公告编号：合合安全应急响应中心漏洞处理流程及评分标准v1.6作者：ISRC_adm发布日期：2026/11/06
合合信息安全应急响应中心（Intsig Security Response Center，以下简称ISRC，https://security.intsig.com/），是致力于保障合合信息所有用户、业务和产品的安全，加强与业界同仁合作、交流的平台。
1. 合合信息非常重视自身产品和业务的安全问题，对每一位报告者反馈的问题都有专人进行跟进、分析和处理，并及时给予答复。
2. 合合信息支持负责任的漏洞披露和处理过程，对于每位恪守白帽子精神，保护用户利益，帮助合合信息提升安全质量的用户，我们将给予感谢和回馈。
3. 合合信息反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏、损害用户利益的黑客行为，包括但不限于利用漏洞盗取用户隐私及虚拟财产、入侵业务系统、窃取用户数据、恶意传播漏洞等。
4. 合合信息反对和谴责一切利用安全漏洞恐吓用户、攻击竞争对手的行为。
5. 合合信息认为每个安全漏洞的处理和整个安全行业的进步，都离不开各方的共同合作。希望企业、安全公司、安全组织、安全研究者一起加入到“负责任的漏洞披露”过程中来，一起为建设安全健康的互联网而努力。
1. 访问 https://security.intsig.com/ 注册账号并登录。
2. 完善个人信息。
3. 在线提交漏洞。
4. 漏洞审核通过后获取安全币及积分。
5. ISRC每月会统计上月21日至本月20日（含）期间兑换的奖励，将会在次月的15日（含）前发出奖励（遇节假日顺延）。
【高风险报备】涉及命令执行验证、文件上传、容器逃逸等高风险操作的测试，请在测试前发送邮件至 security@intsig.net 报备，邮件中写明测试目标、测试内容和预计时间，并依据回复邮件内容开展后续操作。未报备或仅发送未等回复即开展此类测试的，按「违规处理」执行。
【SSRF 统一验证地址】验证SSRF漏洞时，请仅将请求目标指向 http://ssrf.intsig.net/ ，并在报告中附上该地址的返回截图；无回显的，请写明请求时间和来源，由 ISRC 核对访问日志。ISRC 将据此确认影响并定级。除该地址外，不得利用 SSRF 访问或探测其他内网地址、端口、服务。违反的，按「违规处理」执行。
【凭据处置】涉及数据库密钥、AK/SK、kube-config、ServiceAccount 等凭据的，禁止私自登录验证，请尽快提交报告，后续影响范围由 ISRC 审核人员确认。查找更多凭据、修改或删除数据等操作不在允许范围内，如需说明利用方式，写在报告中即可。违反的，按「违规处理」执行。
我们希望每一次测试都只用来证明问题存在、帮助问题修复，不应给业务和用户带来额外风险。以下要求适用于ISRC范围内的全部测试，使用AI Agent等自动化工具测试与手工测试同等适用：
1. 依法测试：测试行为须符合《网络安全法》《数据安全法》《个人信息保护法》等法律法规的要求，不得破坏系统，不得损害用户和业务的利益。
2. 只测授权范围：测试对象限于本规则“奖励规则”列出的业务。合合信息使用的第三方服务、外部接口、CDN等不在测试范围内，越界测试产生的法律责任由测试者自行承担。测试中使用的文字、图片、视频等素材不得含有违法违规内容。
3. 控制测试流量：不得使用扫描器或自动化工具对业务进行批量探测，不得撞库，不得进行DoS/DDoS或压力测试。不得进行大范围爆破，包括对账号密码、验证码、目录、子域名、参数的大量枚举。
4. PoC点到为止：验证时只做证明漏洞存在所需的最少操作。不得上传WebShell、植入后门或反弹shell；命令执行类漏洞只能执行id、whoami、hostname等只读命令，且须提前报备；不得新增、修改、删除任何数据或配置，不得使用具有破坏性的Payload。
5. 数据少读不存：越权、注入类漏洞证明可以读取即可，读取的真实数据不得超过5条，不得爬取、遍历或导出业务数据。源码、用户资料、运营数据、登录凭证等信息，无论是否脱敏，都不得下载、保存或外传；测试中接触到的数据须在漏洞确认后删除。
6. 凭据不深挖：不得利用获取的AK/SK、Kubernetes集群凭证等敏感凭据登录系统、调用接口或进一步探查业务，应直接提交报告。
7. 不在内网扩展：取得内网访问能力后，不得在内网扫描，不得访问未对外开放的系统、主机和数据，也不得借此访问其他租户或范围外的系统。
8. 不打扰真实用户：不得进行社会工程学攻击、钓鱼邮件或物理近源测试，不得使用社工库；不得向真实用户的手机、邮箱、社交账号发送测试内容，不得拉群或直接联系真实用户配合测试。
9. 如实记录测试过程：保留完整的测试记录，不得删除或篡改日志。测试操作须在报告中如实写明，因隐瞒或漏报导致业务受损或产生风险的，ISRC将追究相应责任。
违反以上要求、威胁到业务稳定或数据安全的，ISRC将视情节作如下处理：
第一次违规：给予警告，扣除该漏洞50%-100%的奖励，已发放部分予以收回；
第二次违规：取消全部漏洞奖励，已发放部分予以收回，并封禁账号；
造成业务中断、大量数据泄露等严重后果，或利用漏洞破坏系统、损害用户权益的，合合信息将依法追究其法律责任。
1. 可以使用AI：AI工具可用于辅助分析或自动化挖掘，使用过程同样须遵守本规则“测试规范”的全部要求。
2. 提交前须本人复现：AI给出的结果须由提交者亲自复现，确认漏洞真实存在且具有危害后再提交。报告中应包含危害说明、复现步骤、完整PoC，以及关键步骤和最终结果的截图。
3. 未经验证的报告直接驳回：未经人工复现、缺少验证截图，或明显由AI直接生成的报告，ISRC将直接驳回，不另行说明原因。
4. 多次提交的处理：未经人工验证的AI生成报告累计超过3份的，ISRC将发出提醒；累计超过5份的，封禁账号。
核心业务:
扫描全能王、名片全能王、启信宝、合合信息官网
一般业务:
启信慧眼、扫描全能王企业版、名片全能王企业版、TextIn、其他产品或信息系统
业务分级/安全币 | 严重漏洞 | 高危漏洞 | 中危漏洞 | 低危漏洞 |
核心业务 | 300-500 | 150-200 | 30-100 | 5-10 |
一般业务 | 150-200 | 50-100 | 10-30 | 2-8 |
注：
1、 当前ISRC平台1安全币大约可兑换10元人民币的奖励。
2、 第三方业务系统若对我司产生实际危害的会根据漏洞影响范围和影响程度进行降级处理。
数据泄露类漏洞涉及的数据量，由ISRC审核人员根据接口或注入点可获取的数据范围判定。白帽子验证时读取不超过5条真实数据即可，无需为证明危害程度多读数据。
[严重] 安全币 150~500
本等级包括：
1. 直接获取权限的漏洞（服务器权限、重要产品客户端权限）。包括但不限于远程任意命令执行、可上传webshell的任意文件上传（证明可执行文件能被上传并解析即可，无需实际部署webshell）、可利用远程内核代码执行漏洞以及其它因逻辑问题导致的可利用的远程代码执行漏洞、获取集群权限凭证（AK/SK/证书等）。
2. 直接导致百万条以上重要敏感数据泄露漏洞。包括但不限于重要DB的SQL注入漏洞。
3. 直接导致严重影响的逻辑漏洞。包括但不限于查看任意用户名片、伪造任意用户登录、账号密码更改漏洞。
[高] 安全币 50~200
本等级包括：
1. 泄露5000条及以上敏感信息（撞库或暴力提交获取的部分信息除外）。包括但不限于普通DB（资金、用户身份、订单）的SQL注入，可获取大量核心用户的身份信息、订单信息、银行卡信息等接口问题引起的敏感信息泄露。
2. 严重的逻辑设计缺陷和流程缺陷。包括但不限于通过业务接口任意账号资金消费、批量修改任意账号密码漏洞。
3. 敏感信息越权访问。包括但不限于绕过认证直接访问管理后台、后台弱密码、获取大量内网敏感信息。
4. 越权敏感操作。包括但不限于账号越权修改重要信息、进行订单操作、重要业务配置修改等较为重要的越权行为。
5. 直接获取客户端权限的漏洞。包括但不限于远程任意命令执行、远程缓冲区溢出、远程内核代码执行漏洞以及其它因逻辑问题导致的远程代码执行漏洞。
6. 大范围影响用户的其他漏洞。包括但不限于可造成自动传播的重要页面的存储型XSS，以及涉及交易、资金、密码的存储型XSS。
[中] 安全币 10~100
本等级包括：
1. 需交互方可影响用户的漏洞。包括但不限于一般页面的存储型XSS、重要敏感操作的CSRF。
2. 普通越权操作。包括但不限于不正确的直接对象引用、越权查看订单信息、越权查看用户身份信息等。
3. 普通信息泄露。包括但不限于内部账号泄露等。
4. 普通的逻辑设计缺陷和流程缺陷。
[低] 安全币 2~10
本等级包括：
1. 可用于钓鱼的反射型XSS、URL跳转等漏洞。
2. 轻微信息泄露漏洞，包括但不限于SVN信息泄露、异常敏感信息泄露，以及客户端应用本地SQL注入（仅泄露数据库名称、字段名、cache内容）等。
3. 难以利用但存在安全隐患的漏洞。包括但不限于难以利用的SQL注入点、需构造部分参数且有一定影响的CSRF。
4. 垂直短信轰炸、邮箱轰炸漏洞。
[忽略] 安全币 0
本等级包括：
1. 无法利用或无危害的漏洞，包括但不限于对用户无实际影响的CSRF（如点赞、收藏、关注等）、无法影响他人的本地拒绝服务、Self-XSS、难以利用的信息泄露（内网IP、域名、程序路径、logcat信息）、只能在本地触发的dll劫持、横向短信/邮件轰炸等。
2. 利用条件苛刻或无实际危害的漏洞，如静态文件目录遍历/下载、无意义的用户枚举、无意义的登录接口暴力破解、SPF邮件伪造、只收到DNS解析记录的SSRF等。
3. 我司域名指向第三方的非我司系统存在的相关漏洞。
4. 无关安全的bug，包括但不限于网页乱码、网页无法打开、页面加载慢、排版错乱、某功能无法使用等。
5. 内部已知漏洞，如内部安全人员已经发现的漏洞、已有其他白帽子优先提交的漏洞。
6. 隐私合规、AIGC内容合规等合规类风险。
7. 报告内容过于简略，审核人员无法据此复现，经沟通后仍无法复现的漏洞。
8. 只有理论分析、没有实际利用结果的漏洞，包括推测性结论、未经验证的扫描器结果等，例如仅凭dnslog回显就判定为“log4j2命令执行”。
9. 不符合本规则“AI辅助挖掘漏洞的报告要求”、未经人工验证的报告。
1. 多个漏洞出自同一根源，或修复其中一个后其余问题随之消失的，按一个漏洞处理，只收取最先确认的报告。例如同一接口的多个参数存在XSS或SQL注入、同一资源ID引起的越权、同一JS文件或同一框架导致的多处问题、泛域名解析带来的多个问题等。
2. 漏洞不属于同一漏洞源，但属于同一系统中同一类型/利用手段相似的多个漏洞，比如同一站点的多个接口存在SQL注入、同一站点多个接口存在DoS攻击等，60天内提交的，前3个按有效漏洞收取，之后的不再收取。
3. 同一功能下的越权增、删、改、查，请写在同一份报告中，按一个漏洞计算。
4. 漏洞尚在修复、未闭环期间，重复提交的同一问题不予收录；修复完成后在原处或其他位置再次出现的，按新漏洞计分。
注：发现第1、3、4条所述问题时，请将它们整合提交至一个漏洞报告中，我们会根据情况适当增加积分或提升漏洞等级。如果分成多个报告提交，我们将对其中一个报告增加积分或提升等级，而忽略其他报告。如果在合并报告时，原报告已有评分，我们将在原漏洞评分的基础上进行调整，其他报告将被忽略。
ISRC会不定期对特定类型漏洞进行专项治理，专项治理开始前提交的特定类型漏洞报告，正常按危害进行评级收取，在专项治理周期内提交的报告则不再收取。
注：平台审核人员需要在报告评论中提供脱敏的专项治理凭证（至少包含专项治理标题、创建时间）。
1. 提交的是基础组件的已知漏洞（nday），如果该漏洞在3个月内公开且ISRC已知晓，则该漏洞将被忽略或驳回，不予计分。如果ISRC未知晓该漏洞，或该漏洞公开时间超过半年且ISRC未修复，则会根据实际危害进行评估定级。提交时需要提供nday的参考链接或CVE编号，并且提供可利用证明（如POC能证明信息泄露、获取机器权限等）。
2. 如果提交的是基础组件的未知漏洞（0day），并且提供了可利用证明（如POC能证明信息泄露、获取机器权限等），我们将根据实际危害来评估定级。
您有任何建议或问题都可以通过邮箱 security@intsig.net 联系我们。
1. 新增“测试规范”：高风险测试须提前邮件报备至 security@intsig.net，SSRF统一使用 http://ssrf.intsig.net/ 验证，禁止大范围爆破，并明确测试要求和违规处理方式。
2. 新增“AI辅助挖掘漏洞的报告要求”：AI辅助发现的漏洞须经提交者本人复现后再提交。
3. 扩充“忽略”等级：增加无法复现、只有理论分析、未经人工验证的AI生成报告等情形。
4. 完善“合并收取”：明确同源漏洞只收首份报告、同一功能越权增删改查合并提交，以及修复期间和修复后再现问题的处理方式。
5. 明确数据泄露类漏洞的验证要求：验证时读取真实数据不超过5条，数据量级由审核人员判定。