一、在开展安全测试时，应当遵守以下规范要求：

1. 1.您仅可对马蜂窝开展安全测试，但需遵守《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规的规定，采取合法、正当的测试方式，不得侵犯任何第三方合法权益。
2. 2.业务异常运行测试：禁止进行可能引起业务异常运行的测试，如利用计算机病毒、网络攻击、网络侵入等恶意方式干扰马蜂窝主体下各系统的正常功能及运营；扫描、拒绝服务或将漏洞用于黑灰产等恶意行为。
3. 3.越权漏洞：越权读取时，读取到的真实数据不能超过2组，严禁通过自动化工具进行批量读取。
4. 4.账号操作：在进行漏洞验证时，只允许通过自己注册的2个账号验证漏洞效果，严禁通过线上用户账号进行验证，影响线上业务及其他用户。如涉及数据增删改操作测试，只允许通过自己注册的2个账号进行验证，不得涉及线上正常用户的账号。
5. 5.注入漏洞：只需证明可以读取数据，严禁读取表内数据。对于UPDATE、DELETE、INSERT等注入类型，禁止使用自动化工具进行测试。
6. 6.存储xss漏洞：禁止插入影响他人的测试payload，所有xss测试，测试之后需删除插入数据，如无法自行删除，请在漏洞报告中备注插入点。
7. 7.扫号类漏洞：在测试中发现未限制发送短信或邮件次数等漏洞，需使用自己手机号或者邮箱进行测试，禁止对他人真实手机号或邮箱进行测试。
8. 8.Shell或命令执行：推荐上传文本证明问题即可，禁止下载和读取服务器上任何源代码文件和敏感文件，如：删除、写入命令，上传webshell。
9. 9.内网渗透和社工：除特别获准的情况下，严禁进行内网渗透和与漏洞无关的社工。
10. 10.敏感信息泄露：禁止保存和传播与业务相关的敏感数据。
11. 11.由于旅游行业的特殊性，旅游订单直接由商家处理。为保障马蜂窝主体下各系统及商家正常运营，针对旅游订单等下单类产品进行安全测试时，需先与马蜂窝SRC进行沟通报备，如未报备，进行多次下单退单或多人下单退单，可能会被视为恶意刷单和恶意退单，平台和商家有权不予退款。
12. 12.未与马蜂窝官方沟通并得到明确许可，不得直接对外宣称是马蜂窝认可的安全测试行为。
13. 13.根据《中华人民共和国网络安全法》的严格规定，禁止任何以测试网络漏洞为借口，利用安全漏洞破坏系统或损害用户利益。禁止向第三方或个人披露漏洞测试过程所获知的任何信息。对于任何违反这些规定的行为，企业将保留采取进一步法律行动的权利，以维护网络安全和用户权益。

二、处罚措施及法律责任：

1. 1.若您违反上述安全测试规范，MFSRC将取消您当次漏洞奖励并处以严厉警告。
2. 2.以下情形，MFSRC将取消当前账号下的所有奖励、封禁账号，并采取保留因您违反本规范而追究您法律责任的一切权利。
   1. （1）违反上述安全测试规范达到2次及以上；
   2. （2）测试过程中影响马蜂窝业务正常运营，如影响到马蜂窝平台及商家正常预订、退款，或造成非正常预订、退订，给马蜂窝平台及商家带来工作困难导致投诉的。
3. 3.干扰审核行为：对于将同一漏洞拆分多个提交等干扰审核的行为，将降低积分奖金等级，并在漏洞提交日起三个月内禁止参加MFSRC平台的漏洞项目。
4. 4.严重违规行为：如违反测试规范第12条，即违反《中华人民共和国网络安全法》的相关规定，利用安全漏洞进行破坏、损害用户利益的行为，将取消所有SRC奖励，封禁账号，由此产生的责任由责任方承担。
5. 5.法律责任：对于违反安全测试规范的行为，MFSRC平台将取消违规者当次漏洞奖励并处以严厉警告。若违规者违反规范多次或影响业务正常运转，将取消所有荣誉并要求返还所有奖励。此外，违规需自行承担由违规行为引起的诉讼、罚款或其他制裁措施，并赔偿因违反规范引发的任何索赔或损失。