微软发布“bug赏金计划” 比较高可获得3万美金

微软宣布了新的“Bug赏金计划”，在2017年3月1日至5月31日之间，凡是在微软指定Office服务网络中发现严重安全漏洞的人员比较高可获得30000美元的奖金。此举是回应之前谷歌在未经微软允许的情况下擅自公布Win10漏洞的行为，旨在避免此类尴尬事件再度发生。

该计划可以促使微软更快发现安全漏洞，并且可以从中学到更多Bug查找方法，以便今后能够更加及时地发现并解决安全隐患。本次赏金计划覆盖的微软域名包括：

portal.office.com

outlook.office365.com

outlook.office.com

*.outlook.com

outlook.com

上述域名共包括18个子域名及 37 个符合赏金条件的端口。

在这些域名中，微软希望这些“赏金猎人”们帮忙查找以下 9 种类型的Bug ：

跨站脚本攻击 (XSS)

跨站请求伪造 (CSRF)

未授权的跨租户数据篡改或访问(针对多租户服务)

不安全的直接对象引用

注入漏洞

身份验证漏洞

服务器端代码执行

特权提升漏洞

重大安全错误配置(非用户引起)

如果各位“赏金猎人”对微软开出的价码感兴趣，可点此进入微软官网进一步了解详情。

之前，谷歌的“安全风险研究”部门通过官方博客对外公布了Windows操作系统的一个漏洞，这一漏洞的危险程度足以被微软公司列为“关键级别”漏洞。

谷歌披露了这一漏洞的详情，据称这一漏洞存在于Win32k系统核心中，黑客可以绕过系统内部的安全沙箱机制，发动危险攻击。谷歌也对外指出，这一漏洞正在被黑客所利用。

然而在谷歌把这一漏洞告知了微软前，微软尚未开发出安全补丁程序，但谷歌已经开发了相关Chrome浏览器的补丁，可以保护自己的用户，但是微软Windows海量的用户却处于了危险状态中，而且几乎所有的黑客都已经知道了漏洞的存在。

在接受科技媒体VentureBeat采访时，微软公司方面强烈抨击谷歌提前对外披露漏洞的行为。一位发言人表示，谷歌的举动把微软的客户置于危险境地中，为了实现比较好的安全保护，微软建议消费者升级到Windows10操作系统以及比较新版本的Edge浏览器。