原创漏洞证书怎么获得

去年年底，原创一个搞安全的漏洞朋友在群里晒了张截图，是证书他刚拿到手的原创漏洞证书，编号CVE-2023-XXXXX。原创底下有人问“这玩意儿能换钱吗”，漏洞他回了个“能，证书但不多，原创主要是漏洞看着爽”。这话说得挺实在。证书原创漏洞证书这东西，原创说白了就是漏洞官方机构给你发现的漏洞盖个章，证明“这洞是证书你先挖出来的”。它不像挖矿能直接变现，原创但在安全圈里，漏洞它是证书一张硬通货。

想拿到这张纸，路径其实不多，最主流的是走CVE和CNVD/CNNVD两条线。CVE是国际通用编号，由MITRE管理，但普通人不能直接申请，得通过CNA（CVE编号授权机构）提交。国内的话，CNVD（国家信息安全漏洞共享平台）和CNNVD（国家信息安全漏洞库）是主要入口。我认识的一个白帽子，去年在某个国产OA系统里挖到一个前台RCE，直接通过CNVD官网提交了细节。两周后收到邮件，漏洞被确认，再等一个月，证书就寄到了。整个过程没花一分钱，但前提是漏洞得够“原创”——不能是别人早就报过的，也不能是厂商自己已经修了但没公开的。

提交漏洞本身是个技术活，但更麻烦的是“证明你是第一个”。CNVD会查重，如果同一个漏洞已经有人报过，你的提交就会被标记为“重复”。有个做渗透测试的哥们儿，花了三天挖到一个SQL注入，兴冲冲提交，结果被拒，理由是“该漏洞已于2022年由某安全团队提交”。他后来学乖了，挖到洞先不急着报，去GitHub、Exploit-DB、甚至厂商的补丁日志里翻一圈，确认没人提过再动手。这种“先查再报”的习惯，几乎成了圈里的默认规矩。

证书的含金量跟漏洞的严重程度直接挂钩。一个低危的反射型XSS，就算拿到了CNVD证书，也没多少人当回事。但如果是远程代码执行、权限绕过这种，那就不一样了。某次安全会议上，一个研究员展示了他拿到的CVE证书，漏洞影响的是某款全球装机量过亿的路由器。他说这证书帮他拿到了三个面试机会，其中一个直接免了技术面。当然，也有翻车的时候。有人为了刷证书，把同一个漏洞拆成好几个提交，结果被CNVD拉黑，半年内禁止提交。这种事在圈里传得很快，基本等于社死。

厂商自己的漏洞赏金平台是另一条路。像阿里、腾讯、字节都有自己的SRC，提交漏洞后除了给奖金，也会发证书。这种证书在跳槽时挺管用，尤其是面大厂安全岗，HR可能不懂CVE，但看到“腾讯安全应急响应中心”的章，至少知道你不是瞎混的。不过SRC证书有个问题：它只认自家产品。你挖到的是Apache的洞，提交给腾讯SRC，人家不收。所以很多人会同时走多条线，能拿CVE就拿CVE，拿不到再考虑CNVD，最后才是厂商SRC。

说到底，原创漏洞证书不是靠“申请”来的，是靠“挖”出来的。它更像一个副产品，你真正花时间在代码审计、fuzzing、逆向上的时候，证书只是水到渠成的事。我见过最离谱的一个案例，有人为了拿证书，硬生生把某开源CMS的代码读了三个月，最后找到一个反序列化漏洞。证书到手那天，他发了条朋友圈：“终于可以睡个好觉了。”底下点赞的，全是同行。