腾讯漏洞提交

腾讯安全应急响应中心（TSRC）的腾讯提交漏洞提交页面，我熟得能背出URL。漏洞去年夏天某个凌晨三点，腾讯提交我盯着屏幕上的漏洞PHP代码，手指悬在键盘上方，腾讯提交犹豫着要不要把那个SQL注入漏洞交上去。漏洞

那个漏洞藏在一个老旧的腾讯提交接口里。参数过滤不严，漏洞拼接进查询语句时连个转义都没有。腾讯提交我花了三个小时复现，漏洞确认能拖出整个用户表。腾讯提交提交还是漏洞不提交？奖励不过几百块，但万一被判定为恶意测试，腾讯提交账号可能被封。漏洞更现实的腾讯提交问题是，TSRC的审核周期动辄半个月，而漏洞可能早就被其他人报过了。

提交页面设计得比想象中简单。标题、漏洞类型、危害等级、复现步骤，四个字段。没有花哨的交互，连个上传附件的按钮都藏在二级菜单里。我填完描述，贴上POC代码，点了提交。系统自动生成编号，然后就是漫长的等待。

审核效率比传闻中好。第三天下午，漏洞状态从“待审核”变成“已确认”。第七天，积分到账。整个过程没有一封邮件通知，全靠自己刷新页面。这种沉默感反而让人安心——至少说明没有机器人在自动回复。

后来我又提交过几个低危漏洞，都是些反射型XSS或者信息泄露的小问题。TSRC的处理风格很统一：确认、定级、给分。偶尔审核人员会在备注里写两句技术评价，比如“利用条件较苛刻”或者“修复方案建议参考XX”。这些只言片语比积分更有价值，能看出对方真的读了你的报告。

但TSRC也有让人挠头的地方。漏洞等级评定标准不透明，同一个类型的漏洞，有时定中危，有时定低危。积分兑换的礼品常年缺货，商城里最值钱的几款电子产品永远显示“已兑完”。有个朋友攒了两万分想换个机械键盘，等了半年都没抢到。

还有个细节让我在意。提交页面底部有一行小字：“如发现安全漏洞，请勿公开披露”。这行字在法律上能堵住很多漏洞，但在技术圈，更多人选择直接提交给乌云或者先知平台——那里的反馈更快，奖励更实在。TSRC的吸引力，更多在于腾讯产品的覆盖面广，测出一个漏洞能影响到大量用户，那种成就感比奖励本身更诱人。

说到底，漏洞提交是个信任游戏。你信任对方会认真看你的报告，对方信任你不会恶意利用漏洞。TSRC把这种信任压缩成一套标准流程，虽然偶尔卡顿，但整体运转得还算顺畅。至少对我这种业余爱好者来说，能有个地方把发现的问题交出去，然后收到一个“已确认”的状态，就已经足够了。