cnvd 原创漏洞证明

去年秋天，原创我在一个甲方内网里翻出一台老旧的漏洞OA系统。登录页面下方印着“XX科技 2008-2012”，证明版本号停在了v3.6。原创随手试了个SQL注入，漏洞数据库直接弹错，证明表名都给我回显出来了。原创那一刻我就知道，漏洞这漏洞跑不掉。证明

挖CNVD原创漏洞这事，原创说穿了就是漏洞跟时间赛跑。厂商不修，证明你急也没用。原创我见过太多人拿着漏洞报告到处发，漏洞最后连个CNVD编号都拿不到。证明问题出在哪？材料没写对。

CNVD收漏洞，看三样东西：能复现、有影响、归属清晰。缺一个，审核就卡你。我那台OA的注入，从发现到拿号花了十七天。前十天全耗在写证明材料上。截图要带时间戳，请求包和响应包得完整，还得附上修复建议。别嫌烦，审核员一天看几百份，你材料乱，他直接跳过。

有个细节很多人忽略：漏洞证明里必须写清楚“原创性”。什么意思？就是你得证明这漏洞是你独立发现的，不是从别人报告里抄的。我一般会在证明里加一段分析思路，比如“通过观察登录接口的报错信息，判断后端使用拼接SQL，进一步构造payload获取数据库版本”。这段话看着简单，但它把发现过程串起来了，审核员一看就知道你是真挖过。

再说个坑。有些人喜欢把漏洞危害吹上天，什么“可导致服务器完全沦陷”“影响百万用户数据”。CNVD审核员不傻，你写得太夸张，反而显得不专业。我写危害就一句话：“攻击者可利用该漏洞读取数据库中的用户表，包含账号和密码哈希。”具体、可验证、不废话。

还有厂商确认环节。有些厂商会拖，甚至不回复。这时候你得在CNVD系统里催，但催也有技巧。别写“请尽快处理”，要写“该漏洞已公开在XX论坛出现类似讨论，建议优先修复”。给个理由，审核员才会帮你推动。

拿号之后别急着炫耀。CNVD原创漏洞证明只是一张纸，真正有价值的是你挖漏洞的过程。我认识一个哥们，三年拿了四十多个CNVD编号，但他从来不发朋友圈。问他为什么，他说：“发出来干嘛？让厂商拉黑我吗？”

最后说句实在的。现在挖CNVD原创漏洞的人越来越多，但大部分都卡在证明材料上。你技术再牛，材料写不清楚，照样拿不到号。反过来，技术一般但材料扎实，反而能过。这行就这么现实。

我那台OA的漏洞，最后厂商给了个“已确认，计划修复”的回复。CNVD编号下来那天，我截了个图存硬盘里，没发任何地方。不是不想炫耀，是知道下一个漏洞还在等着。