360漏洞提交

上个月我提交了一个路由器固件的漏洞提交命令注入漏洞，从提交到确认用了四天。漏洞提交这速度比我预想的漏洞提交快，毕竟360的漏洞提交SRC（安全响应中心）每天要处理上百份报告。但真正让我意外的漏洞提交是后续——漏洞定级为“高危”，给了8000块奖金，漏洞提交外加一个定制背包。漏洞提交背包质量不错，漏洞提交拉链顺滑，漏洞提交比某些厂商发的漏洞提交文化衫实在多了。

提交漏洞的漏洞提交流程其实不复杂。登录360SRC网站，漏洞提交点“提交漏洞”，漏洞提交填上漏洞类型、漏洞提交影响范围、漏洞提交复现步骤，再附上截图或视频。关键在复现步骤要写清楚。我见过有人写“输入特殊字符导致崩溃”，这种描述基本会被打回。你得告诉审核员：什么环境、什么版本、执行了什么操作、看到了什么现象。别嫌麻烦，你写不清楚，人家也没法验证。

审核那边分两拨人。第一拨是初审，判断漏洞是否真实存在、是否在收录范围内。过了初审才轮到技术专家看危害程度。我那次提交后第二天就收到初审回复，问我要了具体的payload构造细节。技术专家问得更细，连路由器固件的编译选项都问了。说实话，当时有点不耐烦，但事后想想，这种较真对双方都好——他们确认漏洞真实性，我确认他们不会随便打发人。

奖金发放走对公账户，需要提供发票。第一次提交的人可能卡在这步——个人开发者没有公司发票怎么办？平台支持劳务报酬代扣代缴，填好身份信息就行。到账时间大概在漏洞确认后两周，碰上节假日会顺延。我有个朋友因为发票类型填错被退回重提，多等了五天。所以提交前看清楚财务说明，这环节挺磨人。

有人觉得360漏洞提交门槛高，非要挖到内核级漏洞才行。其实不然，他们收录范围包括Web端、移动端、桌面客户端，甚至IoT设备。我上次提交的漏洞就是个简单的未授权访问——管理接口没做IP限制，直接暴露公网。这种漏洞技术含量不高，但影响面大，照样给了中危评级和两千块。关键是思路要正：别只盯着缓冲区溢出这种硬核玩意儿，业务逻辑漏洞、配置缺陷、信息泄露，都是钱。

还有个小细节，360的漏洞报告模板里有个“影响范围”字段，很多人随便填个“所有版本”。这不行。你得写明具体版本号，最好附上厂商的版本更新公告链接。审核员会拿这个去验证。填得太宽泛，反而显得你不专业。我习惯在提交前用Shodan或Fofa搜一下互联网上有多少暴露资产，把数据写进报告——比如“全球约有2.3万个设备受影响”。这种量化描述能显著提升漏洞的定级权重。

最后说点实在的。漏洞提交不是打游戏刷分，别为了奖金去批量提交低质量报告。360的审核记录里会保留你的历史提交质量，连续多次被驳回，账号可能被降权。反过来，你提交过几个高质量漏洞，后续报告会优先处理。我现在的账号在初审阶段基本当天就有回复，这大概就是信誉积累的好处。

挖漏洞这事，运气占三分，剩下的全靠细心和耐心。多看看厂商的安全公告，研究补丁diff，往往能发现修补不完整的点。360的SRC页面每月会公布漏洞榜单，研究那些上榜案例的提交思路，比自己瞎摸索强得多。这不，我刚看到他们新上线了AI安全测试专区，提交大模型相关的漏洞有额外加成。下一个目标，就是它了。