漏洞平台是漏洞什么有哪些

一个白帽子在凌晨三点提交了一份关于某国产OA系统的SQL注入漏洞，两天后他收到厂商确认，平台一周后拿到两千块奖金和一张电子证书。漏洞这个过程不涉及任何黑客攻击，平台纯粹是漏洞技术验证——漏洞平台就是干这个的。它把发现漏洞的平台人和修复漏洞的人拉到同一张桌子上，省去了中间那些扯皮的漏洞环节。

说白了，平台漏洞平台是漏洞一个公开或半公开的数据库，专门收录软件、平台硬件、漏洞网站甚至工控系统里的平台安全缺陷。提交者可以是漏洞安全研究员、渗透测试工程师，平台也可以是漏洞普通用户。平台负责验证漏洞的真实性，通知厂商，跟踪修复进度，有时候还帮着协调披露时间。没有这些平台之前，漏洞要么烂在发现者手里，要么被黑产高价买走，厂商往往最后一个知道。

漏洞平台大致分三类

第一类是厂商自建的。微软的MSRC、谷歌的Bug Hunters、苹果的安全赏金计划都属于这种。你发现了Windows的提权漏洞，直接提交给微软，他们内部验证后修掉，然后给你发奖金。这类平台的好处是沟通直接，坏处是范围窄——你只能提交这家厂商的产品漏洞。我认识一个搞浏览器安全的朋友，他同时盯着Chrome、Firefox和Edge三个平台，哪个先确认就优先给哪个。

第二类是第三方中立平台。美国的HackerOne和Bugcrowd是典型代表，国内则有补天、漏洞盒子、CNVD（国家信息安全漏洞共享平台）。HackerOne上注册的白帽子超过百万，企业可以发布赏金项目，也可以只收漏洞不给钱。补天和漏洞盒子的模式类似，但更偏向国内厂商。CNVD有点特殊，它带官方背景，主要做漏洞收集和通报，不直接发奖金，但提交的漏洞会同步给相关厂商和监管机构。

第三类是众测平台。严格说它和漏洞平台有重叠，但侧重点不同。众测平台比如国内的漏洞盒子众测、国外的Synack，企业把某个系统或App的测试范围和时间窗口放出来，白帽子在授权下进行渗透测试，按漏洞质量和数量结算。这种模式比单个漏洞提交更系统，适合上线前的安全验收。

几个平台的具体情况

补天漏洞响应平台上线于2013年，360运营。它的特点是门槛低，新手也能提交，审核周期通常在一到三天。奖金从几十块到几万块不等，取决于漏洞等级和厂商预算。我翻过补天的排行榜，排在前面的白帽子月收入能过万，但那是极少数。大部分人是兼职，图个乐子或者攒简历。

漏洞盒子由斗象科技运营，除了常规漏洞收集，它的众测业务更出名。企业发一个众测项目，比如“某电商App双十一前安全测试”，时间两周，奖金池十万，白帽子报名后按规则测试。这种模式比单点提交更贴近真实攻击场景，发现的漏洞也更有业务价值。

HackerOne的规则更成熟。它有一个“漏洞披露协调”机制，如果厂商不回应，平台会介入，甚至公开谴责。2019年某家车企拒绝修复一个远程控制漏洞，HackerOne直接把这件事挂在了官网首页，三天后厂商就妥协了。这种压力机制是第三方平台的价值所在。

CNVD的定位不同。它不直接发钱，但提交的漏洞会进入国家漏洞库，厂商必须响应。很多国企和事业单位的系统漏洞都走CNVD通道。我见过一个案例，某省级政务平台存在任意文件上传，白帽子提交给CNVD后，三天内就收到了整改通知。

选哪个平台取决于你的目的

想赚钱，去HackerOne或者补天，盯着赏金高的项目。想练手，漏洞盒子的众测项目更合适，有明确的测试范围和时间。想攒行业影响力，CNVD的证书在体制内认可度更高。别指望靠这个发财，大部分漏洞的奖金也就够吃顿火锅。但如果你真挖到一个高危的远程代码执行，厂商给个几万块也不稀奇。

漏洞平台不是万能药。有些厂商收到漏洞后装死，有些平台审核慢得让人抓狂，还有些漏洞因为业务逻辑复杂被误判为“不修复”。这些破事天天都在发生。但整体来看，有平台比没平台强。至少现在发现一个漏洞，你知道该找谁，而不是挂到暗网上等买家。