提交补天

提交补天，提交补天听起来像是提交补天个神话任务。可在我这儿，提交补天它就是提交补天每周五下午三点整，把那个破旧U盘插进公司内网电脑的提交补天瞬间。

U盘里装的提交补天是漏洞报告。不是提交补天那种能拿奖金的惊天大洞，全是提交补天些边角料——某个内部系统把用户邮箱当账号还不脱敏，某个老接口没限流能被人刷爆，提交补天某个管理后台的提交补天密码居然还是admin123。我管这叫“补天”，提交补天女娲补天补的提交补天是天裂，我补的提交补天是公司数字世界的裂缝。没人要求我这么做，提交补天我就是提交补天看不惯。

第一次提交是在去年冬天。当时研发部急着上线新功能，把测试环境的配置直接带到了生产。我路过茶水间，听见两个工程师说“没事，先跑起来再说”。当晚我花了三个小时，把那个配置文件的错误路径翻了个底朝天，写了个带截图带复现步骤的文档，第二天扔给了安全组的组长。他回了我一个“收到”，然后石沉大海。

后来那个漏洞被外部白帽子捅了出来，公司紧急修复，发了全员邮件说“感谢安全研究者的发现”。我盯着那封邮件笑了半天——那明明是我先报的。但你没处说理去，提交补天这件事，本来就是无名功。

可我还是接着干。上个月我报了个XSS漏洞，能偷cookie的那种。这次学乖了，直接提交到总部的漏洞平台，系统自动生成了工单号。三天后安全组的人找我谈话，问我“怎么发现的”。我说我写了个脚本每天扫自己的测试账号，他们点点头，没再追问。一周后，那个漏洞在公告里被列为“高危”，修复方案写的是“已通过安全加固解决”。我的名字还是没出现。

你说我图什么？可能就图那个瞬间——当我看到漏洞被确认、被修复，系统日志里那行“patch applied”的绿色小字。就像女娲把五色石填进裂缝，天不漏了，地上的人照常过日子，没人记得天上曾经破过。

但我知道它破过，而且我填过。这就够了。

昨天我又提交了一个新的——一个文件上传点没校验文件类型，能传个PHP上去直接拿shell。这次我没走普通流程，直接写了封邮件给安全组负责人，标题就俩字：紧急。他这次回得很快，说“收到，马上处理”。今早看他朋友圈发了张图，服务器上多了个WAF规则，配文是“堵了个洞”。我没点赞，但心里挺舒坦。

补天这事，干久了会上瘾。不是那种被表扬上瘾，是那种“我知道这个世界因为我而稍微结实了一点”的瘾。天那么大，裂缝那么多，你一个人补不完，但你总能补上你看见的那一道。

U盘还揣在兜里，下周五还有新的活儿。