中通SRC联合30+SRC共同发布AI生成漏洞报告处置公告。

随着大模型能力日益增强，利用AI工具辅助或自动化挖掘漏洞已成为安全研究的新趋势。近期，平台收到了一些由AI协助发现的高质量漏洞报告，但同时也面临大量未经人工验证的无效报告，甚至是被AI“幻觉”误导而产生的误报。

为了合理分配有限的审核资源，确保中通SRC审核团队能聚焦于真实有效的漏洞，同时维护良好的社区生态，特此发布本公告，对AI辅助挖掘和生成的漏洞报告提交标准进行规范：

我们深知AI技术正在深刻改变安全研究的方式与效率，但高质量的漏洞报告目前还离不开人的判断与责任感。希望广大白帽子在享受技术红利的同时，严守技术伦理，坚守质量底线，共同维护一个专业、高效、可持续发展的漏洞披露与交流平台。

参与该处置公告的SRC组织：中通SRC、阿里云先知平台、蚂蚁SRC、腾讯SRC、百度SRC、字节SRC、京东SRC、滴滴SRC、美团SRC、快手SRC、深信服SRC、携程SRC、顺丰SRC、度小满SRC、BOSS直聘SRC、荣耀SRC、智联招聘SRC、科大讯飞SRC、小红书SRC、货拉拉SRC、小拉SRC、小鹏汽车SRC、理想汽车SRC、奇富SRC、陌陌SRC、vivoSRC、360SRC、OPPO安全中心、小米安全中心、补天漏洞响应平台、360漏洞云、BUGBANK、太初众测平台（排名不分先后）

跳转微信打开

“累挖奖励”上线啦，人人有份，都不白来~

跳转微信打开

恭喜积分排名前五名，同时也感谢每一位参与其中的白帽，感谢你们的信任、锋芒与赤诚！

阅读原文

跳转微信打开

这份满载祝福的礼盒，盼着能借这方暖意，温你整个寒冬，更伴你往后岁岁年年的守护时光。

阅读原文

跳转微信打开

不单单是翻倍奖励，还有联合大礼包！

阅读原文

跳转微信打开

新人专享加成+排名挑战赢千元卡+最高3倍积分，师傅们快冲~

阅读原文

跳转微信打开

飞越云发布零信任网络产品免费版，您可以自助完成安装和获取授权使用的全流程，开箱即用，更便捷地体验最新的零信任

飞越云发布零信任网络产品免费版，您可以自助完成安装和获取授权使用的全流程，开箱即用，更便捷地体验最新的零信任网络技术。

飞越云零信任网络是什么？

这是一款企业级 VPN 和组网工具，支持网络加密隧道搭建和任意类型组网的集中管理，实现远程办公安全接入、多分支组网安全互访、高效 NAT 穿透等功能，让您的网络更安全、更灵活、更易管理。

它是可免费私有化部署的 Tailscale 平替，基于WireGuard协议启用加密的点对点连接，应用零信任安全理念构建了一张端到端的软件定义的 Mesh 网络，让您在世界任何地方安全轻松地访问您被授权的任何设备和应用服务，以及任意物理位置的设备和服务相互之间的安全访问。

核心功能

技术优势

适用人群

• 技术爱好者通过部署飞越云，可以安全放心地随时随地访问放置在任意位置的私人敏感高价值内容或设备，如 NAS、个人私密资料库等。

• IT开发人员可以使用飞越云，向处于任意物理位置的产研团队发布开发和测试阶段的应用 ，方便相互测试联调，而无需调整防火墙规则和网络配置。

• 企业 IT 团队可以通过部署飞越云纯软件，为在家或者出差工作的员工以及第三方供应商提供一种安全远程办公的方式，让他们在几分钟内安全访问企业任意网络内的敏感资源，而无需在传统 VPN 解决方案上花费数十万购买硬件并花大量时间实施。

• 企业IT基础架构师可以通过部署企业级高可用的飞越云零信任网络，大幅降低内部基础网络的复杂性来降低管理成本和安全风险。将复杂结构和碎片化的企业网络迅速拉平到软件定义的纯逻辑网络及集中统一管理的架构，通过使用飞越云强大灵活的访问控制策略和基于现有的身份源，每个用户都拥有他们所需的最小化访问权限。

应用场景

部分成功案例

• 某金融公司借助飞越云打造高可用办公和业务混合的基础网络架构，融合 IPsecVPN 和 SSLVPN，全国一张网一个控制台集中管理

  

• 某连锁公司借助飞越云打造安全高效低成本的全国分支组网，融合 IPsecVPN 和 SSLVPN，全国一张网一个控制台集中管理

  

• 某快递公司借助集成飞越云实现远程办公安全接入快速收敛互联网暴露面

  PC 端：

  

   移动端：

为什么值得体验？

1. 极简安装和部署，日常使用图形化交互或调用接口自动化交互，不用编辑配置文件。

   用户端：

   

   管理端：

   

2. 一个管理控制台下融合多种 VPN 组网类型。

   

   

   

3. 更灵活的访问控制策略，支持设备、用户、标签、动态用户组、资源组之间基于身份的零信任访问控制，而非必须依赖 IP。同时支持策略优先级、允许动作和拒绝动作，灵活实现白名单、黑名单和黑白名单混合模式。

   

4. 支持根据用户和设备查询网络流量日志，飞越云支持用户和设备与网络流量关联，可以根据用户账号名称和设备名称而不用关心 IP，查询关联的所有网络请求的详细网络日志，以方便排查和定位相关网络或安全问题。

   

5. 内置系统自身监控，可自由定制监控和告警。

   

6. 私有 DNS 功能提供强大灵活的企业级 DNS 集中管理和分布式的设备级解析能力，可作为生产级的内网 DNS 服务使用。

   

7. 操作系统平台和芯片架构的广泛兼容性，从群晖 NAS 、树莓派到各类 OpenWrt 盒子，从各主流桌面操作系统Windows 、 macOS 、 iOS 、 Android 到各类 Linux 衍生版桌面 Ubuntu 、深度、统信和麒麟等，从服务端各类 Linux衍生版本到 Docker容器及 K8s，全面支持和适配。

   NAS：

   

   OpenWrt：

   

免费版权益

安装指南

# 下载离线安装包后解压
tar -zxvf <安装包名称>
# 进入安装目录
cd flylayer
# 开始安装
./flylayer-k8s install
#根据安装引导，完成部署

相关地址

# 产品官网
https://feiyue.cloud/product?from=60005
# 软件下载
https://docs.feiyue.cloud/develop/log/v1?from=60005
# 产品文档
https://docs.feiyue.cloud/std/admin-manual/v1?from=60005

✨ 点击下方阅读原文链接，立即体验 「飞越云零信任网络」免费版，即刻开启安全高效的网络新连接！

对比和总结

• 飞越云带来全新体验。飞越云建立在端到端加密的零信任安全网络架构之上，能够开箱即用，在用户端和管理端通过友好的图形化交互，管理端实现了一个管理控制台下融合各类 VPN和组网，提供优于传统 VPN 的速度、稳定性、便捷性、安全性和可维护性。

• 飞越云快速可靠。与通过中央网关服务器转发所有网络流量的轴辐式架构的传统组网不同，飞越云创建了一个端到端 Mesh网络：尽可能避免集中化，从而提高吞吐量和降低延迟，因为网络流量可以直接在设备之间流动。此外，去中心化和支持集群配置通过减少单点故障提高了稳定性和可靠性。

• 飞越云简单而轻松。对比 Tailscale，我们通过更加图形化的UI 、更强的企业级管理功能和更灵活的API 接口及SDK帮助您处理复杂的网络配置和安全策略以降低复杂度提高效率。设备之间的网络连接可以穿透防火墙和路由器，就好像它们不存在一样，允许直接连接而无需手动配置端口转发。飞越云采用在客户端侧自动感知及无感切换技术，以便即使在不同网络（例如有线、蜂窝、Wi-Fi 等）之间切换时，现有连接也能保持活动状态做到用户无感。使用私有DNS，您不必处理 IP 地址，使用一个好记的名称访问零信任网络上的任何服务器或数据库。

活动福利

转发本文至朋友圈或其它社群，添加下方飞越云官方微信，发送转发截图即可获得免费版权益之外的50个用户数和设备数的永久授权。（该活动截止日期为2025.6.30，活动解释权归飞越云官方所有）

关于飞越云

飞越云是领先的零信任网络产品提供商。通过创新的企业级VPN和安全组网工具，实现软件定义的端到端安全灵活组网，重新定义了安全的网络连接和全新的企业 IT网络架构。飞越云零信任网络能够快速响应业务需求，降低管理维护成本，提升用户体验和安全性。

阅读原文

跳转微信打开

专项漏洞奖励+首爆冲刺奖励叠加+排名奖励额外拿

🔥 (´▽｀)ノ♪嗨，师傅们
这个三月，中通SRC开启「漏洞猎金季」！
✅专项漏洞奖励
 ✅ 首爆冲刺奖励叠加 
✅ 排名奖励额外拿
👇👇👇
赶快叫上你的小伙伴们
一起来参与活动吧~ 

01

活动时间

2025年3月14日15:00:00-2025年3月30日23:59:59  

02

奖励方案

🔥 多重激励体系 

1、专项漏洞奖励：

漏洞类型	漏洞等级	奖励结果
RCE类	高危/严重	2倍积分
用户敏感信息类	高危/严重	2倍积分

注：用户敏感信息类主要为涉及用户敏感信息三元组信息（姓名、联系方式、地址）
个人信息字段通常需三个及以上字段组合才能定位关联到具体自然人，无法关联到具体用户的不属于敏感信息。

2、首爆冲刺奖：
✅ 活动期间，【前5个】有效高危及以上RCE类/用户信息敏感类漏洞：
额外追加漏洞基础积分的50%积分

📝 奖励叠加示例：

A师傅提交RCE高危漏洞获取基础800积分。—
根据专项漏洞奖励规则：RCE类高危/严重漏洞：2倍积分奖励。A师傅此时获得1600积分。
因该漏洞为活动期间收到的第一个有效RCE类高危漏洞，此时额外追加积分奖励：800*50%=400积分。

最终A师傅获得2000积分。
3、积分排名奖励：

🏆 活动期间，积分值排名TOP1（至少包含1个高危及以上RCE类漏洞/用户敏感信息类漏洞），可额外获得1500京东卡

🥈 积分值排名TOP3，且提交非边缘应用高危及以上漏洞数量≥2，可额外获得1000京东卡
特别说明：
（1）同类型奖励不叠加。如已满足积分排名中的1500京东卡奖励，则不可获得T0P 3的1000京东卡奖励
（2）隐私漏洞不参与本次活动，不参与本次活动的任何奖励计算

赶快来提交漏洞吧

安全漏洞提交地址：

https://sec.zto.com/bugs

漏洞评分标准：

https://sec.zto.com/notice/nXXOzcNmEe-t5S6oLRSBIQ

测试注意事项：

1、严禁进行物理测试、社会工程学测试等任何非技术漏洞测试

2、严禁使用扫描器或其他自动化工具

3、以安全测试为借口，利用漏洞进行损害用户利益、影响业务正常运作、私自公开、盗取用户数据等行为的，将不会计分，同时中通安全应急响应中心将保留采取进一步法律行动的权利

4、中通SRC对本次活动保留最终解释权

      个人季度奖励    

     团队季度奖励     

         可叠加 ！可叠加 ！可叠加  ！    

点击此处“阅读原文”提交漏洞吧！

阅读原文

跳转微信打开

欢迎报名~

阿里云先知灯塔系列城市安全沙龙第七场-上海站将于12月14日在华东师范大学科学会堂（上海市普陀区中山北路3663号）举办。

本次沙龙由阿里云先知、阿里安全响应中心、华东师范大学软件工程学院联合举办，邀请上海市10余所高校网络安全相关专业师生和多名网络安全行业大咖、社会精英白帽子，旨在为学生和网络安全从业者提供面对面交流的机会，是一次纯粹的技术交流和分享！

除了干货满满的议题分享，我们还为每一位到场的、热爱安全技术的同学和白帽们准备了一份惊喜好礼。以礼会友，共享技术盛宴，在思维碰撞与灵感交流中深化对网络安全的理解与实践。期待大家在沙龙轻松愉快的氛围中收获知识、友好交流！如有意向参加可扫码加入钉钉群，了解活动详情，报名表链接：https://survey.taobao.com/apps/zhiliao/XD44334-S

外校人员进入华东师范大学需持有身份证原件，无需额外报备，请务必携带好身份证前往。为保障学生出行安全，报名人数较多的学校我们可以安排巴士往返免费接送，具体接驳地址会在钉钉群内发布，欢迎同学们组队报名。12月14日，我们上海见～

阅读原文

跳转微信打开

积分奖励+排名奖励

(,,･∀･)ﾉ゛hello，宝子们
2024年年底冲刺啦~
中通SRC积分翻倍众测活动正式开启
👇
赶快叫上你的小伙伴们
一起来参与活动吧~
👇

01

活动时间

2024年11月22日-2024年12月8日

02

奖励方案

翻倍奖励：

1、有效高危/严重漏洞2倍积分奖励

2、非边缘应用有效中危漏洞，1.5倍积分奖励
隐私漏洞不参与活动

排名奖励：

1、活动期间，积分值排名TOP3，且提交非边缘应用高危及以上漏洞数量≥2，可额外获得1000京东卡

赶快来提交漏洞吧

安全漏洞提交地址：
https://sec.zto.com/bugs
漏洞评分标准：
https://sec.zto.com/notice/04rXUJHtEe--QR7nh9KRSg
测试注意事项：

1、严禁进行物理测试、社会工程学测试等任何非技术漏洞测试

2、严禁使用扫描器或其他自动化工具

3、以安全测试为借口，利用漏洞进行损害用户利益、影响业务正常运作、私自公开、盗取用户数据等行为的，将不会计分，同时中通安全应急响应中心将保留采取进一步法律行动的权利

4、中通SRC对本次活动保留最终解释权

      个人季度奖励    

     团队季度奖励     

         可叠加 ！可叠加 ！可叠加  ！    

点击此处“阅读原文”提交漏洞吧！

阅读原文

跳转微信打开

期待您的参入~

JOIN US

1、工作地点

中通青浦总部

2、简历投递地址

security@zto.com

3、特别提醒

邮件标题写明招聘

信息安全运营工程师（运营方向）

阅读原文

跳转微信打开

点击了解更新详情~

为适应公司业务范围调整的变化

同时有效提升中通SRC白帽师傅与平台的体验，

中通安全应急响应中心漏洞评分标准V4.0（试运行版）已正式发布

（文末点击阅读原文可见完整内容）

为方便大家快速了解

现就本次更新的主要内容进行重点展示

随着中通内部业务的发展变化，本次更新调整了漏洞收取范围内的部分应用业务系数的划分，具体如下。

【核心应用】：漏洞系数为10
承载中通核心业务的系统，包括但不限于掌中通、中通快递统一认证平台等。

【一般应用】：漏洞系数为5
承载中通非核心业务的系统，包括但不限于快递管家、兔喜快递超市、中通快递官网及小程序、在线客服系统等（兔喜为中通子公司业务，除兔喜快递超市外，兔喜其他主营业务均按照边缘应用系数计算）。

【边缘应用】：漏洞系数为1
一般业务中的非核心业务，包含但不限于中通快递第三方供应商提供的系统、子公司系统、网点自建系统、与中通相关但非中通直接运营的业务等。子公司业务主要为中通快运、国际、商业、金融、云仓、传媒、冷链；网点自建系统、子公司边缘业务系统（如子公司供应商系统）仅收取包含用户敏感信息泄露相关等高危及以上安全漏洞。

针对数据泄露相关漏洞，增加对应可参考的量级范围。同时对无影响（忽略）的问题有更详细的说明

严重漏洞
（1）直接获取系统权限（如服务器权限）的漏洞。包括但不限于远程命令执行、任意代码执行、任意文件上传获取Webshell、缓冲区溢出、SQL注入获取系统可执行权限等。
（2）直接导致业务系统拒绝服务的漏洞。包括但不限于通过远程拒绝服务漏洞直接导致线上核心应用、系统、服务器等无法继续提供服务的漏洞。
（3）严重级别的敏感信息泄露。包括但不限于核心DB（身份、交易相关）的 SQL 注入，接口问题等导致大量敏感数据明文泄露。
（4）涉及支付相关漏洞包括但不限于：严重的逻辑错误、能够大量获取利益造成公司、用户损失的漏洞（金额达100w元以上）。
（5）生产业务系统严重的逻辑设计缺陷和流程缺陷。包括但不仅限于任意账号登录、任意账号密码修改、任意账号资金消费、交易支付方面严重的问题等。
公司类敏感信息数据量（员工真实姓名、手机号、具体地址、身份证号等）需满足：三个及以上字段组合数据量级达到10w条以上，两个字段组合数据量级达到100w条以上。
用户类敏感信息数据量用户类敏感数据（真实姓名、手机号、具体地址、身份证号等）需满足：三个及以上字段组合数据量级达到100w条以上，两个字段组合数据量级达到800w条以上。

高危漏洞
（1）重要敏感信息泄露。包括但不仅限于非核心DB的SQL 注入、重要源代码压缩包泄漏、可直接利用的敏感数据泄露等。
（2）敏感信息越权访问，包括但不仅限于绕过认证直接访问管理后台、后台弱密码、任意订单查看、任意用户敏感信息访问、支持多种协议可获取大量内网敏感信息的 SSRF 等。
（3）越权敏感操作。包括但不仅限于账号越权修改重要信息、进行订单普通操作、重要业务配置修改、查看敏感数据等较为重要的越权行为。
（4）大范围影响用户的其他漏洞。包括但不仅限于可造成自动传播的存储型XSS等。
公司类敏感信息数据量（真实姓名、手机号、具体地址、身份证号等）需满足：三个及以上字段组合数据量级达到1w条以上，两个字段组合数据量级达到10w条以上。
用户类敏感信息数据量用户类敏感数据（真实姓名、手机号、具体地址、身份证号等）需满足：三个及以上字段组合数据量级达到20w条以上，两个字段组合数据量级达到100w条以上。

无影响（忽略）
（1）不涉及安全问题的Bug。包括但不仅限于产品功能缺陷、网页乱码、样式混乱、静态文件目录遍历、应用兼容性、账户枚举等问题。
（2）无法利用的漏洞。包括但不仅限于 Self-XSS、无敏感操作的CSRF、无意义的异常信息泄漏、内网IP 地址/域名泄漏。
（3）无法重现的漏洞。包括但不仅限于纯属用户猜测、未经过验证的问题、无法实际危害证明的扫描器结果。
（4）横向短信轰炸（对不同手机号发送短信）。
（5）非核心账号体系的撞库、爆破等问题。
（6）部分风险过低或难以利用的漏洞。包括但不限于PDF XSS、并发请求不重要的功能（如阅读量、点赞量、无法获利的积分等）、并发问题导致的短信轰炸、已有安全校验/控制的短信轰炸（如图形验证码等）、无实际用处的API Key泄露、本地拒绝服务漏洞。
（7）内部已知、正在处理的漏洞。包括但不限于如Discuz等已在其他平台公开通用的，白帽子、内部已发现的漏洞。
（8）一线快件处理人员的姓名&电话、网点门店信息等为需公开的数据 ，不属于敏感信息。
（9）提交的报告过于简单、无法根据内容复现的安全漏洞。
（10）不能直接反映提交的漏洞存在的问题，仅通过理论说明的。包括但不限于纯属用户猜测、无法复现、未经验证、无意义的扫描报告的问题。

增加安全质量报告要求，请白帽子师傅务必根据上述的基本要求提供详尽的安全报告，否则将会被忽略处理。
【漏洞名称】：至少包含影响域名、漏洞类型
【漏洞详情】：
详细说明部分：准确填写影响域名、漏洞类型、影响范围/危害
漏洞证明部分：根据具体步骤以完整文字表达和截图的形式对漏洞进行复现，复现内容包含所需的漏洞路径、漏洞参数、漏洞数据包、如有使用工具需提供工具名称。并在报告中体现漏洞的利用证明，说明其影响和危害。
修复方案部分：至少提供一条可执行的修复建议。
【危害自评】：客观评级、不夸大。

安全测试禁止项
（1）严禁进行物理测试、社会工程学测试或任何其他非技术漏洞测试
（2）严禁使用扫描器或其他自动化工具等可能引起业务异常运行的测试行为
（3）严禁进行网络拒绝服务（Dos或DDoS）测试、内网渗透
（4）严禁一切利用安全漏洞恐吓用户、攻击竞争对手的行为
（5）严禁在安全测试过程中修改、影响线上业务数据
（6）严禁下载保存/二次利用在测试过程中的敏感数据，包括但不限于Github 等平台泄露的源代码、用户类数据、公司类数据等，若存在不知情的下载行为，需及时说明和删除。
（7）严禁在最低验证或者常规漏洞测试范畴之外利用任何安全漏洞
-注入漏洞严禁读取表内数据。对于UPDATE、DELETE、INSERT 等注入类型，不允许使用自动化工具进行测试。
-越权漏洞，读取时能够证明数量即可，且要求真实数据不超过5组，严禁进行批量读取。
-命令执行漏洞，证明漏洞存在即可，严禁植入文件或进行提权等高危操作

除上述以外，中通安全应急响应中心漏洞评分标准V4.0在统一评分原则、威胁情报评级标准等处也有微调，完整内容请点击下方查看原文进行查看

中通安全应急响应中心漏洞评分标准V4.0试运行时间：SRC平台公告发布日-11.16

点击阅读原文，查看最新漏洞评分标准全文

阅读原文

跳转微信打开

欢迎白帽子师傅继续支持~

阅读原文

跳转微信打开

感谢您的支持和理解~

阅读原文

跳转微信打开

base上海

JOIN US

1、工作地点

中通青浦总部

2、简历投递地址

security@zto.com

3、特别提醒

邮件标题写明招聘，并备注来自中通安全公众号

薪资面议

简历投递地址：

security@zto.com

（标题写明招聘，请注明来自中通安全公众号）

阅读原文

跳转微信打开

活动时间：2024年5月10日-5月20日

5月的专项活动来啦
最高3倍积分奖励
赶快叫上你的小伙伴们
一起来参与活动吧~
👇

      个人季度奖励    

     团队季度奖励     

         可叠加 ！可叠加 ！可叠加  ！    

点击此处“阅读原文”提交漏洞吧！

阅读原文

跳转微信打开

中通SRC平台已上线限量ZoomEye月度个人会员

ZoomEye能做什么

ZoomEye 是一款功能强大的网络空间测绘工具，可以快速定位想要的互联网资产。ZoomEye 通过不间断对全球设备进行扫描探测，收集了大量的互联网资产，就如同搜索引擎一样，在输入框中输入想要的内容，就可以获取到你所需要的 Web 应用，例如数据库设备、操作系统、内容管理系统、协议等等。

ZoomEye 可以帮助企业和个人快速梳理自身在互联网中暴露的资产。企业面对繁杂的资产信息，往往无法快速进行梳理和定位潜在的风险资产，安全人员在进行漏洞分析时也需要定位漏洞资产，预估影响范围。通过 ZoomEye 便可帮助企业在发生重大安全事件的时候快速定位资产，也可以辅助安全人员高效的完成安全测试、分析工作。

如何收集整理漏洞信息

热点漏洞的爆发通常会引发广泛关注。企业用户需要迅速判断自身资产是否存在漏洞；安全人员需要快速追踪和分析漏洞；白帽子也会积极搜索相关漏洞，帮助企业发现并修复脆弱资产。

以最近的 CVE-2024-23334 漏洞为例，它影响了大量用户。定位漏洞资产的方法有很多，但通常情况下，可以采用以下几种方式：

漏洞编号

通过访问 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-23334，可以获取 CVE-2024-23334 漏洞的详细信息。在该页面上，可以查看漏洞的描述（Description），以了解受影响的组件、漏洞的影响范围和漏洞类型。在“References”部分，可以找到官方通告或相关仓库的地址，这些资源可以提供更多关于漏洞的信息。

根据漏洞描述，CVE-2024-23334 影响的是 aiohttp，这是一个广受欢迎的 Python 第三方库，支持异步编程。aiohttp 因其高性能和可扩展性而拥有庞大的用户群体，特别是在构建需要处理大量并发连接的网络应用时。该漏洞在 aiohttp 的 3.9.2 版本中得到修复。

搜索引擎

在搜索引擎中搜索 CVE-2024-23334，可以发现其开源仓库地址：https://github.com/aio-libs/aiohttp，便可得知其应用是 aiohttp。

其仓库的 security 模块也会更新该漏洞的安全问题，介绍对应的漏洞类型和影响范围：https://github.com/aio-libs/aiohttp/security/advisories/GHSA-5h86-8mv2-jq9f

此外，搜索引擎的结果还提供了关于 CVE-2024-23334 的简要漏洞信息。这些信息通常包括漏洞的严重程度、影响的具体版本、以及可能的攻击详情。通过这些信息，用户和开发人员可以迅速了解到 CVE-2024-23334 影响的是 aiohttp 这个特定的应用组件。

漏洞预警

漏洞被公开后，各大安全厂商、研究人员和漏洞平台会发布相关的资讯和详细分析，以便于用户和开发者了解漏洞的具体情况，并采取相应的防护措施。

例如，Seebug 的漏洞数据库会收录并整理这些漏洞的相关介绍。在 Seebug 的平台上，您可以找到关于 CVE-2024-23334 的详细资料：https://www.seebug.org/vuldb/ssvid-99812。

其中包括漏洞的利用方式和影响范围，以及可能的修复方案。这些信息可以帮助安全人员更好地理解漏洞，为企业和个人提供有效的安全建议。

如何通过ZoomEye定位漏洞资产

通过上述方法，我们能够有效地确认导致漏洞的具体组件及其受影响的版本。ZoomEye作为一个强大的网络空间搜索引擎，提供了丰富的搜索语法，这些语法对于精确定位互联网上的资产目标至关重要。

例如，使用 title:"后台管理系统" 这样的语法，可以精确地搜索到网站标题中包含“后台管理系统”的站点。而通过搜索 "MinIO"，可以快速找到使用 MinIO 服务的网站。ZoomEye 的搜索语法还支持使用 + 来实现“且”的逻辑运算，以及使用空格来表示“或”的逻辑运算，从而组合出更加复杂的搜索条件。

ZoomEye 支持的搜索语法非常多样，可以通过访问 ZoomEye 官网 来查看搜索框右侧的语法说明，以了解更多的搜索选项和技巧。这些语法说明提供了详细的指导，更有效地使用 ZoomEye 进行网络资产的搜索和定位。

app语法

ZoomEye 汇总了非常多的 Web 应用指纹，并精细化筛选汇总，组合成 app 语法。在搜索框输入 aiohttp，ZoomEye 会自动弹出包含 aithttp 的 app 语法。

使用 app:"aiohttp" 可以快速找到对应的组件，无需花费时间寻找对应的组件特征，并且 app 语法相对较为精准。

根据前面得到的漏洞信息，CVE-2024-23334 影响 aiohttp 3.9.2 以下版本，因此可以通过 ZoomEye 的语法进行限定，例如想搜索 3.9.1 或 3.9.0 版本的 aiohttp，就可以将语法改为 app:"aiohttp" + (aiohttp/3.9.1 aiohttp/3.9.0)，在确保组件精准性的同时限定其版本。

关键词

倘若没有收录相关的 app 语法，或想自定义组件特征，可以直接使用语法说明中的语法进行搜索。一开始可能并不知道组件的特征是什么，可以直接使用"aiohttp"语法搜索所有内容（Header、Body、文件）中包含 aiohttp 关键字的站点，但这样会包含非常多的错误资产和蜜罐。

此时可以使用 ZoomEye 的数据聚合功能，可以查看包含该关键字的站点中，标题最多的是什么，这代表此关键字出现在 Home Assistant 为标题的站点中数量最多。

这往往代表一个组件可能就使用了 aiohttp，这是一个通用的思想，搜索其他关键字也是如此。只需要点击右侧标题栏的第一个，ZoomEye 会自动跳转并拼接语法，此时查看 Banner 就可以发现其组件特征。

现在使用新的特征"Python/" +"aiohttp/"，也可以使用("Python/" +"aiohttp/") +"aiohttp/3.9.1"限定对应版本。ZoomEye 支持蜜罐排除功能，可以勾选此功能，排除蜜罐资产。

漏洞编号

ZoomEye 为了提高用户的搜索效率，提供了一种简便的搜索方式。只需在搜索输入框中输入相应的 CVE 编号，例如 CVE-2024-23334，ZoomEye 就会自动弹出与该编号相关的组件信息。这一功能极大地简化了搜索过程，尤其是对于那些已经知道 CVE 编号但不确定具体影响组件的用户来说。

一旦 ZoomEye 显示了对应的组件，就可以像使用其他应用语法一样进行搜索。这种智能的搜索辅助功能不仅节省了用户的时间，还减少了输入错误的可能性，确保了搜索结果的准确性。

联动工具

ZoomEye 不仅仅是一个功能强大的网络空间搜索引擎，它还拥有一个健全的生态系统，支持与多种安全工具的联动。这种集成和互操作性使得 ZoomEye 成为一个更加高效和灵活的网络安全工具。

Nuclei

Nuclei 是一个开源的、基于模板的定制化扫描工具，主要用于自动化发现安全漏洞。它由社区驱动的模板提供支持，漏洞被公布时，其开源贡献者会编写漏洞检测插件并提交仓库，其工具地址为：https://github.com/projectdiscovery/nuclei

ZoomEye 可以与 Nuclei 无缝联动，Nuclei 的 UNCOVER 部分支持直接调用 ZoomEye API。

使用下面语法就可以一行命令进行检测。

nuclei -t ./http/cves/2024/CVE-2024-23334.yaml -uc -ue zoomeye -uq 'app:"aiohttp"'

也可以直接将对应的资产下载。

将对应资产粘贴到 txt 中，使用如下命令执行。

nuclei -t ./http/cves/2024/CVE-2024-23334.yaml -l test.txt

Yakit

Yakit 是一个高度集成化的 Yak 语言安全能力的输出平台，其中可以完成 MITM 劫持、Web Fuzz等功能，其中第三方插件商城拥有大量的插件扫描模板支持多种场景的安全检测。

Yakit 支持 ZoomEye 网络空间测绘，通过输入搜索语法便可以获取对应资产列表，也可以一键进行扫描验证，与 ZoomEye 无缝衔接。

搜索结果也可以直接导出。

也可以直接导入 Web Fuzz 执行批量扫描。

持续追踪

针对漏洞影响资产的变化监测，可以使用 ZoomEye 的数据订阅功能，将资产范围内的 IP 和对应订阅语法填入，创建订阅任务，每出现新的资产就会及时获取，及时管理自身资产攻击面。

总结

ZoomEye 是一款卓越的网络空间探测工具，它具备多种功能，在网络安全领域发挥着重要作用。特别是在重大安全漏洞爆发时，ZoomEye 凭借其先进的技术，能够迅速而精准地帮助用户识别和定位受影响的资产。该工具不仅支持多种查询语法，以适应不同用户的需求，还能够与其他多种安全工具实现高效联动，为用户提供无缝的安全防护体验。

请关注官方公众号，以获取更深入的学习资料和进阶技巧。未来，我们将持续更新搜索策略和适用场景，为用户提供更全面、更高效的安全解决方案。让我们一起探索 ZoomEye 的无限可能，共同守护网络空间的安全。

ZoomEye现已上架全新会员体系：社区版(终身有效)、个人版、专业版、商业版，并引入全新积分体系，您可点击https://www.zoomeye.org/pricing?from=MDUwOeWFrOS8l+WPtw==  查看详情。

 5月9日10点 - 活动结束 

1、注册过ZoomEye的用户，购买社区版(终身有效)送100万权益积分！新注册ZoomEye的用户，购买社区版(终身有效)送80万权益积分！（权益积分有效期为1年）

2、新用户注册 www.zoomeye.org 送2000积分

3、老用户完成中国大陆手机号验证送2000积分

4、加入ZoomEye交流群送2000积分，群里可享网络情报情报专向推送！

活动期间群内每天还会抽取会员、积分、小礼品等！（请添加ZoomEye助手，回复“加群”）

以下合作伙伴，每家均有免费的ZoomEye月度个人会员名额！快快咨询获取方式吧~

（按首字母顺序排序）

阅读原文

跳转微信打开

不只是翻倍奖励，联合礼包....

2023年年底冲刺啦~

中通SRC&BOSS直聘SRC联合开启

积分翻倍、排名奖励、额外奖励、联合礼包

1、禁止进行物理测试、社会工程学测试等任何非技术漏洞测试
2、禁止使用扫描器或其他自动化工具
3、以安全测试为借口，利用漏洞进行损害用户利益、影响业务正常运作、私自公开、盗取用户数据等行为的，将不会计分，同时中通安全应急响应中心将保留采取进一步法律行动的权利
4、中通SRC&BOSS直聘SRC对本次活动保留最终解释权

阅读原文

跳转微信打开

给您带来的不便，敬请谅解

阅读原文

跳转微信打开

活动时间7月4日-7月16日~

7月的专项活动来啦
简单、粗暴
最高3倍积分奖励
赶快叫上你的小伙伴们
一起来参与活动吧~
👇

PART.1

活动时间

2023年7月4日-7月16日

PART.2

奖励方案

2倍积分奖励：
1、活动期间提交的RCE类漏洞
2、活动期间提交的用户敏感信息类漏洞

3倍积分奖励：

1、活动期间，以提交时间为准，最早提交的【前3个】RCE类漏洞/用户敏感信息类漏洞(与2倍积分奖励不叠加)

额外奖励：
1、活动期间，积分值排名TOP1（至少包含1个RCE类漏洞/用户敏感信息类漏洞），可额外获得2000京东卡

注：用户敏感信息类主要为涉及用户敏感信息三元组信息（姓名、联系方式、地址）

PART.3

测试注意事项

1、禁止进行物理测试、社会工程学测试等任何非技术漏洞测试

2、禁止使用扫描器或其他自动化工具

3、以安全测试为借口，利用漏洞进行损害用户利益、影响业务正常运作、私自公开、盗取用户数据等行为的，将不会计分，同时中通安全应急响应中心将保留采取进一步法律行动的权利

4、中通SRC对本次活动保留最终解释权

PART.4

漏洞提交地址

https://sec.zto.com/bugs

      个人季度奖励    

     团队季度奖励     

         可叠加 ！可叠加 ！可叠加  ！    

点击此处“阅读原文”提交漏洞吧！

阅读原文

跳转微信打开