文章总结： 字节跳动安全中心于2026年5月13日至24日开展抖音专项安全测试活动，聚焦抖音全域资产特别是游戏平台、虚拟创作等业务模块。活动提供重大漏洞最高20万元奖励，对入侵类、敏感数据泄露类高危漏洞给予3倍积分加成，并设新人首报奖励2000元。参与者需通过src.bytedance.com提交报告，敏感测试行为须提前报备。
综合评分： 83
文章分类： SRC活动,渗透测试,漏洞分析,安全运营,漏洞预警
抖音专测享3倍积分！重大漏洞奖励20万元！
字节跳动安全中心
2026年5月13日 11:32
北京
在小说阅读器读本章
去阅读
专测时间
5月13日-5月24日
提交报告标题请备注【抖音专测】
专测范围
抖音全域资产
推荐重点挖掘以下业务模块：
*抖音游戏厂商合作平台：
game.open.douyin.com
*抖音虚拟创作平台：
https://vcreate.douyin.com/
*抖音直播服务平台机构版：
union.bytedance.com
*抖音虚拟形象平台：
vasset.douyin.com
*抖音app-AI作者助手
专测奖励
01
重大漏洞奖励20万元
- 不依赖任何用户交互，可接管抖音任意用户账号权限的漏洞
- 不依赖任何用户交互，可获取抖音任意用户的手机号或身份证号等用户重要敏感数据的漏洞，且该漏洞涉及的接口无风控拦截措施
* 重大漏洞奖励不参与成长体系、其他活动的额外现金/翻倍奖励加成
02
多倍奖励｜多挖多得
重点类型高危/严重漏洞3倍积分
- 入侵类漏洞
可实现入侵抖音生产网效果的漏洞，包括不限于RCE、SSRF、反序列化、WebShell上传获取服务器控制权等
- 敏感数据泄露类
可直接获取任意用户非公开的高敏数据的漏洞
*敏感数据定义
🌟核心字段：真实姓名、身份证号、联系方式（手机号、邮箱、社交账号）、家庭住址、个人生物识别信息（照片）、银行卡号、完整交易信息（含详细购买记录、资金流水）、医疗健康信息、账户密码等
🌟判定标准：通常需要三个及以上的核心字段组合，若仅泄露单项信息（如一串无法关联到用户的手机号），则不属于敏感信息
- 其他类型高危/严重漏洞享2倍积分
- 全线中危漏洞1.5倍积分
03
新人有礼
新白帽首次提交高危严重漏洞
奖励2000元/人（新人定义：2026年未提交过高危严重漏洞的白帽子）
特殊说明
1、敏感数据相关补充说明
-获取方式必须来自内部提供服务的接口，第三方提供的平台服务等不属于我方敏感信息泄露。
-不收取预期内泄漏的敏感数据，如百应平台（商家达人合作时手机号可获取）、电商联系商家场景返回的手机号、主播工会共享联系方式等不算敏感信息泄露。
-数据泄露对应量级：严重>100万条、高危>5000条（非用户数据的B端数据会结合是否为公开数据即可直接获取到的、半公开数据即部分数据可公开获取到等情况定级）
-token、session、cookie信息会结合可操作获取到的数据信息具体定级。
-其他未提及的信息数据可以提交后由内部与业务共同商议评估
2、报告提交地址：src.bytedance.com
3、活动奖励发放说明：无需备注，活动期间提交有效漏洞，默认享有活动奖励；漏洞审核后通过后仅发放基础积分，活动额外奖励积分将在所有报告审核完毕后下发至平台账户。
4、活动期间所有报告依据《报告处置规则V6.0》进行等级判定与奖励
5、活动期间有任何问题可通过平台留言&邮箱：[email protected] 联系我们
6、重大漏洞不参与活动翻倍奖励；本次活动奖励不与其他翻倍活动奖励叠加
7、当发现入侵类风险后需周知平台，报备方式：
所有敏感测试测试行为需提前报备，未经提前报备的测试结果不予以漏洞奖励。包括但不限于：反弹shell、容器逃逸、修改任意管理员账号密码、删改数据、文件上传等。
🆕请填写问卷
https://bytedance.larkoffice.com/share/base/form/shrcnrc362x10iXj5YhrHHBHEjc
并将详细信息发送给[email protected]邮箱，将有专人评估，如授权测试则会通过邮箱给您反馈。
📧 邮件标题：【测试报备】业务/产品名+测试行为+昵称
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：字节跳动安全中心 《抖音专测享3倍积分！重大漏洞奖励20万元！》