网络安全政策

协调漏洞披露 (CVD) 准则

• 避免未经授权的分享。 在协调披露过程中，请仅与受影响的供应商、系统所有者以及我们讨论该安全漏洞。
• 预留充足的修复时间。 在受影响方有足够时间修复漏洞之前，或在您与包括 DropBG 在内的所有相关方达成披露协议之前，请勿公开披露该漏洞。
• 将系统交互降至最低。 在您报告漏洞之后，请勿在协调披露期间再次与受影响的系统进行交互或测试。
• 限制测试范围。 在演示概念验证 (PoC) 时，请仅执行所需的最低限度操作。切勿下载、修改或删除超出必要范围的任何数据。
• 切勿越权访问。 避免超出概念验证所需的最低限度进行权限提升或系统探测。仅使用您自己的测试账号，绝不窃取或导出其他用户的数据。
• 使用合乎道德的方法。 请勿使用暴力破解 (Brute-force) 或社会工程学手段获取系统访问权限。
• 避免恶意破坏行为。 请勿发起拒绝服务 (DDoS) 攻击，也不要安装恶意软件或病毒。
• 提供测试 IP 地址。 如有可能，请提供您在发现漏洞期间使用的 IP 地址。这有助于我们评估潜在的攻击行为并减少误报。
• 提前沟通公开计划。 如果您打算在演讲或技术文章中公开您的发现，请提前告知我们。