ethical-hacking-ethics

道德黑客伦理

道德黑客指南：漏洞赏金、渗透测试和安全研究。

何时使用此技能

• 参与漏洞赏金计划（HackerOne、Bugcrowd、Intigriti、YesWeHack）
• 开展经授权的渗透测试
• 对自己的系统进行安全研究
• 评估安全测试活动的合法性
• 编写漏洞披露报告

应做事项——务必做到

1. 获得明确授权

• 测试任何非自有系统前，先取得书面许可
• 确认范围——明确获准测试的具体资产
• 记录授权——保存书面同意记录
• 确认安全港状态——核实计划是否设有安全港政策

2. 遵循平台的参与规则

• 测试前阅读并理解计划的具体规则
• 遵守计划规定的测试时间范围
• 仅使用获准的测试方法
• 仅通过官方渠道提交报告
• 必须由人工参与：HackerOne 要求提交发现结果前由人工进行验证

3. 秉持善意开展安全研究

仅为善意测试而访问系统，避免伤害个人或公众，并利用发现结果提升安全性。

4. 记录一切

• 详细记录所有测试活动
• 收集漏洞证据，以便编写报告
• 记录发现和报告的时间线
• 记录与计划所有者的所有沟通

5. 负责任地披露

• 通过官方渠道及时报告漏洞
• 披露前留出合理的修复时间
• 与受影响的组织协调披露事宜
• 遵循平台特定的披露指南

6. 尊重数据隐私

• 将数据访问范围限制在测试所需的最低限度
• 不存储或分享测试过程中发现的个人数据
• 报告数据泄露漏洞，但不要利用这些漏洞
• 遵守 GDPR 和当地数据保护法律

禁止事项——绝不可做

1. 未经授权绝不测试

• 未获明确许可，绝不访问系统
• 不要想当然地认为自己已获许可——务必明确确认范围
• 即使发现了“范围外”资产，也绝不对其进行测试
• 不要超出授权访问范围——严格遵守规定的边界

法律风险：CFAA（美国）和 CMA 1990（英国）禁止未经授权的访问。处罚包括监禁。

2. 绝不造成伤害

• 测试期间不要修改或销毁数据
• 绝不创建后门或永久访问机制
• 不要中断服务或影响可用性
• 证明漏洞所需之外，绝不窃取数据

3. 绝不勒索或敲诈

• 绝不威胁以公布漏洞来索要报酬
• 不要利用漏洞进行敲诈
• 绝不以不公布漏洞为条件索要赏金
• 后果：被平台永久封禁，并可能面临刑事指控

4. 绝不提前披露

• 修复完成前，不要公布漏洞详情
• 未经许可，绝不与第三方分享发现结果
• 未经协调，不要公开发布概念验证代码
• 对私人计划，绝不披露其存在

5. 绝不采用欺骗手段

• 不要冒充获授权的安全研究人员
• 绝不伪造漏洞报告或证据
• 不要谎报身份或所属机构
• 绝不为获取奖励而提交虚假报告

6. 绝不违反隐私法律

• 不要访问测试范围之外的个人数据
• 绝不存储或分享测试中发现的个人身份信息（PII）
• 除非确有必要，否则不要绕过隐私控制措施
• 遵守 GDPR 和数据保护要求

范围核验清单

开始任何测试前，请确认：

• 授权文件：是否已获得书面测试许可？
• 范围内资产：是否已确定所有获授权的目标？
• 范围外资产：是否清楚明确禁止测试的内容？
• 测试方法：是否有必须采用或禁止使用的技术？
• 时间限制：是否规定了测试时段？
• 安全港：计划是否设有并遵守安全港政策？
• 报告渠道：是否了解官方漏洞提交流程？
• 披露政策：是否了解何时以及如何发布发现？

授权类型

类型	授权	安全港	备注
漏洞赏金	通过计划默示授权	如有提供	遵守计划规则
渗透测试	书面合同／工作说明书	依合同规定	可能需要签署保密协议
VDP	计划邀请	视情况而定	通常不提供奖励
CTF	竞赛规则	仅限规定范围内	仅在竞赛期间合法

授权最佳实践

• 始终获取书面授权——口头授权不足以作为依据
• 明确界定范围——“除 X 外的所有内容”过于含糊
• 明确时间范围——测试时段和截止时间
• 制定升级流程——出现问题时该如何处理

负责任的披露流程

1. 验证——复现问题、记录 PoC、评估严重性、检查是否重复
2. 提交——使用官方渠道，提供描述、步骤、影响和修复方案
3. 协调——留出验证时间、回复问题、商定时间表
4. 确认——确认修复已应用，并测试漏洞是否已修复
5. 披露——遵循商定条款（协调披露、有限披露、完全披露或不披露）

红线——违规严重程度

严重程度	违规行为	后果
严重	未经授权的访问、窃取数据、干扰服务、勒索、社会工程、物理入侵	永久封禁并采取法律行动
高	提前披露、使用禁止的技术、向第三方分享、隐瞒细节	警告并可能封禁
轻微	无意超出范围、报告不完整、格式问题	指导并警告

何时停止并升级处理

遇到以下情况时立即停止：

情况	操作
超出范围	停止、记录、报告并等待指导
暴露敏感数据	停止进一步查探，不要下载，并立即报告
服务中断或即将中断	停止、记录、报告并等待指示
收到停止要求	停止所有活动，并获取书面确认

以下情况应升级处理：

• 法律问题——咨询法律顾问
• 争议——申请平台调解
• 计划方未响应——遵循平台升级流程
• 发现犯罪活动——向主管部门报告
• 安全问题——如人身安全受到威胁，应升级处理

法律框架摘要

司法管辖区	法律	要点
US	CFAA（《美国法典》第 18 编第 1030 条）	禁止未经授权的访问。Van Buren（2021）案缩小了适用范围。
UK	CMA 1990	不设“善意”抗辩。第 1 条：最高可判处 2 年监禁。没有对应的安全港制度。
EU	GDPR	处理数据需有合法依据。须在 72 小时内报告数据泄露。

其他司法管辖区：加拿大、澳大利亚、德国、法国和日本也有类似法律。开展国际测试前，请先了解当地法律。

参考资料：CFAA | CMA | GDPR

标准合规性

标准	用例	参考资料
PTES	通用渗透测试（7 个阶段）	pentest-standard.org
OWASP WSTG	Web 应用测试	owasp.org/wstg
NIST SP 800-115	政府/合规性测试	csrc.nist.gov
OSSTMM	基于指标的安全测试	isecom.org

平台快速参考

平台	安全港政策	披露方式	关键要求
HackerOne	黄金标准（GSSH）	因计划而异	人工参与验证
Bugcrowd	Disclose.io 框架	协调式/自定义/无	安全共享 POC
Intigriti	因计划而异	协调式	符合 GDPR
YesWeHack	因计划而异	因计划而异	遵循计划简介

平台文档：HackerOne | Bugcrowd | Intigriti | YesWeHack

认证参考

认证	重点	道德要求
OSCP	实践性漏洞利用	法律边界、文档记录
CEH	理论 + 实践	必须遵守道德准则
GPEN	高级渗透测试	法律/道德培训
CREST/CHECK	英国政府计划	背景调查、行为准则
PCI-DSS	持卡人数据环境	合格评估员、文档记录

参考资料

平台：HackerOne 文档 | Bugcrowd 文档 | Disclose.io

标准：PTES | OWASP WSTG | NIST SP 800-115

法律：CFAA | CMA 1990

详细参考资料请参阅 references/ 目录。