微信、QQ、腾讯会议、企业微信专项众测重磅发布，让连接更安全！

从早期的社交通信平台，到如今的智慧产业工具，微信、QQ、腾讯会议、企业微信等产品致力于打破信息孤岛，让沟通协作更加简单高效，让连接创造更大价值。

微信、QQ连接了数亿用户，其中公众号、小程序、视频号、微信支付、企业微信等数字生态创造的更是超过了5000万个。

腾讯会议拥有超过3亿的用户，为全球220多个国家和地区提供安全的云端沟通协作体验。企业微信则帮助企业以连接为基础，实现智慧管理、智慧生态、智慧服务。

以连接人与人为起点，到连接企业和未来科技，形成共赢的产业生态。在用户和需求场景增长的过程中，势必也将出现新的安全风险和挑战。

基于此，微信、QQ、腾讯会议、企业微信等团队，联合TSRC推出专项众测，诚邀正义之士，一起守护数十亿用户的安全。

4款核心重点业务，三重重磅奖励

凡符合相关条件，单个漏洞奖金

最高可达10万元！

活动详情

众测时间

2023.5.29 11:00 开始

2023.6.30 18:00 截止

提交要求

此次测试为预报名制，参与者需在报名入口提前报名，并遵守活动相关规则进行测试，方可享受活动奖励，参与者需同时遵守《漏洞提交基本原则》（详见文末）。

参与者需要通过通过腾讯安全应急响应中心（TSRC）官网[security.tencent.com]提交，根据范围，报告标题以相应的业务众测开头，如：【微信众测】、【QQ众测】、【腾讯会议众测】、【企业微信众测】。

微信/QQ扫码报名 👇

QQ扫码加入官方众测群 👇

测试范围

↓↓↓

微信

1、客户端范围

微信客户端 (包含MacOS、Windows、iOS、Android)

2、服务端域名范围（复制并打开链接查看）

https://docs.qq.com/sheet/DZVBvSnF2UWVtWURM?tab=BB08J2

1、客户端范围

1）最新版QQ：Android、iPhone、Windows、Mac、Linux、PAD版等，包含QQ基础功能：登录注册、消息、联系人、群、搜索、会员、小世界、频道、QQ空间功能

2）新版TIM：Windows、iPhone、Android版（同QQ）

2、服务端域名范围（复制并打开链接查看）

https://docs.qq.com/sheet/DY2NYamNRaFFVcGdM?tab=BB08J2

注1：本次众测不包含各种搭载入口于QQ/TIM上的独立业务，例如：

1）直播、小窝、动漫、阅读、购物、微视、音乐、应用宝、吃喝玩乐、同城服务、理财通、腾讯新闻、腾讯课堂、腾讯视频、游戏中心、邮箱、超级QQ秀等。

2）QQ/TIM小程序自身框架外的功能应用。

注2：QQ、TIM客户端同时存在同一个漏洞的情况，按照单个漏洞处理。

腾讯会议

1、客户端范围（官方最新版本）

腾讯会议客户端 (包含MacOS、Windows、iOS、Android、微信小程序)

2、服务端范围

*.meeting.tencent.com

*.meeting.qq.com

*.wemeet.qq.com

企业微信

1、客户端范围
包含MacOS、Windows、iOS、Android

2、服务端域名范围

work.weixin.qq.com //管理端

gap.work.weixin.qq.com //客户端长连接

i.work.weixin.qq.com //客户端短连接

app.work.weixin.qq.com //web应用

open.work.weixin.qq.com //web第三方应用

doc.weixin.qq.com //企业微信文档

drive.weixin.qq.com //企业微信微盘

exmail.qq.com //企业微信邮

qyapi.weixin.qq.com //企业微信api

*.work.weixin.qq.com //其他功能

三重奖励

1、符合上述众测范围的漏洞，在TSRC现有评分规则基础上

高危漏洞：2倍安全币

严重漏洞：2倍安全币

（贡献值不变）

2、TSRC月度即时现金奖

符合TSRC即时现金奖励标准的严重漏洞，根据产品情况不同授予税后 1~5 万或以上人民币的奖励。

3、业务额外奖励

针对活动范围内的高危、严重漏洞，如果同时满足：1）业务额外奖励时间段；2）对应业务；3）满足相关奖励规则，业务将进行额外奖励。单个业务奖池上限25万元，总奖池上限100万元，先到先得。

微信额外奖励

1）额外奖励时间段

2023/5/29 11:00-2023/6/11 24:00

2）奖励规则

奖励一：3万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) 微信票据泄漏类型的漏洞，可以无交互盗取他人票据，并且能够以他人身份给他人微信好友发送完全自定义消息。

b) 好友列表泄漏类型的漏洞，可以无交互遍历获取他人完整(至少80%)的微信好友列表。

奖励二：1万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) 服务端RCE漏洞，获取微信业务服务器权限。

b) 客户端RCE，可直接进行攻击，无需受害者点击或其他任何交互（不包括内部在修复中的chromium漏洞）。

c) 高风险的信息泄漏漏洞，可无交互遍历用户身份信息或直接对业务造成高风险（范围：真实姓名、身份证、手机号、住址、交易信息、聊天记录、VOIP、视频），要求包含两个及以上敏感字段。

d) 高风险的篡改用户信息漏洞，可以无交互遍历修改用户的敏感信息（范围：真实姓名、身份证、手机号、住址、聊天记录），要求包含两个及以上敏感字段。

QQ额外奖励

1）额外奖励时间段

2023/5/29 11:00-2023/6/11 24:00

2）奖励规则

奖励一：3万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) QQ票据泄漏类型的漏洞，可以无交互盗取他人票据，并且能够以他人身份给他人QQ好友发送完全自定义消息。

b) 好友列表泄漏类型的漏洞，可以无交互遍历获取他人完整(至少80%)的QQ好友列表。

奖励二：1万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) 客户端RCE漏洞，可直接进行攻击，无需受害者点击或其他任何交互（不包括内部在修复中的chromium漏洞）。

b) 服务端RCE漏洞，获取QQ业务服务器权限。

c) 服务端SSRF / 外网代理(可以随意访问腾讯内网，同时获取到 http://tst.qq.com/flag.html 的全部内容)。

d) 服务端文件读取 / XXE（可以读取/etc/passwd全部内容）。

e) 高风险的信息泄漏漏洞，可无交互遍历用户身份信息或直接对业务造成高风险（范围：真实姓名、身份证、手机号、住址、交易信息、聊天记录），要求包含两个及以上敏感字段。

腾讯会议额外奖励

1）额外奖励时间段

2023/6/12 00:00-2023/6/25 24:00

2）奖励规则

需提供详细的漏洞报告和完整可复现的POC

奖励一：3万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) 客户端RCE漏洞，可直接进行攻击，无需受害者点击或其他任何交互（排除chromium导致的）。

b) 服务端RCE漏洞，获取腾讯会议服务器权限。

c)可无交互遍历腾讯会议用户的敏感信息（范围：真实姓名、身份证、手机号、聊天记录、通讯录），要求包含两个及以上敏感字段，影响总数超过5万。

d) 可以无条件进入任意会议，并且伪造任意人身份，并且能够以他人身份给他人发送完全自定义消息。

奖励二：1万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) 无交互的远程客户端或服务端拒绝服务（DOS）漏洞（进程异常退出），不包括发送大量请求导致的资源消耗类。

b) 无交互窃取任意一个会议的所有音视频数据或IM聊天内容

c) chromium导致的客户端RCE（不包括内部在修复中的chromium漏洞且需在win7和win10以及win11复现），可直接进行攻击，无需受害者点击或其他任何交互。

企业微信额外奖励

1）额外奖励时间段

2023/6/12 00:00-2023/6/25 24:00

2）奖励规则

奖励一：3万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a）企业微信票据泄漏类型的漏洞，可以无交互盗取他人票据，并且能够以他人身份给他人通讯录联系人发送完全自定义消息。

b) 高风险的信息泄漏，可无交互遍历用户身份信息或直接对业务造成高风险的信息（范围：真实姓名、身份证、手机号、住址、交易信息、聊天记录、VOIP、视频、聊天记录），要求包含两个及以上敏感字段。

奖励二：1万元/个，要求在上述产品范围内并且漏洞在高危及以上，且同时满足以下条件之一

a) 服务端RCE漏洞，获取企业微信业务服务器权限。

b) 客户端RCE漏洞，可直接进行攻击，无需受害者点击或其他任何交互（不包括内部在修复中的chromium漏洞）。

c) 普通员工越权获取当前企业管理员权限（能够使用管理员所有功能）。

漏洞提交基本原则

1、测试过程不得损害业务正常运行，不得以测试漏洞借口尝试利用漏洞损害用户利益，影响业务的正常运行或盗取用户数据等行为。

2、禁止内网渗透行为，包括但不限于利用 SSRF 或其他漏洞扫描内网、尝试系统提权等行为。

3、禁止进行网络拒绝服务攻击，包括但不限于 DoS、 DDos、CC 或其他明确在尝试前可知会影响服务稳定性的拒绝服务攻击。

4、禁止下载和业务相关的敏感数据，包括但不限于源代码、运营数据、用户资料等，若存在不知情的下载行为，需及时说明和删除。

5、在测试未限制发送次数的短信功能时，需填写自己的手机号，禁止对其他用户号码进行尝试。

6、禁止使用可能造成业务影响的漏洞尝试工具，包括但不限于 SQLMap 等，使用时需确认不会对业务数据造成破坏性的影响。

7、在测试过程中如包含数据获取功能时，包括但不限于 SQL 注入、用户资料的越权获取等，应尽可能的采取手动尝试，且获取的数据量不能超过 10 组，相关数据也需在报告后尽快删除。

8、测试越权尝试或其他可能影响用户数据的操作时，需尽可能将尝试控制在自己创建的多个账号生成的内容中，不得影响到线上业务中其他用户的正常数据。

9、禁止通过物理接触、社会工程学、钓鱼、水坑等不涉及 TSRC 奖励计划的非技术漏洞尝试。

10、我们反对和谴责一切以漏洞测试为借口，利用安全漏洞进行破坏，损害腾讯系统及腾讯用户的利益的攻击行为，对相关行为我们保留追究法律责任的权利。

11、漏洞测试和提交准则请参照《腾讯外部威胁情报处理流程》和遵守《SRC行业安全测试规范》。

补充说明

在漏洞处理过程中，如果报告者对处理流程、漏洞评定、漏洞评分等具有异议的，请通过当前漏洞报告页面的评论功能或者页面中的“一键联系处理人员”、“联系值班人员”的按钮及时沟通。腾讯安全应急响应中心将根据漏洞报告者利益优先的原则进行处理，必要时可引入外部人士共同裁定。更多详情请参照“腾讯外部漏洞报告处理流程”。

附：《漏洞评级及奖励标准》，详情请参考

https://security.tencent.com/uploadimg_dir/other/TSRC.pdf