白帽合规边界：渗透测试、漏洞挖掘法律风险，哪些操作绝对不能做

原创于 2026-10-20 10:08:58 发布 · 167 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

收录于

网络安全

本文系统梳理国内漏洞挖掘与渗透测试的法律框架，重点解析《刑法》第285、286、253条之一等核心罪名，明确非法侵入、非法获取数据、侵犯公民个人信息等刑事风险；厘清SRC授权范围与最小验证原则，列出10类绝对禁止操作（如批量爬取、横向渗透、植入后门、DDoS测试等）；结合袁炜案等真实判例，强调主观善意不免责、口头授权无效、Out of Scope资产严禁探测等关键合规要点，为白帽提供可落地的法律风险规避指南。

免责声明：本文仅作为网络安全科普学习资料，不构成任何法律意见。漏洞挖掘、渗透测试行为必须严格遵守《刑法》《网络安全法》《数据安全法》《个人信息保护法》等法律法规，仅可在拥有完整书面授权、SRC 公示授权范围内开展最小验证测试。善意不等于免责，SRC 平台协议不等于法律豁免书，任何超出授权范围的操作，都可能面临行政处罚、民事赔偿乃至刑事责任。请勿将文中技术思路用于非法测试。

摘要

很多 SRC 白帽新手存在一个致命误区：只要我最后提交漏洞、不搞破坏，就算是合法白帽行为。大量真实判例证明：“主观善意” 不能免除法律责任。哪怕你初衷是为厂商报漏洞拿赏金，只要行为突破授权边界，侵入系统、批量获取用户数据、横向渗透内网，就会触碰刑法红线，从 “白帽子” 变成刑事案件嫌疑人。

SRC 赏金计划、厂商安全响应中心，本质是厂商与白帽之间的民事约定，划定了允许测试的资产范围、测试行为边界。这份协议，只能约束白帽和厂商双方，不能对抗国家法律。很多白帽在 SRC 工单中被通报、取消奖金、账号封禁，严重的直接被公安立案，根源就是没有分清：哪些行为属于允许的最小验证，哪些行为属于法律禁止的高危操作。

本文万字深度文章，系统梳理国内漏洞挖掘、渗透测试的法律框架，拆解刑法重点罪名，区分 SRC 场景下的合规行为与绝对禁止操作，结合真实白帽涉案判例、各大厂商 SRC 违规通报案例，讲解授权边界、最小验证原则、个人信息保护、漏洞发布规范，同时给出一套可落地的合规自查清单、风险规避流程。不管是新手学习 SRC 挖洞，还是从事商业渗透测试工作，都必须读懂这套合规边界，守住法律底线。全文约 13000 字。

前言

在网络安全圈子，经常听到一句话：白帽和黑帽之间，只隔一条授权线。

同样一条 SQL 注入语句，在有完整书面授权的靶场、商业渗透项目、SRC 公示资产内做最小验证，属于安全测试；在没有授权的网站执行，哪怕只是查询一条数据，没有删改、最后主动上报漏洞，也属于非法侵入计算机系统。

近几年，国内多起白帽涉案案件，打破了很多人的幻想：

白帽通过 SRC 范围的漏洞，横向进入厂商内网，扫描大量内网服务器，被公安立案，奖金取消，承担刑事责任；
白帽发现越权漏洞，批量遍历数万用户手机号，提交 SRC 工单，厂商直接报案，涉嫌侵犯公民个人信息罪；
白帽拿到 OSS 密钥，批量下载存储桶内全部业务文件，即便主动提交漏洞，依然被判定违规，取消赏金，保留追责权利；
商业渗透工程师，仅拿到网站首页测试授权，私自测试子域名、后台系统，被客户起诉，承担民事赔偿。

很多新手学习挖洞，优先学习 Burp、SQL 注入、越权、SSRF 等技术，却忽略法律知识。技术能力越强，一旦越界，法律风险越高。

本文将从法律条文、罪名解析、SRC 场景边界、禁止操作清单、真实案例、落地合规流程，完整讲解白帽合规边界，区分什么可以做、什么绝对不能碰。

一、漏洞挖掘与渗透测试适用法律体系

国内白帽漏洞挖掘行为，主要受《刑法》《网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》以及《治安管理处罚法》约束。不同法律对应不同层级的违法后果，从治安罚款、行政拘留，到有期徒刑、罚金。

1.1 《刑法》核心罪名（最高风险，刑事犯罪）

这是白帽最需要警惕的法律，一旦触犯，留下案底，影响终身。

非法侵入计算机信息系统罪（刑法第 285 条第 1 款）
针对国家事务、国防建设、尖端科学技术领域的计算机信息系统。本罪属于行为犯，只要侵入，无论是否拿到数据、是否造成破坏，即构成犯罪。

重点提醒：政府、军队、科研相关系统，绝对不要尝试任何探测，不存在 “善意挖洞” 的豁免空间。哪怕只是扫一下端口，都可能构罪。

非法获取计算机信息系统数据、非法控制计算机信息系统罪（刑法第 285 条第 2 款）
针对普通企业、互联网业务系统。违反国家规定，侵入计算机信息系统或者采用其他技术手段，获取该系统中存储、处理或者传输的数据，或者对计算机系统实施非法控制，情节严重的，构成此罪。
司法解释明确：获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上；其他身份认证信息五百组以上；非法控制计算机信息系统二十台以上，即可认定 “情节严重”。
提供侵入、非法控制计算机信息系统程序、工具罪（刑法 285 条第 3 款）
批量传播、售卖 SQLmap、远控木马、扫描工具、破解工具，用于突破安全防护，会触犯本条。个人使用工具在授权范围内测试，一般不涉及；但编写、对外分享 EXP、批量攻击工具，存在巨大风险。
破坏计算机信息系统罪（刑法 286 条）
对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行；或者删除、修改、增加系统中存储、处理、传输的数据和应用程序；制作、传播计算机病毒等破坏性程序。

典型行为：DDoS、删库、篡改页面、修改订单数据、植入后门木马。无论是否授权，只要造成业务中断，就会触发。

侵犯公民个人信息罪（刑法 253 条之一）
违反国家有关规定，向他人出售或者提供公民个人信息，或者窃取、以其他方法非法获取公民个人信息。手机号、身份证、收货地址、银行卡号、人脸信息都属于公民个人信息。

SRC 场景高频踩坑点：水平越权漏洞批量遍历大量用户手机号、身份证，就算只本地保存、没有对外出售，仅仅获取行为本身就涉嫌本罪。很多白帽以为只是取证，实际上已经触碰刑事红线。

1.2 《网络安全法》（行政责任）

《网络安全法》第 26 条：任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事前款活动的，不得为其提供技术支持、广告推广、支付结算等帮助。
第 62 条：未经允许发布漏洞、攻击技术，拒不改正，可处 1 万至 10 万元罚款。

1.3 《关键信息基础设施安全保护条例》（重点红线）

第三十一条明确规定：未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等可能影响或者危害关键信息基础设施安全的活动中央网络安…。
关键信息基础设施：能源、交通、水利、金融、公共服务、电子政务等重要行业系统。

重要提醒：银行、医院、政务平台、电力运营商这类属于关基，SRC 的普通赏金授权，不等于关基测试法定授权，不要随意探测。

1.4 《治安管理处罚法》

没有达到刑事立案标准的侵入、获取数据行为，可处拘留、罚款。即使不判刑，也属于违法记录。

1.5 民事责任

即便不触犯刑法、行政法，超出授权范围的测试行为，造成企业业务损失、数据泄露，企业有权提起民事诉讼，要求白帽赔偿经济损失。

二、核心认知误区：SRC 授权不等于无限授权，善意不等于免责

误区 1：厂商 SRC 写了赏金计划，这个企业所有域名、资产都可以随便测

纠正：SRC 的授权是限定范围授权，只针对页面明确公示的 In Scope 资产。Out of Scope 资产，哪怕同属这家公司，也没有任何测试授权。
举例子：厂商 SRC 公示允许测试*.a.com，子域名test.a.com属于范围；但厂商另一个独立域名b.com，没有写进 scope，哪怕是同一家公司旗下，也禁止探测。很多白帽踩坑，就是看到是同一家企业资产，直接扫描，最后被判定越界。

误区 2：我只是挖漏洞，最后提交给厂商，没有牟利，就不会违法

纠正：法律判断看客观行为，不看主观动机。最高检相关文章明确：白帽子的主观善意，不能当然豁免侵入计算机系统的法律责任中华人民共…。
袁炜案就是典型案例：白帽以检测安全漏洞为由，未经充分授权抓取网站数据，最终被认定非法获取计算机信息系统数据罪。哪怕初衷是上报漏洞，获取数据的行为本身已经违法。

误区 3：最小验证 = 可以尽可能多获取数据，只要截图取证就行

纠正：最小验证原则，是 SRC 合规的核心。
最小验证定义：仅用最少操作，证明漏洞存在，获取刚好能够证明漏洞存在的少量数据，不扩大影响。
✅合规示例：水平越权漏洞，修改 ID，只查看 1 条测试账号数据，截图证明漏洞存在，立刻停止。
❌违规示例：写脚本循环遍历 10000 条用户数据，批量导出手机号，用于 “完整取证”。哪怕截图之后提交漏洞，批量获取大量个人信息，已经涉嫌违法。

误区 4：口头授权、微信聊天承诺，就算拿到合法渗透授权

纠正：商业渗透测试，必须盖公章的书面授权文件，写明测试起止时间、测试资产范围、允许的测试动作。口头、微信私聊授权，法律效力极弱，一旦发生纠纷，很难举证。
SRC 属于线上协议，以 SRC 页面公示规则为准，聊天记录口头承诺无效。

误区 5：拿到漏洞之后，POC 自己存着，不对外发布就没事

纠正：漏洞在厂商修复完成之前，私自保存完整 EXP、批量用户数据，存在风险；如果数据泄露，白帽需要承担责任。厂商修复漏洞后，也建议及时清理本地敏感数据。

三、SRC 挖洞场景：绝对禁止的高危操作清单（重中之重）

下面所有操作，哪怕资产在 SRC Scope 范围内，也属于违规行为，轻则工单驳回、取消奖金、账号封禁；重则触发刑事风险。

3.1 禁止批量自动化遍历、批量爬取用户数据

SRC 最常见违规行为，也是最容易触犯侵犯公民个人信息罪的行为。
场景举例：

发现水平越权接口，写循环脚本批量遍历大量用户 ID，批量获取手机号、身份证；
接口存在枚举漏洞，批量枚举全部订单、用户、收货地址；
爬虫批量抓取业务数据，导出到本地保存。

SRC 规则普遍要求：仅验证 1~2 条记录，证明漏洞存在，立刻停止。禁止批量循环拉取数据。很多厂商 SRC 公告明确：批量遍历用户数据，直接取消赏金，保留法律追责权利。

风险说明：公民个人信息 50 条以上，就达到侵犯公民个人信息罪立案标准。很多白帽随手跑脚本，一瞬间获取上千条手机号，直接触碰刑事立案门槛。

3.2 禁止横向渗透内网（SSRF、漏洞进入内网后继续深入探测）

SSRF 漏洞是高频踩坑点。
很多白帽通过 SSRF 访问内网一台机器之后，继续对内网端口扫描、探测内网服务、尝试内网其他漏洞，进行横向移动。
多个厂商 SRC 违规通报案例：白帽利用 SSRF 对内网大规模扫描，直接取消奖金，警告，多次违规直接封禁账号。

合规边界：仅验证 SSRF 可以访问内网指定地址，证明漏洞存在即可。禁止对内网资产进行进一步扫描、探测、漏洞利用，禁止内网横向移动。内网资产绝大多数不在 SRC 授权测试范围内。

3.3 禁止植入后门、修改、删除、新增任何业务数据

无论什么漏洞，严禁：

上传 webshell 后门、木马；
修改页面内容、修改用户密码、修改订单金额；
删除数据库记录、文件；
新增账号、新增管理员权限。

哪怕你只是临时上传，测试完成之后主动删除，依然属于破坏计算机信息系统。一旦造成业务影响，直接刑事风险。

补充：文件上传漏洞验证，只允许上传无害的 txt 文件，禁止上传脚本、webshell。很多新手为了验证 getshell，上传 php 脚本，属于严重违规。

3.4 禁止 DDoS、压力测试、大流量爆破，影响业务正常运行

禁止爆破账号密码、高并发请求、大量扫描，造成服务器卡顿、接口拒绝服务。
dirsearch、ffuf、burp 批量扫描，如果并发过高，造成业务不可用，属于违规。

SRC 挖洞建议：降低请求并发，限制请求速率，一旦发现服务器响应变慢，立刻停止测试。

3.5 禁止社工、钓鱼、诱导用户操作

禁止：伪造邮件、短信、钓鱼链接，诱导业务员工、普通用户点击链接、输入账号密码。
SRC 规则普遍禁止社会工程学测试。哪怕目标在 scope 内，社工钓鱼属于 Out of Scope 行为，不予收录，严重追究责任。

3.6 禁止漏洞未修复前，对外公开漏洞细节、POC、EXP

漏洞还没有修复，把漏洞地址、payload、利用脚本、截图、用户敏感数据发布到公众号、优快云、微信群、Github。
违反《网络安全法》，同时厂商可以追责。

正确做法：等厂商确认漏洞修复完成，并且厂商允许公开之后，再脱敏写技术文章。文章中必须隐去域名、IP、接口地址、敏感数据。

3.7 禁止超出资产范围测试（Out of Scope 资产一律不碰）

包括：

不在 SRC 公示列表内的子域名、IP、小程序、APP；
第三方合作厂商、外包站点、供应商资产；
测试环境明确标注 out of scope 的资产；
关基系统、政务系统、医院、银行系统，没有专项书面授权，一律禁止探测。

重要：哪怕被动收集到厂商的子域名，只要不在 SRC scope，不能访问、不能发包探测，只能丢弃。

3.8 禁止使用漏洞做资金相关操作

订单篡改、支付绕过、优惠券批量领取，哪怕只是测试，不提现，也属于极高风险。资金类业务一旦操作，极易造成财产损失，民事 + 刑事双重风险。

3.9 禁止下载、留存大量敏感文件

通过 OSS、COS、文件读取漏洞，批量下载存储桶全部文件、数据库备份文件。
最小验证：只读取少量文件，证明漏洞存在，不批量下载全部数据。本地取证完成后，提交工单后立刻删除敏感文件。

3.10 禁止伪造、篡改漏洞证据，伪造漏洞

伪造请求包、截图，编造不存在漏洞提交 SRC 骗取奖金，属于诈骗，需要承担法律责任，各大 SRC 多次发布此类处罚公告。

四、区分：什么操作属于合规的最小验证（SRC 允许）

很多白帽分不清边界，下面列出 SRC 场景下合规操作的标准，满足全部条件，才属于安全合规测试：

资产在 SRC 公示 In Scope 清单内；
仅最小验证，获取最少数据：越权漏洞，查看 1~2 条测试账号数据，不批量遍历；文件读取漏洞，读取 1 个小文件，证明漏洞存在；
不修改、不删除、不新增任何业务数据；
不横向渗透、不进入内网深度探测；
控制请求速率，不造成业务卡顿，不进行压力测试；
不使用社工、钓鱼手段；
取证材料仅用于漏洞报告提交，不对外传播敏感数据；
发现漏洞，及时提交工单，停止继续利用。

举个例子：
发现存储型 XSS，插入无害弹窗 payload，证明可以执行 JS，不窃取 Cookie、不劫持账号，完成截图取证，停止测试，提交 SRC。这是合规最小验证。

如果插入恶意脚本，窃取 Cookie，批量盗取用户会话，就超出边界，属于违规。

五、商业渗透测试的合规要求（和 SRC 赏金挖洞不一样）

很多白帽后续会从事商业渗透项目，商业渗透的授权要求比 SRC 更加严格。

必须提供盖公章的书面授权书，口头授权无效；
授权书必须写明：测试主体、测试起止时间、完整资产范围、允许测试类型、禁止行为；
关键信息基础设施，除企业授权外，还需要按照法规要求，完成主管部门审批，普通企业授权不足以开展关基渗透测试；
测试过程全程日志留存，所有操作记录保存，用于事后溯源；
测试结束之后，删除所有获取的客户敏感数据，交付报告，留存交付凭证。

重要提醒：很多小公司找人做渗透，只给微信一句话，没有公章授权。这种项目千万不要接，一旦出现问题，渗透工程师承担主要法律责任。

六、真实判例与 SRC 违规案例复盘

案例 1：白帽利用 SSRF 横向扫描内网，SRC 取消奖金，警告追责

某厂商 SRC 白帽，在 scope 资产发现 SSRF，可以访问内网。白帽没有止步，对内网网段进行端口扫描，探测大量内网服务。厂商安全团队审核工单，判定超出最小验证范围，漏洞不予收录，取消奖金，发布违规通告，保留法律追责权利。
复盘：SSRF 仅验证可访问内网地址即可，内网探测不属于授权范围，内网属于 out of scope。很多白帽误以为，能访问内网就可以继续探测，这是典型认知错误。

案例 2：水平越权批量遍历上万用户手机号，涉嫌侵犯公民个人信息罪

白帽发现 APP 接口水平越权，写脚本循环遍历用户 ID，获取上万条手机号，截图取证提交 SRC。厂商收到报告之后，直接报案。
法律分析：手机号属于公民个人信息，批量获取行为本身构成侵犯公民个人信息，即使没有出售，仅仅获取，达到数量标准就可以立案。

正确做法：仅查看 1 条测试账号信息，截图，停止遍历，提交报告。

案例 3：袁炜案，经典白帽刑事判例

白帽未经充分授权，抓取网站数据，主张自己是白帽，目的是发现漏洞，最后法院认定构成非法获取计算机信息系统数据罪。
核心结论：主观善意不能成为免责理由，法律看客观入侵、获取数据行为。

案例 4：上传 webshell 验证文件上传漏洞，工单驳回，账号封禁

新手白帽，找到文件上传点，上传 php 一句话木马，成功 getshell，提交漏洞。厂商 SRC 直接判定严重违规，漏洞不予收录，账号封禁。
复盘：验证文件上传漏洞，仅上传 txt 无害文件，证明可以上传文件即可。上传脚本木马，属于高危违规操作，禁止。

七、白帽容易踩坑的灰色地带辨析

7.1 被动信息收集，是否合法？

被动信息收集（crt.sh、wayback、subfinder 等，不向目标发包），单纯收集公开互联网数据，本身合法。
但是！被动收集拿到密钥、账号、数据库凭证之后，拿着凭证去登录、访问业务系统，属于主动行为，需要授权。
举例子：Github 搜到厂商 OSS 密钥，单纯查看代码属于被动收集；使用密钥访问 OSS 存储桶，就属于主动测试，必须遵守 SRC 最小验证原则，禁止批量下载文件。