圈里人聊起漏洞平台，漏洞第一反应往往是平台那几个名字：CVE、NVD、漏洞CNVD、平台CNNVD。漏洞但真要掰扯清楚，平台得先明白一个事——漏洞平台不是漏洞一类东西。有的平台负责给漏洞发身份证，有的漏洞负责收漏洞再通知厂商修，还有的平台纯粹是黑客挂战绩用的。混着看容易晕。漏洞

CVE（Common Vulnerabilities and 平台Exposures）算是这个圈子的老大哥。它不收录漏洞细节，漏洞只给每个漏洞分配一个编号，平台比如CVE-2024-1234。漏洞你可以把它理解成一个字典，专门统一漏洞的名字。没有CVE编号，厂商发公告、安全工具写规则、研究论文引用，全得乱套。但CVE本身不负责验证漏洞真假，也不提供修复方案。它就是个命名系统，由MITRE公司维护，背后是美国国土安全部资助。所以有时候你会看到一些编号分配了，但细节迟迟不公开，甚至后来被撤销——这很正常，CVE只保证名字唯一，不保证内容靠谱。

NVD（National Vulnerability Database）是CVE的增强版。它把CVE编号拿过来，补上CVSS评分、受影响产品列表、参考链接。美国国家标准与技术研究院（NIST）在管。安全工程师查漏洞严重程度，基本都去NVD。不过这几年NVD积压严重，2024年一度停止给新CVE做富化分析，很多条目只有编号没有评分。原因说是人力不够，漏洞增长太快。这事挺能说明问题：漏洞披露的速度已经超过了人工分析的能力。

国内的话，CNVD（国家信息安全漏洞共享平台）和CNNVD（国家信息安全漏洞库）是两个主要玩家。CNVD偏重收集和协调，厂商、白帽子、安全公司都可以提交。它有个特点：会直接联系厂商，推动修复。我见过一个案例，某国产OA系统被白帽子挖出SQL注入，提交CNVD后，平台两周内就协调厂商出了补丁。CNNVD则更偏重漏洞库建设和等级评定，跟CVE有合作，能分配CVE编号。两个平台数据有重叠，但侧重点不同。CNVD的公告更接地气，CNNVD的文档更规范。

再说说商业漏洞平台。HackerOne、Bugcrowd、补天、漏洞盒子，这些是众测平台。企业出钱，白帽子来找漏洞，找到给奖金。HackerOne上，一个高危漏洞拿几千到几万美元都正常。2023年有个白帽子在某大厂项目里连挖三个严重漏洞，拿了十几万美元。这种平台的特点是：漏洞不公开，只有厂商和提交者知道。除非厂商同意，否则细节永远锁在平台里。好处是白帽子能赚钱，厂商能提前修；坏处是有些厂商把平台当免费安全团队，拖修复、压奖金，白帽子慢慢就不爱去了。

还有一类是偏研究型的，比如Exploit-DB、Packet Storm。它们不负责协调，只归档公开的漏洞利用代码。Exploit-DB上你搜一个CVE编号，经常能找到现成的PoC。这东西对渗透测试有用，但也危险——脚本小子拿过去就能打。所以有些漏洞作者会故意不公开完整利用，只放个截图或者视频。

个人观察：漏洞平台的核心矛盾一直是“披露速度”和“修复时间”的拉锯。厂商想多要时间，白帽子想早点公开，平台夹在中间。CVE和NVD解决的是命名和评分，CNVD和CNNVD解决的是国内协调，HackerOne这类解决的是利益分配。没有哪个平台能包打天下。你挖到一个漏洞，先想清楚目的是什么——要编号、要奖金、要厂商修、还是纯炫技。目的不同，选的平台完全不一样。别一上来就发GitHub，那基本等于跟厂商撕破脸。