漏洞盒子

一、产品形态  

1. 众测平台：Web/SaaS 为主，私有化 K8s 集群为辅。  

2. 核心组件：  

  • 白帽门户（vulbox.com）  

  • 企业后台（console.vulbox.com）  

  • 漏洞生命周期引擎  

  • VPN/堡垒机审计网关  

  • REST & Webhook 接口网关  

二、资源与准入  

1. 白帽池：  

  • 实名+人脸+手机三因子，注册≈90 000 人；  

  • 等级体系：L0-L5，依据提交漏洞数、CVSS、CNVD/CNVD-ID 统计；  

  • 技能标签：Web、移动、API、IoT、云原生、工控、车联网等 14 类。  

2. 风控：  

  • 背景调查（公安接口、学历/社保）；  

  • 保密协议（NDA）与项目级授权书双重法律约束；  

  • 行为基线：VPN 全流量镜像 + 异常检测（暴力破解、数据导出、横向移动）。  

三、测试流程（状态机）  

1. 立项  

  • 资产清单：域名、IP、端口、路径、API；  

  • 测试策略：允许/禁止手法、时间窗口、并发人数；  

  • 赏金矩阵：按 CVSS 分值映射奖金区间。  

2. 测试  

  • 接入：统一 OpenVPN + 跳板机，出口 IP 固定；  

  • 流量审计：Kafka → Flink → 规则引擎，实时告警；  

  • 漏洞提交：企业后台 JSON Schema 校验，字段含 CVSS、PoC、定位截图、修复建议。  

3. 审核  

  • 机审：重复、误报、边界外自动剔除；  

  • 人审：平台安全分析师复审，必要时复现验证；  

  • 企业终审：状态流转（已确认/已修复/已忽略）。  

4. 复测  

  • 无限次复测，状态机回滚至“待复测”；  

  • 复测通过后标记“已关闭”。  

5. 交付  

  • 报告格式：PDF + JSON + CSV；  

  • 内容：漏洞矩阵、时间线、攻击链图、修复优先级。  

四、功能模块  

1. 资产管理  

  • 自动发现：子域名爆破、端口扫描、证书反查；  

  • 指纹库：Web 框架 4 000+、CMS 1 100+、组件 8 000+；  

  • API 对接：CMDB、云厂商 API，增量同步。  

2. 漏洞管理  

  • 全生命周期：提交→审核→修复→复测→关闭；  

  • SLA 计时：P1 72 h、P2 7 d、P3 30 d；  

  • 自定义工作流：Webhook 触发 Jira、禅道、飞书、企微。  

3. 赏金与法务  

  • 赏金池：企业托管，平台代发；  

  • 税务自动代扣（个人劳务报酬 20 %）；  

  • 法律模板：漏洞提交协议、保密协议、授权书。  

4. 仪表盘  

  • 实时：漏洞数、赏金支出、修复率、MTTR；  

  • Drill-down：按业务系统、资产分组、漏洞等级、白帽维度。  

5. 集成接口  

  • RESTful：资产、漏洞、赏金、报告；  

  • Webhook：状态变更、赏金发放、告警通知；  

  • SDK：Python、Go、Java，支持 CI/CD 插件。  

五、部署与规格  

1. SaaS：多租户隔离，数据驻留可选华北-2、华东-2、华南-1。  

2. 私有化：Helm Chart，最小 3 节点 8C32G/SSD 1T，支持横向扩展至 20 节点。  

3. 合规：通过 ISO 27001、SOC 2 Type II、等保三级。  

六、计费模型  

• 结果制：按有效漏洞数量区间阶梯计价；  

• 项目制：固定总价含复测不限次；  

• 闪测：免费体验前 2 个有效漏洞，周期 ≤ 7 天。