漏洞提交

凌晨两点十七分，漏洞提交我提交了那个漏洞。漏洞提交不是漏洞提交SQL注入，不是漏洞提交XSS，是漏洞提交一个逻辑缺陷——在密码重置流程里，攻击者可以无限次尝试验证码，漏洞提交而且验证码的漏洞提交有效期是整整一小时。我把复现步骤写得像菜谱一样详细，漏洞提交附上录屏，漏洞提交然后点了提交。漏洞提交

三天后收到回复："经确认，漏洞提交此问题属于低危，漏洞提交感谢提交。漏洞提交"低危？漏洞提交我盯着那个词看了很久。一个能重置任意账户密码的漏洞提交漏洞，被标记为低危。不是因为他们技术判断有误，而是因为触发条件需要"攻击者已获得受害者的手机号"。可这年头，手机号还算什么秘密吗？

我见过太多漏洞被低估的案例。有个朋友提交过一个越权漏洞，能查看平台所有用户的订单详情，包括收货地址和电话号码。厂商回复说"该功能仅限内部测试环境使用"，然后悄悄把测试环境关了。问题在于，测试环境和生产环境用的是同一套用户数据库。他们修了门，却忘了窗户还开着。

提交漏洞这事，像在跟一个瞎子描述颜色。你费尽心思画出示意图，告诉他"这里有一堵墙，墙后面是悬崖"，他摸到墙之后说"这墙挺结实的，没事"。然后你眼睁睁看着有人翻过墙，掉下去，摔得粉碎。厂商这时候才想起来问你："你当时说的悬崖，具体有多深？"

更让人沮丧的是流程本身。有些平台要求你填写"影响版本""修复建议""漏洞等级自评"，每一项都像在填高考志愿。可漏洞报告不是标准化考试，它更像是急诊病历。你不需要告诉医生"建议使用阿莫西林"，你只需要说清楚"患者对青霉素过敏，现在高烧四十度，呼吸困难"。可系统非要你选"过敏药物类别"和"建议用药批次"。

偶尔也会遇到真正懂行的人。上个月我提交了一个存储型XSS，对方安全团队当天就确认了，第二天发来致谢邮件，第三天漏洞修复，第四天在官网公告里提到了我的名字。整个过程干净利落，像一场默契的接力赛。那感觉不坏，像你指出邻居家门没锁，他不仅道谢，还请你喝了杯茶。

但大多数时候，漏洞提交是一场孤独的自我证明。你得一遍遍解释为什么这个问题值得重视，为什么"理论上可被利用"不等于"实际上没人会利用"。你得像侦探一样，把攻击链的每一环都扣死，把证据链铺得明明白白。有时候我都觉得自己不是在提交漏洞，而是在写一篇学术论文，还是那种审稿人永远不回复的。

凌晨三点，我又打开那个平台，看到自己的报告状态从"已确认"变成了"已修复"。没有邮件通知，没有积分到账，页面静悄悄的。我随手测试了一下修复方案——他们加了个简单的速率限制，五分钟内最多尝试十次。方向对了，但绕过方式也简单：换个IP就行。我犹豫了一下，还是没再提交。不是不想提，是突然觉得有点累。也许明天再说吧，也许明天他们就会想明白，真正的修复方案应该是一小时的有效期改成五分钟，加上一次性使用。

窗外天快亮了。我关掉电脑，想着那个被我搁置的漏洞，它大概会像很多其他漏洞一样，在某个不起眼的角落里安静地躺着，直到某个真正不怀好意的人发现它。到那时候，厂商大概会急着发公告，说"我们已第一时间紧急修复"，好像一切都来得及似的。