖励

1.高危严重奖励丰厚。

①高危、严重漏洞/情报2倍奖励，

②活动期间前3个严重漏洞额外奖励1000元，前3个高危漏洞额外奖励500元。

2.专属纪念品。

提交有效中危及以上漏洞/情报可获得小鹏汽车精品车模一个（每位用户限1个）。

BOSS直聘安全应急响应中心

一、活动时间：26.1.16-26.1.31

活动范围：参照《漏洞处理流程和评分标准V2.1版》

应用类型划分：

1) 核心应用：BOSS直聘、店长直聘、OfferToday相关业务；

2) 一般应用：看准、BOSS管家、撒糖相关业务；

3）其他应用：其他属于BOSS直聘公司的业务。

二、奖励规则：

1、安全币翻倍：

核心/一般应用有效严重/高危 漏洞/情报 2倍 安全币；

核心/一般应用有效中危 漏洞/情报 1.5倍 安全币；

2、漏洞首杀：

核心业务有效严重/高危漏洞，即可获得拍立得mini12 一台，每人限一个

核心业务有效中危漏洞，即可获得摩米士磁吸充电宝10000毫安一台，每人限一个

3、梯度奖励：

核心业务高危严重漏洞数量：

2≤N＜5，即可享受【高危漏洞数】*1000安全币 + 【严重漏洞数】*2000安全币的额外奖励；

N≥5，即可享受【高危漏洞数】*2000安全币 + 【严重漏洞数】*3000安全币的额外奖励；

4、新人奖励：

活动期间新注册用户，提交核心或一般业务有效中危及以上漏洞，即可获得100元星巴克星礼卡一张，每人限一个 

陌陌安全应急响应中心

一、活动时间：26.1.16-26.1.31

二、活动范围：

陌陌全线业务，详情请关注陌陌微信公众号：

（公告|业务范围汇总及奖励机制汇总）

漏洞提交地址：https://security.immomo.com/

三、奖励机制：

1.严重、高危漏洞2倍积分

2.中危、低危1.5倍积分

3.老带新奖励：老白帽子推荐新人白帽子，可获得新人白帽子提交的首个有效漏洞基础奖励的20%作为推荐奖励

（边缘业务、客户端不参与此活动）

4.活动最终解释权归陌陌安全所有

OPPO安全中心

一、活动时间：26.1.16-26.1.31

二、活动范围及奖励规则

1、高系数与极高系数所有漏洞等级可获得1.5倍奖励（额外奖励将在活动结束后统一添加）

2、首次在OSRC提交有效漏洞的白帽可享受首个漏洞1.5倍奖励，不限等级与业务系数，不与活动系数叠加

3、活动期间凡是提交中危及以上有效漏洞（不限业务系数）者均可0积分兑换OSRC新年礼盒一份，每个ID仅限1份

漏洞接收范围：请参考OSRC官网公告中漏洞标准规范

https://security.

oppo.com/cn/notice

三、活动说明：

1、活动标题：提交时报告标题需添加【跨年联合】，否则不视为参与活动，如：【跨年联合】RCE漏洞

2、活动漏洞请通过OSRC官网（security.oppo.com）

提交漏洞，漏洞提交时间以提交时间为准，标题格式需严格按照要求，否则将不视为参与漏洞。

3、活动的漏洞奖励不与其他活动的额外现金奖励同享。漏洞需按标题格式提交。按标准格式提交的漏洞，默认仅参与本次活动。一个漏洞不能同时参加多个活动。

4、活动额外奖励将在活动结束后统一添加，并跟随月度奖励一同发放。如奖金与OSRC现有奖金等级冲突，以奖金高者为准。

5、参与活动的有效漏洞贡献值将计入当月贡献值排名，可享当月实物奖励（如有），额外奖励不计入贡献值。

6、如有疑问，可咨询OSRC运营小助手

【微信号：opposrc2018】，或加QQ群【551696812】或

【320761688】获取活动第一资讯。

7、活动最终解释权归OSRC所有。

奇安信安全应急响应中心

一、活动时间：26.1.16-26.1.31

二、活动范围及漏洞定级

参照《QAXSRC漏洞评级标准V3.2版》

（可在补天漏洞提交平台公告处查看）

三、奖励机制

1、【前10名】提交有效中危及以上漏洞，额外奖励价值500实物奖品

2、提交【A类产品】的有效高危及以上漏洞，在原有漏洞奖金上额外奖励5000元（与漏洞奖金一并发放）

3、提交【B类产品】的有效高危及以上漏洞，在原有漏洞奖金上额外奖励3000元（与漏洞奖金一并发放）

特别说明：

1、需在提交标题中加上【SRC联合活动】才算参与活动

2、【前10名提交有效中危及以上】

与【提交A/B类有效高危】奖励不可叠加

3、隐私合规类漏洞不参与本次任何活动

漏洞提交地址：

https://qianxin.butian.net/

马上消费安全响应中心

一、活动时间：26.1.16-26.1.31

二、活动范围及漏洞定级：马上消费公司全线业务，详见《马上消费金融外报漏洞处理和评分标准》（https://src.msxf.com

/announcement/detail?id=1）

注：智慧养鸡（wisdomxiaoji.msxf.com）

业务暂停收取。

三、奖励机制
1）单个漏洞最高奖励3.5w

严重/高危/中危统统2倍基础奖励，核心严重再+1.2万元；

核心高危、重点严重、重点高危：在基础奖励上额外奖励1万元；

边缘严重、边缘高危：在基础奖励上额外奖励1000元；

2）推荐奖励：活动期间，新注册白帽每提交1个中危及以上有效漏洞并经过审核确认，推荐老用户可额外获得500元。奖金可叠加。
四、 漏洞提交地址：

https://src.msxf.com/

参与路径：注册完成后，在“项目大厅”进入联合众测
五、 测试注意事项：禁止对未授权厂商、未分配给自己的项目、超出测试范围的列表进行漏洞挖掘，参与者需遵守《SRC行业安全测试规范》 

GRAND CEREMONY

END.

阅读原文

跳转微信打开

]]> Sat, 17 Jan 2026 09:00:00 +0800 Q4年终盛宴|妙寻安全宝藏 https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247489070&idx=1&sn=c385b2d2dca4e7994859b27b2fa4c67c Q4季度的年终盛宴开始啦！！！Q4年终奖励翻倍 陌陌安全 2025-11-21 12:01 天津

Q4季度的年终盛宴开始啦！！！Q4年终奖励翻倍

Q4年终盛宴

妙寻安全宝藏

momo

SECURITY

亲爱的老朋友们

Q4季度的年终盛宴开始啦🎉🎉🎉

陌陌、探探高危/严重有效漏洞&情报

奖励2.5倍等你拿

中危/低危有效漏洞情报

奖励2倍大升级

有效漏洞首发奖励+额外奖励

宝子们！冬日来挖洞，丰厚奖励暖到你冒泡

文末抽奖！！！

活动时间：

2025.11.21 14:00

2025.11.30 23:59

奖励体系：

陌陌SRC采用核心业务、一般业务，高危、严重漏洞2.5倍积分加成+中危、低危漏洞2倍积分加成+首发奖励+额外奖励+季度抽奖的奖励加成体系

首发奖励

     宝子们，只要你第一个提交对应业务的有效漏洞or情报，就能把这份专属奖励带回家啦！别犹豫，赶紧冲，奖励先到先得哟！

积分加成

     11.21-11.30活动期间提交核心业务或一般业务，有效高危、严重漏洞&情报2.5倍积分奖励加成，有效中危、低危漏洞&情报2倍积分加成

     单个漏洞&情报最高奖励可达2.5w元！（客户端漏洞不参与积分奖励加成活动）

活动奖金格外丰厚！详细可见下表：

*表格为加成后的收益 单位： 元*

额外奖励

     11.21-11.30活动期间，所有的有效漏洞&情报均可获得额外抽奖次数*1。

     活动抽奖福利大升级，海量额外抽奖次数任性送，神秘超级大奖已就位，速来揭开幸运谜底🥳🥳🥳🥳

     家人们high起来！先给你们狠狠预告一波年终惊喜！本次活动结束，我们就按照12月26日00:00的排名算年榜，都麻溜冲，大奖哇塞！宝子们快看过来呀！

     今年陌陌SRC依旧懂大家的心哦~给年榜前三准备了额外现金奖励，年榜TOP3能拿额外现金奖励🧧🧧，这可是白花花的银子啊！我们会在12月26日00:00点准时清算年榜，到时候年榜前3名直接把现金抱回家，大家赶紧冲，别让这大便宜溜走咯！

     年榜的事儿说完啦，那么就要给大家说说福利的事儿啦！一月大家心心念念的抽奖直播又要回来啦，真的好久没见，我都想得不行！这次直播回归可是藏了不少惊喜🎁🎁，还有现金奖励等着大家呢！届时，赶紧锁定直播间，成为这场寻宝之旅的幸运儿，说不定下一个暴富的就是你！

About MMSRC

陌陌安全应急响应中心
（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。

为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。与此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

关注公众号+转发参与抽奖

转发不可设置分组

中奖后私信公众号兑奖

（宝子们！注意盲盒为图片上的一盒哦🥳🥳快快参与起来吧）

陌陌安全应急响应中心漏洞处理流程及评分标准V3.0

业务范围汇总及奖励机制汇总

「陌陌安全」

扫上方二维码码关注我们，惊喜不断哦

阅读原文

跳转微信打开

]]> Fri, 21 Nov 2025 12:01:00 +0800 陌陌安全应急响应中心漏洞处理流程及评分标准V3.0 https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488975&idx=1&sn=b6810635fecf5a790d90e928fc238965 公告|《漏洞处理流程及评分标准v3.0》 陌陌安全 2025-11-18 15:00 天津

公告|《漏洞处理流程及评分标准v3.0》

暖护同行十一月

MMSRC《漏洞处理流程及评分标准 V3.0》

发布啦！！！！

详细内容可以点击陌陌公告栏查看

或点击阅读原文查看

新公告来袭！

聚焦陌陌安全，解锁安全新动态

  守护数字世界，邀您一同关注！ 

阅读原文

跳转微信打开

]]> Tue, 18 Nov 2025 15:00:00 +0800 季度抽奖之福利从天而降！？ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488879&idx=1&sn=6b5ec622370bf320a6ec1592877102ed 2025-10-13 15:00 天津

 2025Q3直播抽奖预告 

LOOKing Here

-🎉Q3季度抽奖直播看这里-

-惊喜不停！锁定 10月15日 16:00 陌陌直播间🎉-

 NO.1 

hello，艾瑞巴蒂！我们的Q3季度抽奖来咯！本次季度抽奖给大家送波福利，请大家一起happy！OK，下面为大家说明规则并进行点名~

☀️ 阳光普照：凡是本年度提交过有效漏洞的师傅，自动获得1次抽奖机会！

🏆 年榜专属：特别点名本年度漏洞贡献榜前三名：每位将额外获得1次抽奖机会！

以下为获得抽奖次数的师傅名单：

vigar、桃子、 司南伯 各获得 2次抽奖机会

如困兽之斗。、Lanxiy7th、TUTUBABA、Yian、1108137009、月神 各获得 1次抽奖机会

 NO.2 

关于本季度的直播抽奖，将在10月15日（周三）16:00 准时开始。记得定好闹钟，准时收看，咱们直播间不见不散哟！

 NO.3 

除了以上拥有抽奖次数的白帽师傅之外，参与抽奖直播的吃瓜同学也有可能获得惊喜奖品哦～吆喝上你身边的朋友来热闹热闹！

✨ 抽奖注意事项 ✨

1. 直播抽奖在陌陌App上进行，参与的白帽们需要登录陌陌App。请提前关注我们的主播：1018758024，到点开播。

2. 请各位师傅提前修改陌陌App上的昵称，陌陌App昵称与SRC官网昵称需要保持一致。

✨ 奖品领取方式 ✨

一定一定要关注主播陌陌号：1018758024，中奖者私聊主播陌陌领取奖品！

所有奖品需要在  10月17日（周五） 18:00  前进行兑换！！！

【✌🏻最后再强调一下时间✌🏻】

直播日期TIME 2025.10.15 16:00

下载陌陌 关注主播ID 1018758024

About MMSRC

Image

陌陌安全应急响应中心

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。

为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

/   相  关  文  章   /

Image

陌陌安全｜日常奖励体系

Image

陌陌安全｜业务范围汇总

Image

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y

阅读原文

跳转微信打开

]]> Mon, 13 Oct 2025 15:00:00 +0800 AI代码审计的探索实践 https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488870&idx=1&sn=dcdc61eef17bedd213778fab6ef7dc28 2025-08-28 15:00 天津

Image

背景

在软件开发过程中，代码审计是确保代码安全、高效并符合预期功能的关键步骤。随着人工智能技术的发展，尤其是大模型（如OpenAI的GPT系列、Google的BERT等），其在代码审计领域的应用逐渐展现出巨大的潜力和价值。本报告将探讨大模型在代码审计中的应用，包括当前的实践、挑战与未来的发展方向。

一、技术难点

在代码审计领域，人工智能和生成式人工智能（AIGC）的应用可以极大地提高效率和准确性，尤其是在处理大型代码库和复杂系统时。AIGC 可以帮助自动化许多代码审计过程中的重复和劳动密集型任务。然而，将 AIGC 技术成功落地到代码审计领域，需要考虑一些问题。

1.1 模型隐私问题

代码审计涉及到企业内部代码，具有高等级私密性。因此，不可将其输入至一些商业化在线模型如ChatGPT、Claude等，因这些模型可能会将数据存储或使用于不可控的环境中。

1.2 跨文件的审计框架

现有的AI代码审计模型通常只能处理单个或少数几个文件，而无法从整个项目的角度进行全面分析。这种局限性可能导致对实际问题的检测不足或误解，例如，可能会错误地标记安全的代码行为为潜在的安全风险。因此，开发能够理解和分析整个项目结构的AI模型是提高代码审计质量的关键。

1.3 模型长上下文问题

如果将整个项目交给大模型来分析，会造成两个无法避免的问题：

1、项目级代码量太大，非商业的开源模型很难支撑这么长的token序列，并且显存的可用情况也是需要考虑的；

2、超长的Token解析会导致模型有限的注意力资源无法聚焦关键点，模型分析能力大幅下降

1.4 模型检测能力不足

非商用开源模型往往在功能和性能上不如商用模型，这可能导致在实际的代码审计中出现误报和漏报。此外，如果模型训练的数据不够新或不够全面，新出现的编程模式和安全漏洞可能无法被有效识别和处理。

1.5 跨项目级审计框架

在实际的业务代码中，不同功能的代码可能分布在多个仓库中，例如Controller和Service可能位于不同的项目仓库。这就需要一个能够跨仓库获取和分析信息的审计框架，这样的框架能够提供更全面的视角，帮助模型更准确地理解和审计代码的实际运行和安全状况。

二、技术选型

针对上述技术难点，我们分别制定了一些方案来解决。

2.1 自部署模型

为了应对代码审计中的隐私和安全问题，选择在本地部署开源模型是一种理想的解决方案。这种方法允许企业完全控制模型的运行环境和数据，从而确保敏感信息的安全，并允许企业根据具体的审计需求定制和优化模型。此外，自部署模型还使企业能够自主管理模型的更新和维护，以适应新的安全威胁和技术变化，同时评估所需的硬件资源以保证模型运行的效率和稳定性。这种做法不仅提高了审计的安全性，还增强了模型的适应性和响应能力。

2.2 静态审计工具与大模型相结合

为了克服长上下文的痛点，我们期望能够提取出一个漏洞链路上所有的有效代码，尽可能全量提取对漏洞分析有效的非冗余代码，利用常规漏洞Source与Sink点的形态识别到有效链路（如Controller入口的参数与污点参数的处理变换过程，直到最后的Sink执行点），减少大模型输入的信息。

为了构建跨文件、跨项目关联的审计框架，我们依然需要确定不同文件之间的函数调用关系与关联仓库之间的调用关系，所以项目的编译是在所难免的，利用编译生成的AST抽象语法树及语意信息匹配到相应的调用关系。

考虑到以上两点，我们利用开源的代码分析引擎，将源代码转化成一个可查询的数据库，通过解析模块对源代码工程进行关键信息分析提取，构成一个关系型数据库，其中包括了源代码文件、关系数据、语言相关的数据架构（结构中 定义了数据之间的相互关系），通过人工编写相应漏洞的静态规则，并将这些规则编译成可执行查询，我们可以在这个数据库中有效地提取关键的代码链路信息，实现对有效且非冗余代码的全面分析，以便进行深入的漏洞检测。这种方法不仅提高了安全性分析的精确度，也优化了代码审查过程。

2.3 RAG式的定制版漏洞检测方案

为了强化模型对漏洞的检测能力，我们期望能够更多地依靠安全研究员的经验来进行漏洞检测。于是我们采用了RAG(Retrieval-augmented generation)的方案，通过由安全人员自行编写各种漏洞的检测方案，不用对基座模型进行微调的情况下，指导模型提供更有效、更具体的检测方案。这种插拔式的知识挂载也能够支持更方便的漏洞检测方案更新，以应对不同的业务逻辑情况。

RAG的基础流程如图2.1所示，首先需要将文档切分成小段，然后利用 Transformer 编码器模型或embedding模型将这些文本段转换成向量形式。接着，把所有向量汇集到一个索引里。最后，你需要为大语言模型（Large Language Model, LLM）制定一个提示词，这个提示词会指导模型根据我们在搜索步骤中找到的上下文信息来回答用户的查询。

图2.1 RAG架构图

三、实现落地

基于以上的方案设计，我们提出了一种融合静态代码审计与大模型分析的混合架构，旨在充分发挥两者的优势，形成闭环式漏洞检测流程，整体架构如图3.1所示。

静态代码审计：初筛与链路提取

利用成熟的静态分析工具，对目标代码仓库进行初步扫描，生成包含漏洞利用链路及相关节点信息的静态审计文件。这一步骤旨在快速定位潜在风险区域，缩小后续分析范围。

Tree-sitter工具：精准获取上下文

借助Tree-sitter解析器，从静态审计文件中提取调用链节点对应的代码块，作为大模型分析的上下文输入。此过程确保了大模型能够在有限的Token范围内获得最相关的信息。

大模型审计：深度分析与报告输出

最终，使用高性能大模型对完整链路进行综合评估，输出详细的漏洞分析报告。该环节侧重于语义理解和逻辑推导，从而提升检测精度并降低误报率。

图3.1 AI代码审计架构图

代码分析引擎：静态扫描的起点

作为静态分析的核心工具，代码分析引擎通过对项目代码仓库进行初步扫描，识别潜在的安全漏洞。它以项目代码仓库和漏洞检测规则为输入，生成包含漏洞利用链路及相关节点信息的SARIF文件，为后续深入分析奠定基础。

AST解析：上下文的解码者

为了从SARIF文件中提取调用链上节点的具体代码实现（即代码上下文），我们引入了抽象语法树（AST）解析模块。该模块以文件路径、目标行数及编程语言为输入，输出两部分关键信息：

       1.文件名与函数实现（若目标行并非函数定义，则直接返回目标行内容）。

       2.目标行的具体位置。

Agent分析师：长链路的解剖师

当调用链过长且显存资源有限时，Agent分析师模块将接管任务。它专注于对函数代码块进行深度审计，生成详细的长链路分析报告。其输入为函数实现与代码行，输出则是一份详尽的分析文档，帮助揭示复杂逻辑中的隐患。

RAG外部知识库：智慧的源泉

为了提升模型的推理能力，我们构建了基于检索增强生成（RAG）的外部知识库。这一知识库不仅存储了大量的安全审计经验，还通过动态更新机制确保知识的时效性与全面性。

代码审计师：结合CoT方案的终极裁判

最终的代码审计由代码审计师完成，它结合思维链（Chain of Thought, CoT）方案，根据输入的上下文（短链：函数实现；长链：Agent分析报告）生成最终分析报告。这一过程犹如一位经验丰富的侦探，通过缜密推理揭开隐藏的真相。

四、结果分析

在我们针对内部的100个项目实际运行过程中，通过对SSRF、SQL、RCE的CoT检测方案优化，检测结果如下。

漏洞类型

准确率

SSRF

96.17%

SQL

77.46%

RCE

85.71%

表4.1 AI代码审计结果分析

五、存在的问题与优化的方向

我们在落地使用的时候遇到了一些问题，如链路提取不完整、静态规则无法支持逻辑漏洞的链路筛选，规则覆盖性强依赖于特定知识库的内容丰富度等。这些问题在目前的架构设计中不易解决，目前正在探索基于代码流图方式的AI代码检测，来覆盖常规编码型漏洞及业务逻辑漏洞，感兴趣的同学可以私聊我们一起来聊一聊。

About us

Image

陌陌安全

致力于以务实的工作保障陌陌旗下所有产品及亿万用户的信息安全

以开放的心态拥抱信息安全机构、团队与个人之间的共赢协作

以自由的氛围和丰富的资源支撑优秀同学的个人发展与职业成长

Image

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y

阅读原文

跳转微信打开

]]> Thu, 28 Aug 2025 15:00:00 +0800 浅谈威胁情报技术 https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488849&idx=1&sn=244b31ed3e540e6adfd90cb19574dc25 2025-08-04 15:01 天津

引言

在数字化时代，网络安全威胁日益复杂，传统的防御手段已难应对新型攻击。威胁情报(Threatlntelligence) 作为一种新型的安全技术，正在成为企业防御体系中的重要一环。它不仅能够帮助企业提前感知威胁，还能缩短应急响应时间，提升整体安全防护能力。


一、什么是威胁情报

1.1 威胁情报基本概念

威胁情报是基于证据的知识，通过分析攻击者的动机、手段和目标，为企业提供可操作的网络安全信息。Gartner将其定义为：“一种基于证据的知识，包括上下文、机制、指标、影响和操作建议，用于识别已存在或潜在的威胁。”

威胁情报的核心特征包括：

  1. 自身相关性：明确企业需要保护的资产，如数字资产、实体资产和无形资产。

  2. 威胁源描述：深入了解攻击者的身份、动机、工具和攻击方法（TTPs）。

  3. 多层面价值：为不同层级的用户（如运维团队、安全专家、管理层）提供定制化的情报支持。


1.2 情报金字塔模型

广义的威胁情报中，按获取难度、准确度、信息量从低到高，依次为 :

恶意文件的 hash；

主机特征（主要为 windows平台）：互斥体、运行路径、注册表项；

网络特征：ip、域名、url、通信协议；

事件特征（TTPs）：恶意团伙使用的技术手段，同一个团伙可能会使用类似的手段，可以作为定位团伙的证据；

组织：基于事件特征证据和其他信息，可能会分辨出多个攻击事件背后的同一个组织，并判定组织的来源、分工、资源状况、人员构成、行动目标等要素；

人员情报：定位到攻击背后虚拟身份对应的真实人员身份，定位到人也就定位到了威胁的根源(比如定位了病毒的作者并掌握了证据即可实施抓捕)。


二、行业标准和规范

2018年10月10日，我国正式发布了首个关于威胁情报的国家标准——《信息安全技术 网络安全威胁信息格式规范》（GB/T 36643-2018），标志着我国在威胁情报标准化建设方面迈出了关键一步。该标准为网络安全威胁信息的表达与共享提供了统一的框架，对推动国内威胁情报的规范化应用具有重要意义。

与此同时，国际上在威胁情报标准化方面已形成较为成熟的技术体系和广泛应用实践。例如，美国国家标准与技术研究院（NIST）发布的《联邦信息系统和组织的安全与隐私控制》（NIST SP 800-53）、《联邦网络威胁信息共享指南》（NIST SP 800-150），以及由MITRE主导开发的STIX（结构化威胁信息表达式）、CybOX（网络可观察表达式）和TAXII（可信自动化威胁指标交换）等标准，已在全球范围内被广泛采纳，成为跨国、跨组织威胁情报共享的重要技术基础。

其中，STIX 与 TAXII 作为当前最具影响力的两大标准，已获得IBM、思科、戴尔、大型金融机构以及美国国防部、国家安全局等权威机构和企业的支持，并在长期实践中不断演进与完善，形成了成熟的生态系统。

下面对几种主流的威胁情报标准与规范进行简要介绍。

2.1 结构化威胁信息表达式（STIX）

结构化威胁信息表达式（Structured Threat Information eXpression，STIX）是一种基于标准语法（支持XML和JSON格式）描述威胁情报内容的技术规范。它能够系统化地表达威胁的多个维度，包括威胁主体、攻击活动、攻击指标（IoCs）、攻击方法（TTPs）、漏洞利用、攻击目标以及应对措施等。

STIX 支持与 CybOX 配合使用，以精确描述可观测行为细节，同时也兼容其他数据格式。通过标准化的情报表达方式，STIX 显著提升了安全团队之间情报交换的效率与准确性，减少了沟通歧义，并支持自动化分析与响应。该规范广泛参考了美国国土安全部（DHS）的相关数据格式要求，确保了各STIX实体中字段定义的一致性与规范性。

2.2 指标信息的可信自动化交换（TAXII）

可信自动化威胁指标交换（Trusted Automated eXchange of Indicator Information，TAXII）是一种用于安全传输和共享威胁情报信息的通信协议。TAXII 并不限定数据格式，可支持多种内容类型（如 STIX 格式）的传输，当前最常见的应用模式是“使用 TAXII 传输，使用 STIX 描述”。

TAXII 定义了标准化的服务接口和信息交换机制，支持多种共享模型，包括中心-分支（hub-and-spoke）、点对点（peer-to-peer）和订阅推送（subscription）等。它在保障数据传输安全的同时，将拓扑结构、信任管理、访问控制等复杂策略交由上层协议或业务约定处理，从而实现了灵活性与安全性的平衡。

2.3 网络可观察表达式（CybOX）

网络可观察表达式（Cyber Observable eXpression，CybOX）是一套用于描述计算机系统和网络环境中可观测对象及其行为的标准规范。这些可观察对象包括文件、进程、注册表项、网络连接、HTTP会话、X.509证书、系统配置等。

CybOX 提供了一种结构化、可扩展的语法体系，用于精确刻画系统运行过程中可被检测或测量的行为特征。在威胁检测中，某些特定的可观察行为（如特定路径下的注册表修改）可作为判断恶意活动的高置信度指标（Indicator），为威胁识别提供关键依据。

2.4 信息安全技术网络安全威胁信息格式规范

我国国家标准 GB/T 36643-2018 从八个核心组件出发，构建了完整的网络安全威胁信息表达模型，包括：可观测数据、攻击指标、安全事件、攻击活动、威胁主体、攻击目标、攻击方法和应对措施。这些组件被进一步划分为三个逻辑域：

  • 对象域：包含威胁主体（攻击者）与攻击目标（受害者），用于描述攻击关系；

  • 事件域：涵盖攻击活动、安全事件、攻击指标和可观测数据，完整呈现攻击过程的时间线与行为链；

  • 方法域：包括攻击方使用的技术、战术与过程（TTPs），以及防御方采取的检测、响应、防护与恢复措施。

该标准通过结构化建模，实现了对网络攻击全生命周期的系统化描述，为国内威胁情报的采集、共享与应用提供了统一的技术依据。

2.5 其它规范

目前，STIX、TAXII 和 CybOX 构成了威胁情报领域的核心标准体系，广受业界关注与应用。除此之外，还有多个配套或关联标准，如：

  • CPE（Common Platform Enumeration）：通用平台枚举，用于标识软硬件产品；

  • CCE（Common Configuration Enumeration）：通用配置枚举，描述系统安全配置项；

  • CWE（Common Weakness Enumeration）：常见缺陷枚举，描述软件漏洞成因；

  • CAPEC（Common Attack Pattern Enumeration and Classification）：常见攻击模式分类；

  • MAEC（Malware Attribute Enumeration and Classification）：恶意软件属性枚举与分类；

  • OVAL（Open Vulnerability and Assessment Language）：开放漏洞评估语言。

这些标准共同致力于构建一个全面、互操作性强的网络安全信息生态体系。尽管目前尚无单一标准实现全球统一，但它们的持续发展极大地推动了威胁情报技术的进步。我们期待我国发布的 GB/T 36643 标准能在实践中不断完善，逐步成为国内威胁情报共享的通用规范，助力国家网络安全能力的整体提升。

三、威胁情报分类

在网络安全领域，威胁情报的分类方式多种多样。其中，Gartner提出的分类方法最为广泛接受，它根据使用场景将威胁情报分为三大类：战术级情报、运营级情报和战略级情报。每种类型的情报服务于不同的用户群体，并针对特定的安全需求提供支持。接下来，我们将详细介绍这三种类型的威胁情报及其应用场景。

3.1 运营级情报

运营级情报主要面向安全分析师和事件响应团队，用于对已知的重要安全事件进行深入分析。这类情报帮助识别攻击的影响范围、确认报警的真实性、解析攻击链以及理解攻击者的技战术手法（TTPs）。此外，运营级情报还能用于主动搜索与已知攻击模式相关的线索。以下是运营级情报中最常用的四种分类：

3.1.1 基础情报 

基础情报提供了关于网络对象的基本信息，如IP地址、域名、电子邮件地址、SSL证书及文件等。具体包括开放端口和服务、WHOIS记录、自治系统编号（ASN）、文件哈希值（HASH）以及地理位置信息。这些数据有助于了解某个网络实体的本质及其使用者。

3.1.2 威胁对象情报 

威胁对象情报专注于与威胁直接相关的对象信息，例如IP地址或域名。这类情报通常包含攻击者使用的基础设施详情，可视为犯罪分子的行为证据和历史记录，帮助追踪攻击源头。

3.1.3 IOC情报 

IOC（Indicator of Compromise，妥协指标）是指那些在检测或取证过程中具有高置信度的威胁特征信息。它们可以是特定的恶意IP地址、域名、文件哈希值或其他技术指标，用于标识潜在威胁的存在。

3.1.4 事件情报 

事件情报综合了各种相关信息，为安全运营团队提供外部威胁概览和具体安全事件的详细描述。通过事件情报，运营者能够针对当前面临的安全事件采取针对性的防护措施，优化应急响应流程。

3.2 战术级情报 

战术级情报主要用于自动化检测和分析，旨在快速发现新的威胁并确认报警的有效性。此类情报通常是机器可读的，可以直接集成到安全设备中实现自动化的威胁检测和优先级排序。常见的战术级情报包括：

3.2.1 失陷检测情报（CnC情报） 

CnC（Command and Control）情报指的是攻击者用于控制受感染主机的远程命令与控制服务器的相关信息。这类情报对于识别已被攻破的系统至关重要，能有效防止进一步损害。

3.2.2 IP情报 

IP情报涉及恶意IP地址的信息，可用于实时监控网络流量中的可疑活动，迅速定位潜在威胁源。

3.3 战略级情报 

战略层面的威胁情报是给组织的安全管理者使用的，比如CSO。它能够帮助决策者把握当前的安全态势，在安全决策上更加有理有据。包括了什么样的组织会进行攻击，攻击可能造成的危害有哪些，攻击者的战术能力和掌控的资源情况等，当然也会包括具体的攻击实例。

四、威胁情报要点

在威胁情报领域，有一个普遍误区：情报越多越好。事实上，真正有价值的情报并非海量数据的堆砌，而是精准、相关、可行动的信息。只有经过深度分析、具备上下文支撑并能指导防御决策的知识，才能称之为“情报”。

我们可以从三个层次理解这一概念：

  • 数据（Data）：原始的、未经处理的记录，如日志条目、IP地址、文件哈希等。

  • 信息（Information）：对数据进行加工后形成的有意义内容，例如“某IP在过去24小时内发起大量SSH爆破”。

  • 情报（Intelligence）：在信息基础上，结合攻击者动机、TTPs（战术、技术与过程）和业务背景进行研判，得出可用于预测、响应或决策的结论。

因此，威胁情报的本质，是将海量数据转化为可操作的洞察力。

4.1 威胁情报生产

高质量威胁情报的产出，依赖于多源数据采集 + 深度分析能力。对大多数安全厂商而言，数据资源的广度与深度直接决定了情报的质量上限。以下是业界主流的七种情报生成方法：

4.1.1 开源情报（OSINT）

开源情报（Open Source Intelligence，OSINT）指从公开渠道获取的安全信息，是威胁情报的重要来源之一。包括：

  • 公开披露的漏洞信息（如CVE、CNVD）

  • 安全厂商发布的威胁报告

  • 黑客论坛、暗网中的攻击线索

  • Tor节点列表、恶意C2域名/IP

  • GitHub上公开的攻击工具或配置

虽然这些信息易于获取，但不能直接用于生产环境。必须经过验证、去重、打标和上下文补充，确保其当前仍具威胁性，才能转化为可靠情报。

4.1.2 杀毒引擎反馈机制

拥有终端防护产品的企业（如杀毒软件、EDR平台），可通过客户端采集大量恶意样本行为数据，进而生成高置信度的文件HASH情报。

不同环境捕获的样本类型存在差异：

  • 个人终端侧：常见钓鱼邮件附件、盗版软件捆绑木马、勒索病毒等；

  • 服务器侧：多为自动化攻击植入的挖矿程序、后门程序、远程控制木马等。

因此，像腾讯、微软等兼具终端与云安全布局的厂商，在样本覆盖面上具有显著优势；而360、火绒等专注PC端的厂商，则在个人用户场景中积累深厚。此外，通过分析样本运行时的行为（如调用PowerShell下载脚本），还能反向关联出C2通信地址，扩展情报维度。

4.1.3 动态沙箱分析

动态沙箱是一种在隔离环境中执行可疑文件，并监控其行为的技术手段。它不仅能判断文件是否恶意，还能提取关键行为指标，如：

  • 创建的进程与服务

  • 修改的注册表项

  • 建立的网络连接（IP、域名、端口）

  • 释放的子文件

对于没有自有杀软产品的安全公司来说，沙箱是获取样本行为数据的重要途径。可通过开放公众提交接口，或采购第三方样本库（如VirusTotal）来丰富样本来源。国内知名威胁情报厂商如微步，便将沙箱作为核心生产手段之一。

4.1.4 网络流量监测

借助防火墙、WAF、IDS/IPS、流量探针等安全设备，可实时捕获网络中的异常行为，生成针对性情报：

  • 恶意入站攻击源IP（如SQL注入、RCE攻击）

  • 失陷主机的C2外联行为

  • BOTnet控制节点、恶意爬虫IP

  • 业务层面的异常账号（如批量注册邮箱、虚假手机号）

更重要的是，这类方式能保留完整的攻击上下文，例如攻击利用的具体漏洞、C2通信使用的协议特征等。通过对已知恶意家族的通信模式建模（如H2Miner挖矿程序在HTTP头中携带固定字段），还可制定检测规则，在流量层持续发现同类威胁。

4.1.5 蜜罐诱捕技术

蜜罐通过模拟存在漏洞的服务或系统，主动暴露高危端口，吸引攻击者“上钩”。部署在云端的蜜罐网络，可高效捕获：

  • 自动化扫描行为

  • 新型漏洞的在野利用（0day/1day）

  • 僵尸网络传播路径

  • 蠕虫病毒扩散过程

这些数据进入情报分析流程后，有助于提前预警新型攻击趋势。值得注意的是，大型云服务商无需额外部署蜜罐——其真实业务系统本身就是天然的“诱饵”，每天都会遭遇大量攻击尝试，结合旁路流量分析与主机探针，即可实现高效的威胁数据采集。

4.1.6 主动互联网扫描

该方法通过主动探测互联网上的服务响应，识别潜在的攻击基础设施。核心思路是：

  • 分析常见远控框架（如Cobalt Strike、Metasploit）的指纹特征（如特定URL路径、TLS指纹、HTTP响应头）

  • 利用大规模扫描引擎对全网IP进行探测

  • 匹配特征以定位正在运行的C2服务器

例如，360 Quake、FOFA、Shodan 等网络空间测绘平台已将此类扫描能力产品化，支持针对数十种远控工具的专项发现。

4.1.7 关联分析与智能推演

上述方法多为“直接采集”，而真正的竞争力在于基于已有数据的深度挖掘能力。通过知识图谱、机器学习和规则引擎，实现情报的自动扩展与置信度评估：

  • 若一个域名与多个恶意样本通信 → 该域名可疑性上升

  • 若某IP频繁出现在APT攻击链中 → 可标记为高级威胁源

  • 若某网站属于Alexa Top 10万热门站点 → 可作为“白名单”降低误报

这种“恶意性传递”机制，结合黑白特征库和评分模型，能够持续生成新的高价值情报，并通过人工复核形成闭环。这也是头部威胁情报厂商实现差异化竞争的核心能力。

4.1 情报要点

威胁情报并非“越多越好”，其价值最终体现在能否支撑有效决策。而判断一份情报是否具备实用价值，通常可从三个核心维度进行评估：准确性（Accuracy）、相关性（Relevance）和时效性（Timeliness）。这三项指标构成了衡量威胁情报质量的“黄金三角”。

Accuracy(准确性)：确保情报真实可靠

准确性是威胁情报的生命线。一条错误的情报不仅无法提供防护价值，反而可能导致误判、误封甚至业务中断。

高质量的情报应具备清晰的来源、可验证的数据支撑以及充分的上下文信息。例如：

2018年，华住酒店集团遭遇大规模数据泄露事件，相关信息在暗网论坛被公开叫卖。国内安全公司紫豹科技迅速捕捉到这一动向，并将线索提交警方。由于情报来源准确、细节完整，执法部门得以在数据尚未大规模扩散前锁定嫌疑人，成功阻止了事态进一步恶化。

这一案例充分说明：精准的情报是快速响应的前提。反之，若情报本身存在偏差或误报，轻则浪费安全资源，重则掩盖真实威胁，造成严重后果。

Relevance(相关性)：聚焦组织自身风险

相关性指的是情报内容是否与本组织的资产、业务系统、行业属性或攻击面相匹配。并非所有威胁都值得同等关注。

现实中，不同行业的攻击目标差异显著。例如：

某情报平台发布预警：有黑客组织正针对医药研发企业发起定向攻击，意图窃取新药配方数据。若一家金融机构在未做判断的情况下，立即投入大量人力分析该情报、升级防御策略，最终却发现自身并不在攻击范围内——这不仅造成资源浪费，还可能因此忽略了真正影响金融系统的勒索软件或钓鱼攻击。

因此，安全团队在接收情报时，必须结合自身业务场景进行筛选与过滤，优先处理与自身IT环境、行业特征、历史攻击模式相符的威胁信息，避免“大水漫灌”式响应。

Timeliness(时效性)：把握响应的黄金窗口

时效性决定了情报的“保质期”。网络攻击瞬息万变，攻击者常通过快速更换C2服务器、IP地址、域名或攻击手法来逃避检测。一旦错过最佳处置时机，情报便可能失效。

典型案例：

某企业服务器长期遭受CC攻击，日志溯源后定位到攻击源IP。但由于当时未造成直接损失，未及时采取封禁措施。数日后，核心数据被窃取，再次追溯时发现原IP已停止使用，攻击者已完成“撤离”。此时，原本有效的IP情报已失去作用。

这说明：再准确的情报，若未能及时响应，也等同于无效。理想的威胁情报应能在攻击发生前或初期阶段送达，并支持自动化联动处置，才能真正发挥防御价值。

4.2 威胁情报的三大特征：多、杂、快

除了质量评估，理解威胁情报本身的特性，也有助于构建合理的处理机制。当前威胁情报呈现出以下三个显著特点：

特征

说明

多（Volume）

数据来源广泛，涵盖日志、流量、样本、开源情报、蜜罐捕获等，日均新增情报可达百万级，极易造成分析过载。

杂（Variety）

情报类型繁杂，包括IP、域名、HASH、漏洞、TTPs等，覆盖攻击链各阶段，涉及不同攻击者与攻击动机，难以统一管理。

快（Velocity）

攻击节奏加快，新型威胁不断涌现，情报更新频率极高，传统人工分析难以跟上节奏，亟需自动化处理能力。

这“三多”特征要求企业必须建立高效的情报采集、清洗、关联与分发机制，否则极易陷入“情报疲劳”——看不完、判不准、用不上。

4.3 威胁情报的深度分析框架

要真正发挥情报价值，不能仅停留在“接收-封堵”层面，而应进行结构化分析与战略研判。以下是进行威胁分析时可参考的关键问题清单：

  • 攻击行为与影响评估

    • 当前发生了哪种类型的攻击？

    • 最坏可能造成什么后果？（数据泄露？服务中断？声誉损失？）

  • 检测与识别能力

    • 如何预知此类攻击的发生？

    • 现有系统能否有效识别该行为？是否存在检测盲区？

  • 攻击者画像与动机

    • 谁可能是幕后组织者？（APT组织？黑产团伙？内部人员？）

    • 其攻击目的为何？（经济利益？情报窃取？破坏竞争？）

  • TTPs分析（战术、技术与过程）

    • 攻击者使用了哪些具体技术手段？（钓鱼邮件？漏洞利用？横向移动？）

    • 其能力水平如何？是否具备长期潜伏、反检测能力？

  • 历史行为与攻击偏好

    • 该组织过去有哪些攻击记录？

    • 他们最常针对哪些行业或资产类型发起攻击？

  • 防御与响应策略

    • 如何构建针对性防御措施？

    • 是否需要调整现有安全策略或部署新检测规则？

通过系统性地回答这些问题，安全团队不仅能更清晰地还原攻击全貌，还能前瞻性地优化防御体系，实现从“被动响应”向“主动防御”的转变。

五、结语

威胁情报标准的建立，标志着网络安全从“各自为战”迈向“协同防御”的重要一步。以GB/T 36643-2018为代表的国家标准，以及STIX、TAXII等国际通用框架，为威胁信息的表达与交换提供了统一语言。这种标准化不仅解决了“说不同话”的问题，更显著提升了跨组织、跨平台的情报共享效率，推动了整体网络空间威胁态势感知能力的提升。

威胁情报的核心价值，在于将被动防御转化为主动应对。它为安全团队提供了识别潜在攻击的“前哨”，帮助企业在攻击发生前或初期阶段做出响应，大幅缩短了“发现—分析—处置”的闭环周期。更重要的是，它赋予安全运营以可操作性——不再是面对海量日志的盲目排查，而是基于可信情报的精准出击。

但必须清醒认识到：情报的本质是服务于决策的知识。获取高质量的情报固然关键，但真正决定安全水位的，是安全团队对情报的理解、分析与应用能力。同样的情报，不同团队可能做出截然不同的响应效果。因此，建设一支具备威胁研判、TTPs分析和快速响应能力的专业队伍，才是发挥情报价值的根本保障。

威胁情报的广泛应用，正在重塑攻防对抗的格局。它让防御方能够更快地洞察攻击路径、预判攻击意图，从而提前布防；同时也极大抬高了攻击者的成本——每一次入侵都可能被记录、分析并共享，使其难以长期潜伏、重复利用。

最后，尽管威胁情报具备诸多优势，其最核心的价值仍在于相关性。只有与企业自身资产、业务场景和风险偏好相匹配的情报，才能真正转化为有效的防御行动。盲目追求情报数量，不如精准筛选、深度运营每一条高价值线索。



About us

Image

陌陌安全

致力于以务实的工作保障陌陌旗下所有产品及亿万用户的信息安全

以开放的心态拥抱信息安全机构、团队与个人之间的共赢协作

以自由的氛围和丰富的资源支撑优秀同学的个人发展与职业成长


Image

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦


M   O   M   O   S   E   C   U   R   I   T   Y


阅读原文

跳转微信打开

]]> Mon, 04 Aug 2025 15:01:00 +0800 好运派送，季度抽奖欧皇诞生记！？ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488828&idx=1&sn=92531304f27bd44b3b29b278a73c44f6 2025-06-30 15:00 天津

Image

 2025Q2直播抽奖预告 

LOOKing Here

哈喽，艾瑞巴蒂～（挥手）顶着大太阳又来给大家预告我们的季度抽奖直播啦，烈日炎炎，but不用晒被子也不用躲太阳，躺平收看直播就对了！锁定陌陌直播间，我们在线给大家送清凉，期待惊喜砸中你哦！Q2季度抽奖直播将在 7月2日 （周三）15:00 准时开始，不见不散~

 NO.1 

关于本季度的直播抽奖，将在 7月2日 （周三）15:00  准时开始。

 NO.2 

本期抽奖依旧准备了现金奖励，先预祝大家一网打尽，满载而归啦~

还有还有，参与抽奖直播的吃瓜同学也有可能获得惊喜奖品哦～吆喝上你身边的朋友来热闹热闹！

✨ 抽奖注意事项 ✨

1. 直播抽奖在陌陌App上进行，参与的白帽们需要登录陌陌App。请提前关注我们的主播：447858065，到点开播。

2. 请各位师傅提前修改陌陌App上的昵称，陌陌App昵称与SRC官网昵称需要保持一致哦。

✨ 奖品领取方式 ✨

一定一定要关注主播陌陌号：447858065 ，中奖者私聊主播陌陌领取奖品

所有奖品需要在 7月4日 19:00 前进行兑换！！！

【✌🏻最后再强调一下时间✌🏻】

直播日期  7月2日 （周三）15:00 

下载陌陌 关注主播ID  447858065


About MMSRC


Image

陌陌安全应急响应中心

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。

为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。


/   相  关  文  章   /

Image

陌陌安全｜日常奖励体系

Image陌陌安全｜业务范围汇总


Image

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y

阅读原文

跳转微信打开

]]> Mon, 30 Jun 2025 15:00:18 +0800 创新海外特别季：千元奖励还送Switch？ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488814&idx=1&sn=b2bbb1f766bcf033cee7981ebb210d2c 2025-05-19 15:00 北京

ImageImage

天气冷冷热热，转眼就过了立夏，伴随初夏的脚步，我们的活动又更新啦！一起来看看这次活动给大家准备了什么好东西吧：

创新海外业务有效高危、严重漏洞&情报2.5倍积分加成！

集团业务中的核心、一般、边缘业务有效高危、严重漏洞&情报2倍积分加成！

额外奖励拿不停：不仅有一血奖励额外解锁1000元！还有创新海外业务专属奖励等着你，Switch游戏机，乐高911，外星人鼠标……

等你来挖，奖品带回家！（画外音：我通通都想要！）

（注：客户端漏洞不参与积分奖励加成活动，剩余其他活动均可参与）

活动日期

Event Duration

  2025 /05/19       15：00：00  

  TO     06/02       23：59：59

业务范围

Include

下版业务范围是最新更新的业务范围，大家可以戳戳

详见业务范围汇总公告👉🔗 业务范围汇总及奖励机制汇总

Image

Image

陌陌SRC采用基础奖励+升级奖励+季度抽奖的奖励加成体系，详情请见 👉🔗 新奖励体系&来个总结

每季度为周期，无任何活动的情况下，奖励最高2.5倍buff加成+额外升级奖励7000元+季度末惊喜抽奖。

Image

5.19-6.2活动期间，创新海外业务有效高危、严重漏洞&情报2.5倍积分奖励加成，集团业务中的核心、一般、边缘业务有效高危、严重漏洞&情报2倍积分奖励加成。

单个漏洞&情报最高奖励可达2w元！（客户端漏洞不参与积分奖励加成活动）

活动奖金格外丰厚！详细可见下表：

* 表格为加成后的活动收益  单位：元

● 业务分级

核心业务：陌陌App中直播、消息、红包、钱包、会员、聊天室、派对、心动狼人、缘分交友、账密相关功能；SoulChill 中的直播、聊天室、礼物、消息、钱包、会员、账密相关功能一般业务：陌陌App中非核心业务功能、探探App、SoulChill 的非核心业务功能、Yaahlan、Amar、碰头小程序

边缘业务：除以上的所有业务

● 创新类海外产品范围如下

MiraiMind、 HeyBud、TanTan Tribe

* 除探探外，相关第三方不参与陌陌安全应急响应中心的任何活动且不计算贡献值

* 创新核心业务、创新海外业务贡献值对标陌陌一般业务，创新一般及创新边缘业务贡献值对标陌陌边缘业务

* 客户端漏洞不参与日常活动（特殊说明除外）

详见业务范围汇总公告👉🔗 业务范围汇总及奖励机制汇总

Image

1、First blood ：一血奖励5.19-6.2活动期间，提交的第一枚有效高危/严重漏洞or情报可获得额外奖励1000元！

2、创新海外业务专属——挖就送

5.19-6.2活动期间，为大家准备了专属于创新海外业务的额外奖励，提交有效漏洞or情报可解锁Switch游戏机，乐高911，外星人鼠标……
奖品内容可见下图：

以上就是本次活动的所有内容啦，心动不如行动，屏幕前的师傅们准备好了吗！

速来挖洞，给个机会让Switch和千元奖励跟你回家！

About MMSRC

图片

陌陌安全应急响应中心

（MMSRC，MOMO Security Response Center）

是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。

为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

/   相  关  文  章   /

图片

陌陌安全｜日常奖励体系

Image

陌陌安全｜业务范围汇总

图片

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y

阅读原文

跳转微信打开

]]> Mon, 19 May 2025 15:00:00 +0800 天降惊喜，季度抽奖请查收！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488802&idx=1&sn=ff73a3678b26e65eb695eb0fef5898bc 2025-04-10 15:00 北京

Image

 2025Q1直播抽奖预告 

LOOKing Here

人随春好，春与人宜，一眨眼就到了第一季度的抽奖时间！

大风呼呼，顺风顺水~ Q1季度抽奖就在 4月15日（周二）16:00 ，锁定陌陌直播间，我们和好运一起在这里等着你！


 NO.1 

老规矩，首先让我们一起来看看各位师傅在活动期间的斩获，提名表扬一下作出贡献的你们~ 下面介绍一下本次获得抽奖机会的各位师傅们👇🏻：


@vigar

必须放在第一个介绍！本季度唯一的，有且仅有的，封顶选手——vigar! 

作为上年度的年榜榜二，从2024认识至今，一直凭借实力稳定发挥！在25年初也是开了个好头，不费吹灰之力轻松拿下了本季度封顶的额外奖励次数~ 真是好的不一般，不是一般的好，掌声送给你👏🏻👏🏻👏🏻在此预祝好运眷顾，把大奖带回家~ 

5次额外抽奖机会给到你，恭喜vigar，本季度一共获得6次季度抽奖机会~


@桃子

名字可可爱爱的桃子师傅，作为我们的新朋友，本季度也是有着亮眼的表现~ 希望在接下来的日子里可以经常看到你的身影！

本季度获得额外奖励1次，一共获得2次季度抽奖机会~


@司南伯

又是一个新朋友，欢迎欢迎，很高兴认识你。 新朋友上场就让人觉得，2025真是相当有盼头啊！希望我们可以一起获得新收获~ 期待你接下来的表现哟！

本季度获得额外奖励1次，一共获得2次季度抽奖机会~


@Lanxiy7th

新新面孔+1！不仅收获了新漏洞，也收获了新朋友~ 相信大家也发现了，本季度出现的新面孔真不少哇~ 欢迎欢迎，新朋友，新开始！以后也要常来做客呀！

恭喜师傅本季度获得额外奖励1次，一共获得2次季度抽奖机会~


@月神

最后依然是我们的老朋友，一个耳熟能详的名字 ~ 是他是他，就是他，我们的老朋友——常年稳居榜一的月神大佬~ 

本季度一共获得1次抽奖机会~


Q1季度涌现了不少新面孔，再次欢迎新朋友~ 新的一年认识了不少新朋友，非常开心有更多的新鲜血液加入了进来，更开心的是老朋友也一直陪伴在身边~

在此感谢所有参与挖洞的师傅，以后也请多多提交漏洞和情报呀~ 陌陌SRC欢迎每一位师傅随时来玩哟！

小小预告：本次直播间依旧为大家准备了神秘大奖，花落谁家，陌陌直播间等你来开奖！


 NO.2 

关于本季度的直播抽奖，将在 4月15日（周二）16:00 准时开始。相约陌陌直播间，有你有我，不见不散哦！


 NO.3 

除了以上拥有抽奖次数的白帽师傅之外，参与抽奖直播的吃瓜同学也有可能获得惊喜奖品哦～吆喝上你身边的朋友来热闹热闹！



✨ 抽奖注意事项 ✨

1. 直播抽奖在陌陌App上进行，参与的白帽们需要登录陌陌App。请提前关注我们的主播：447858065，到点开播。

2. 请各位师傅提前修改陌陌App上的昵称，陌陌App昵称与SRC官网昵称需要保持一致哦。


✨ 奖品领取方式 ✨

一定一定要关注主播陌陌号：447858065 ，中奖者私聊主播陌陌领取奖品

所有奖品需要在  4月17日（周四） 19:00  前进行兑换！！！



【✌🏻最后再强调一下时间✌🏻】

直播日期 TIME 2025.04.15 16:00

下载陌陌 关注主播ID  447858065






About MMSRC


Image

陌陌安全应急响应中心
（MMSRC，MOMO Security Response Center）
是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。
为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。


/   相  关  文  章   /


Image

陌陌安全｜日常奖励体系



陌陌安全｜业务范围汇总


Image

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦


M   O   M   O   S   E   C   U   R   I   T   Y



阅读原文

跳转微信打开

]]> Thu, 10 Apr 2025 15:00:00 +0800 举杯，逢8必发！8周年再抽911！ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488781&idx=1&sn=735d74a132b8b7cfe5194efd55380163 2025-03-14 15:00 北京

Image

Image
在大家的陪伴下，我们终于迎来了8岁生日！
请各位举杯！我们欢聚在这里，共同庆祝陌陌SRC8周年~ 生日快乐，Cheers！
8周年活动嘛，肯定给大家准备了史无前例的活动机制，力度可以说是空前绝后，8年来的第一次3倍奖励横空出世！
按捺住激动的心情，让小编为大家详细介绍一下本次的生日月活动：
本次活动期间，所有有效严重漏洞&情报3倍积分奖励加成！有效高危漏洞&情报2.5倍积分奖励加成、有效中危漏洞&情报2倍积分奖励加成、有效低危漏洞&情报1.5倍积分奖励加成~
MMSRC周年庆特供奖金卡封印解除，还为大家准备了Apple全家桶，手机手表耳机等一网打尽，除此以外还有Nintendo Switch游戏机等奖品等你来解锁~ 无限叠加的额外奖金跟限量的抽奖机会也一起跟上，奖池已为大家填满，祝大家玩的开心！让我们一起期待“传说选手”的出现！
敲黑板，是不是以为看到这里就结束了？No，No，No，还有惊喜，文末还给大家准备了抽奖活动，千万不要忘记参与哦。本期给大家带来了狂拽炫酷的lego911和超超超超级可爱的PINPIN拼图，快来参与把惊喜带回家！
生日月让我们一起开心，干杯！

（注：客户端漏洞不参与积分奖励加成活动，剩余其他活动均可参与）


活动日期

Event Duration

  2025 /03/14       15：00：00  

  TO     03/31       23：59：59


业务范围

Include

下版业务范围是最新更新的业务范围，大家可以戳戳

详见业务范围汇总公告👉🔗  业务范围汇总及奖励机制汇总

Image


Image
陌陌SRC采用基础奖励+升级奖励+季度抽奖的奖励加成体系，详情请见 👉🔗 新奖励体系&来个总结

每季度为周期，无任何活动的情况下，奖励最高2.5倍buff加成+额外升级奖励7000元+季度末惊喜抽奖。

Image

3.14-3.31活动期间，所有有效严重漏洞&情报3倍积分奖励加成、有效高危漏洞&情报2.5倍积分奖励加成、有效中危漏洞&情报2倍积分奖励加成、有效低危漏洞&情报1.5倍积分奖励加成，单个漏洞&情报最高奖励可达3w元！（客户端漏洞不参与积分奖励加成活动）活动奖金格外丰厚！详细可见下表：

* 表格为加成后的活动收益  单位：元


● 业务分级

核心业务：陌陌App中直播、消息、红包、钱包、会员、聊天室、派对、心动狼人、缘分交友、账密相关功能；SoulChill 中的直播、聊天室、礼物、消息、钱包、会员、账密相关功能
一般业务：陌陌App中非核心业务功能、探探App、SoulChill 的非核心业务功能、Yaahlan、Amar、碰头小程序

边缘业务：除以上的所有业务


● 游戏业务分级

一般业务：天天动物园、主公别走、天天抢车位、天天庄园、萌宠争霸、师父快跑、合成大金币

边缘业务：天使对决2、新斗地主、小江湖2、天天打装备、梦想小店、神尊请归位

* 除此之外的游戏业务不在漏洞接收范围内


● 创新类国内产品范围如下

创新核心：陌陌极速版、赫兹

创新边缘：对对、心配


● 创新类海外产品范围如下

MiraiMind、 HeyBud、TanTan Tribe


* 除探探外，相关第三方不参与陌陌安全应急响应中心的任何活动且不计算贡献值

* 创新核心业务、创新海外业务贡献值对标陌陌一般业务，创新一般及创新边缘业务贡献值对标陌陌边缘业务

* 客户端漏洞不参与日常活动（特殊说明除外）


详见业务范围汇总公告👉🔗 业务范围汇总及奖励机制汇总


Image

1 “周年庆特供奖金卡”开放使用
大家在上次活动中获得的“周年庆特供奖金卡”，可以派上用场了哟！本次活动期间开放使用，各位师傅可以兑换额外奖金啦~

Image

周年庆期间提供与奖金卡同等级的有效漏洞&情报+奖金卡即可兑换额外奖金
以下是详细规则：


2 提交高危及以上有效漏洞&情报解锁额外奖励
周年庆活动期间，提交高危及以上有效漏洞&情报还可解锁Nintendo Switch游戏机和苹果全家桶等奖品


3 额外奖励叠叠乐

周年庆活动期间，额外奖励叠叠乐，提交的每个有效漏洞&情报都可以获得额外奖励：

额外奖金200元（无限叠加不限量）以及季度抽奖机会（限量叠加，5次封顶）


点击下面小程序跳转抽奖页面参与抽奖👇

本活动一共抽取6名幸运同学
请大家多多转花🌺 多多支持！
请中奖同学务必于2025年3月24日（晚19点前）
联系（微信 ID：H6888yyy）并提供邮寄地址哦~



About MMSRC

图片

陌陌安全应急响应中心
（MMSRC，MOMO Security Response Center）
是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。
为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。



/   相  关  文  章   /

图片
陌陌安全｜日常奖励体系


陌陌安全｜业务范围汇总

图片

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦


M   O   M   O   S   E   C   U   R   I   T   Y


阅读原文

跳转微信打开

]]> Fri, 14 Mar 2025 15:00:00 +0800 业务范围汇总及奖励机制汇总 https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488776&idx=1&sn=3a191abe117f7fe697eb1cbce07972a6 2025-03-07 15:00 北京

图片



图片


因公司业务范围调整，最新业务范围及奖励机制汇总如下：


MMSRC漏洞提交业务范围及业务分级如下：


● 业务范围

igamesofficial.com  

immomo.com 

wemomo.com 

immomogame.com

tantanapp.com
soulchill.live

theamarapp.com

heybud.world
tantantribe.com


● 业务分级

核心业务：陌陌App中直播、消息、红包、钱包、会员、聊天室、派对、心动狼人、缘分交友、账密相关功能；SoulChill 中的直播、聊天室、礼物、消息、钱包、会员、账密相关功能
一般业务：陌陌App中非核心业务功能、探探App、SoulChill 的非核心业务功能、Yaahlan、Amar、碰头小程序

边缘业务：除以上的所有业务
* 除探探外，相关第三方不参与陌陌安全应急响应中心的任何活动且不计算贡献值

* 客户端漏洞不参与日常活动（特殊说明除外）


● 游戏业务分级

一般业务：天天动物园、主公别走、天天抢车位、天天庄园、萌宠争霸、师父快跑、合成大金币

边缘业务：天使对决2、新斗地主、小江湖2、天天打装备、梦想小店、神尊请归位

* 除此之外的游戏业务不在漏洞接收范围内

* 客户端漏洞不参与日常活动（特殊说明除外）


● 创新类国内产品范围如下

创新核心：陌陌极速版、赫兹

创新边缘：对对、心配

* 创新类产品均参与陌陌安全应急响应中心的日常奖励活动

* 创新核心业务贡献值对标陌陌一般业务，创新一般及创新边缘业务贡献值对标陌陌边缘业务

* 客户端漏洞不参与日常活动（特殊说明除外）


● 创新类海外产品范围如下

MiraiMind、HeyBud、TanTan Tribe

* 创新海外业务贡献值对标陌陌一般业务

* 客户端漏洞不参与日常活动（特殊说明除外）



以上奖励机制如下：

图片*上表内数字均为有效漏洞&情报实际奖励收益


About MMSRC

图片

陌陌安全应急响应中心
（MMSRC，MOMO Security Response Center）
是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。
为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。与此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。

图片
「陌陌安全」
扫上方二维码关注我们，惊喜不断哦

M   O   M   O   S   E   C   U   R   I   T   Y


阅读原文

跳转微信打开

]]> Fri, 07 Mar 2025 15:00:00 +0800 元宵快乐！奖金卡限时返场~ https://mp.weixin.qq.com/s?__biz=MzI2OTYzOTQzNw==&mid=2247488719&idx=1&sn=3bb36d1e686eec0d2e0cf8660bbda37f 2025-02-12 15:00 北京

图片

图片

开门见山，2025年首发，当然是先祝福大家元宵节快乐啦！屏幕前的你，今天记得吃汤圆哦~

按照惯例，还是先给大家介绍本次的活动，本次活动期间所有业务严重、高危漏洞&情报双倍积分奖励（客户端漏洞除外），另外另外，划重点，本次活动期间提交的每个有效漏洞&情报都附带额外奖励！要知道我们的周年庆很快就要来了（发出暗示），8岁的生日当然要搞点大动作！本次活动不仅给大家准备了元宵节礼品，还有陌陌SRC周年庆特供奖金卡限时掉落，大量奖金等你来兑换，一起往下看吧~


活动日期

Event Duration

2025 /2/12        15：00：00  

TO     2/28        23：59：59  



业务范围
Include
下版业务范围是最新更新的业务范围，大家可以戳戳
详见业务范围汇总公告👉🔗 业务范围汇总及奖励机制汇总

图片

图片

陌陌SRC采用基础奖励+升级奖励+季度抽奖的奖励加成体系，详情请见 👉🔗 新奖励体系&来个总结

每季度为周期，无任何活动的情况下，奖励最高2.5倍buff加成+额外升级奖励7000元+季度末惊喜抽奖。

图片

2.12-2.28活动期间，所有业务的严重、高危漏洞&情报双倍积分奖励（客户端漏洞除外）！单个漏洞&情报最高奖励可达2w元！详细可见下表：   

图片

 * 表格为加成后的活动收益  单位：元


● 业务分级

核心业务：陌陌App中直播、消息、红包、钱包、会员、聊天室、派对、心动狼人、缘分交友、账密相关功能；SoulChill 中的直播、聊天室、礼物、消息、钱包、会员、账密相关功能
一般业务：陌陌App中非核心业务功能、探探App、SoulChill 的非核心业务功能

边缘业务：除以上的所有业务
* 除探探外，相关第三方不参与陌陌安全应急响应中心的任何活动且不计算贡献值

* 客户端漏洞不参与日常活动（特殊说明除外）


详见业务范围汇总公告👉🔗 业务范围汇总及奖励机制汇总

图片

众所周知，我们即将迎来8周年活动，warm-up进行时，请大家带着期待先热热身！

那当然是元宵节特别礼物，提交任意有效漏洞&情报即可获得乐高摇钱树*1！（每位师傅  限量兑换一份哦~）摇钱树看起来就有一种喜庆吉祥的氛围~借摇钱树祝各位师傅2025新年新气象，财源滚滚来~

接下来是我们的MMSRC周年庆特供奖金卡，活动期间限时返场！8岁的生日前夕，也就是本次活动期间，每个有效漏洞&情报都可以获得漏洞同等级的陌陌SRC周年庆特供奖金卡*1~

在这里提前给大家预告一下具体使用规则：活动期间提交的每个有效漏洞&情报，均可获得漏洞同等级的陌陌SRC周年庆特供奖金卡*1！奖金卡可用于周年庆活动期间，与卡片同等级的漏洞&情报进行叠加使用，兑换现金奖励~



About MMSRC

图片

陌陌安全应急响应中心
（MMSRC，MOMO Security Response Center）
是陌陌安全建立的安全漏洞收集及安全应急响应平台，致力于保障陌陌旗下所有产品及用户信息安全，促进陌陌与白帽子及团队的交流合作。
为感谢白帽子及团队为亿万陌陌用户信息安全做出的贡献，陌陌安全应急响应中心特别设立年度百万奖金池，单漏洞或情报奖励可达万元，活动期间可获取更高奖励。于此同时，我们会不定期组织、赞助安全会议等线下活动，为广大白帽子创造线下交流沟通机会。



/   相  关  文  章   /

图片
陌陌安全｜日常奖励体系


图片陌陌安全｜业务范围汇总

图片

「陌陌安全」

扫上方二维码关注我们，惊喜不断哦


M   O   M   O   S   E   C   U   R   I   T   Y



阅读原文

跳转微信打开

]]> Wed, 12 Feb 2025 15:00:00 +0800