电信src平台地址是

电信src平台地址是电信https://src.189.cn。这个域名直接指向中国电信的台地安全应急响应中心，没有跳转，电信没有中间页，台地浏览器敲进去就能打开。电信我第一次访问是台地在2021年，当时帮一个朋友提交漏洞报告，电信他挖到了某省电信营业厅系统的台地越权问题。那会儿平台界面还挺朴素，电信白底蓝字，台地登录框在右上角，电信跟现在不少企业SRC的台地炫酷风格完全两码事。

很多人会把“电信SRC”和“天翼SRC”搞混。电信天翼SRC是台地电信旗下天翼云的安全响应平台，域名不一样，电信收的漏洞范围也窄一些，主要针对云产品。电信SRC则覆盖集团层面，包括各省分公司、号百、翼支付、天翼阅读这些乱七八糟的业务线。你要是手里有个电信某地市公众号的SQL注入，提交到天翼SRC去，大概率会被打回来让你改投电信SRC。这个区别我吃过亏，2019年有个漏洞在两边来回折腾了三天才找对门。

平台注册流程不算复杂。手机号收验证码，填个昵称，选一下身份——白帽子还是内部员工。白帽子注册完就能直接提漏洞，不用等审核。但提之前得想清楚，电信SRC对漏洞分级卡得挺严。低危漏洞比如反射型XSS、无敏感信息的目录遍历，一般就给个积分意思一下，换不了钱。中高危才进现金奖励池，具体金额看业务重要性和数据敏感度。有个做渗透的朋友提过，他交过一个电信某内部管理系统的弱口令，直接进了后台能查用户话单，最后拿了八千块。另一个兄弟交了个官网的CSRF，只拿到两百积分，连杯奶茶都换不到。

提交漏洞的页面设计得挺直接。标题、类型、等级、复现步骤、修复建议，五个框填完就能交。附件支持图片和文本，但别传视频，超过20M会卡住。我试过传一个录屏，等了五分钟进度条不动，最后只能截图。复现步骤最好写详细点，别只丢一句“存在SQL注入”。审核人员也是人，你写得清楚他们复现快，给钱也爽快。有个小技巧：如果漏洞涉及多个省份，分开提交比打包成一个更划算。打包容易被当成一个漏洞给一份奖励，分开提就是多份。

审核周期官方说七个工作日，实际看运气。我遇到过当天就确认的，也遇到过拖了半个月的。催也没用，平台没有在线客服，只能发邮件到src@189.cn。邮件回复倒是挺快，一般隔天就能收到。2022年有一次我提了个电信某省积分商城的逻辑漏洞，可以一分钱换一百话费，提交后第三天就确认了，第五天奖金到账。那次体验很好，但同年另一个漏洞等了二十天才出结果，差点以为被忽略了。

奖金发放走银行转账，需要提供身份证和银行卡信息。到账时间不固定，有时候月底，有时候月初。金额超过一定数目要扣税，具体税率看当年政策。积分可以换东西，京东卡、话费、小家电都有，但库存经常是零。我攒了两年积分想换个蓝牙音箱，每次点进去都显示已兑完，最后换了三张十块钱话费卡了事。

平台有个漏洞排行榜，按积分排。前几名常年是那几个ID，看提交记录就知道是职业挖洞的。他们专挑电信的硬骨头啃，比如翼支付的风控绕过、天翼云的API越权。普通人想上榜很难，但也不用强求。挖洞这事，图钱就盯着高危业务，图乐子就随便看看。电信SRC的漏洞范围写得挺清楚，哪些收哪些不收，提交前花五分钟读一遍能省很多事。比如电信的物理安全、社会工程学、内部员工违规操作这些，平台一律不收。你就算拿到了某营业厅的监控密码，交上去也是白搭。

最后说个实在的。电信SRC的漏洞库更新不算快，有些老漏洞修了半年还在。你要是挖到重复的，平台会告诉你“已存在”，但不给奖励。所以提交前最好搜一下关键词，看看有没有人捷足先登。搜不到也别高兴太早，可能只是别人提了还没公开。这行就这样，手快有手慢无。