在Chrome抓蟲(chóng)獎(jiǎng)勵(lì)活動(dòng)中，黑客們沒(méi)少幫助Google發(fā)現(xiàn)Chrome瀏覽器的安全問(wèn)題。
現(xiàn)在Google決定將這一活動(dòng)延伸到自己的網(wǎng)絡(luò)產(chǎn)品上，包括但不限于：
- *.google.com
- *.youtube.com
- *.blogger.com
- *.orkut.com
不過(guò)這次抓蟲(chóng)活動(dòng)僅限所有Google的在線產(chǎn)品，而不包括客戶端應(yīng)用（比如Android、Picasa、Google Desktop等），不過(guò)Google說(shuō)將來(lái)會(huì)有的。
另外就是，你把youtube.com通過(guò)DNS污染搞到訪問(wèn)不能是無(wú)法獲獎(jiǎng)的（方叫獸內(nèi)牛滿面），捉蟲(chóng)的范圍僅限：
- XSS
- XSRF / CSRF
- XSSI（包括跨網(wǎng)站腳本）
- 繞過(guò)授權(quán)控制（比如用戶A可以訪問(wèn)用戶B的私有數(shù)據(jù)）
- 服務(wù)器端代碼執(zhí)行或命令注入
出于對(duì)所有用戶正常訪問(wèn)的考慮，Google請(qǐng)求各位黑客不要使用自動(dòng)化的測(cè)試工具，另外黑客們還需要高抬貴手，避免出現(xiàn)以下情況：
- 攻擊Google公司的設(shè)施
- 物理攻擊和社會(huì)化工程
- 拒絕服務(wù)漏洞
- 非網(wǎng)頁(yè)應(yīng)用漏洞，包括客戶端應(yīng)用的漏洞
- SEO黑帽技術(shù)
- 以Google品牌交由第三方運(yùn)營(yíng)的網(wǎng)站
- 最近被Google收購(gòu)的技術(shù)里存在的bug
Google還強(qiáng)調(diào)，大家只能對(duì)自己的賬號(hào)或測(cè)試帳號(hào)下手，千萬(wàn)不要入侵愛(ài)好攝影的陳老師的個(gè)人帳戶，搞出新一輪的艷照門(mén)就不好玩了。也不要玩大規(guī)模拒絕服務(wù)攻擊之類(lèi)的低水平手段。
如果你真的發(fā)現(xiàn)了漏洞，可以聯(lián)系Google的安全人員，注意要發(fā)對(duì)了負(fù)責(zé)人。一旦你真的找到了漏洞，Google會(huì)支付給你500美元獎(jiǎng)金，如果漏洞足夠重大，獎(jiǎng)金甚至?xí)_(dá)到3113.7美元之多（由Google安全團(tuán)隊(duì)來(lái)決定）。一般來(lái)說(shuō)高水平黑客都不在乎錢(qián)這種浮云似的東西，所以Google也提供捐獻(xiàn)渠道。
高手們趕緊行動(dòng)起來(lái)吧，Google只會(huì)支付給第一個(gè)發(fā)現(xiàn)bug的人，你要是發(fā)現(xiàn)晚了就百忙活了。看起來(lái)Google對(duì)自己網(wǎng)絡(luò)產(chǎn)品的安全還是很有自信的，當(dāng)然這還是一個(gè)百密一疏的問(wèn)題，所以這次比賽肯定能幫助Google將自己的安全水平提升到新的級(jí)別。
最后說(shuō)說(shuō)截圖里的事件，這不是Google被黑了，而是Google自己犯下的一個(gè)錯(cuò)誤（號(hào)稱是把白名單跟黑名單的判斷給搞反了），此事發(fā)生在2009年1月31日夜里，谷粉們應(yīng)該印象深刻，這也是我印象中Google搜索出現(xiàn)的最嚴(yán)重的問(wèn)題。
