****拟对“复旦大学漏洞挖掘技术服务采购”项目采用询价方式采购，欢迎符合相关资质的供应商提供报价。

项目名称：复旦大学漏洞挖掘技术服务采购

项目联系人：季千惠

项目联系人电话：021-****3555

一、采购项目简介：

为加强校园信息系统网络安全管理，模拟黑客利用自动化技术和手段化技术相结合的方式对校园重要信息系统进行入侵，达到安全漏洞有效检出的效果，从而加强信息系统安全防护水平，决定采购漏洞挖掘技术服务，具体需求如下：

1、漏洞挖掘范围：学校不少于20个重要信息系统。

2、漏洞挖掘人员要求：漏洞挖掘经验三年以上，具有CISP证书。

3、服务方式：现场

4、挖掘漏洞包括但不限于：文件上传、验证码、失效、短信轰炸、邮件轰炸、任意用户密码重置、任意手机号注册、任意邮箱注册、暴力破解、平行越权、垂直越权、社工攻击、SQL注入、跨站脚本攻击、web弱口令、系统服务弱口令、不安全的请求方法、敏感文件泄露、私有地址泄露、敏感信息泄露、目录遍历、命令执行、文件包含、服务器请求伪造、跨站请求伪造、重定向、外部实体注入、反序列化、框架漏洞、中间件漏洞等和多种操作系统漏洞。

5、编写漏洞挖掘报告：项目方在漏洞挖掘完成后须根据每个漏洞给出相对应的修复方案。

6、配合整改和复测：配合学校对发现的安全漏洞提供整改咨询和支持，完成修复后对漏洞进行复测，确保漏洞修复完毕。

二、供应商资格要求：

1、供应商应具有本地化服务能力，****办事处。

2、服务商为具有相关经营范围的独立法人或其他组织。

3、服务商近三年未被“信用中国”网站（www.****.cn）、中国政府采购网（www.****.cn）等官方渠道列入失信被执行人、重大税收违法案件当事人名单或严重违法失信名单。

4、公司须具备CCRC信息安全服务资质，须提供ISO9001质量管理体系认证证书,认证范围：信息安全技术服务。

5、服务商须具有完善的商业漏洞挖掘的相关工具，检测工具须具备以下功能：

a.设备内置VPN拨号漏洞挖掘功能（提供截图并原厂盖章）

b.须具备对SQL注入、XSS攻击、文件包含类等漏洞在检测结果中有验证性，给予漏洞存在性、可利用性以及漏洞利用方式的提醒 （提供截图并原厂盖章）

c.须具备HTTP代理、提供HTTP代理服务器的功能，用来获取通过用户名和密码登录时的cookie，从而进行漏洞挖掘。（提供截图并原厂盖章）

三、预算金额：不超过20万元

四、询价时间：自发布之日起5个自然日

五、报价材料要求：

将供应商全称、项目名称、信息办项目联系人、供应商项目联系人及联系方式、资格证明材料、以及加盖公章的报价单电子版附件，邮件至xxbcg@fudan.****.cn。

注：报价单模板请参照信息办主页-采购信息栏目置顶文章（https://icampus.****.cn/cgxx/list.htm）