漏洞申报

凌晨两点十七分，漏洞申报我盯着HackerOne后台那个“已确认”的漏洞申报绿色标签，奖金栏写着$1500。漏洞申报这钱来得比想象中容易——一个存储型XSS，漏洞申报藏在某电商平台退货备注的漏洞申报富文本编辑器里。我填了段，漏洞申报提交后刷新页面，漏洞申报弹窗就跳出来了。漏洞申报整个过程不到四十分钟，漏洞申报从注册账号到拿到赏金。漏洞申报

但漏洞申报这事儿，漏洞申报真没表面看着那么光鲜。漏洞申报

去年冬天我报过一个逻辑漏洞，漏洞申报某在线教育平台可以无限次领取新人优惠券。漏洞申报抓包改个参数，漏洞申报把user_id换成任意数字，系统就傻乎乎地发券。我写了份详细的报告，附上Burp Suite的请求截图、复现步骤、甚至贴了段Python脚本证明能批量刷。提交后等了六天，厂商回复：“经评估，该问题不属于安全漏洞，属于业务逻辑设计。”我盯着那行字看了半天，把键盘上F5键按得咔咔响。后来那个洞在黑市上被人卖了三千块，我是在一个Telegram群里看到的截图。

申报平台的选择本身就是场赌博。HackerOne响应快，但抽成狠，20%起步。补天和漏洞盒子对国内厂商友好，审核周期却像开盲盒——运气好两天，运气差两周，期间你连催都不敢催，怕被标成“低质量提交者”。有个朋友在某个众测平台报了个SQL注入，厂商修了，平台却以“与已知漏洞重复”为由拒发奖金。他气得把报告全文贴到GitHub上，三天后收到律师函。

写报告是门手艺活。标题不能太夸张，“某站点存在SQL注入”比“紧急！数据库可被拖库”通过率高得多。危害描述要具体，别说“可能导致数据泄露”，要写“通过union select可获取users表的password字段，已脱敏验证前三位为e10”。复现步骤得细到每一步点哪个按钮，因为审核员可能连Chrome开发者工具都不会开。我见过最离谱的驳回理由：“请提供可直接利用的PoC视频。”——合着我得先当回黑客把数据偷出来给你看？

厂商的态度千奇百怪。大厂有SRC的，流程规范但傲慢，回复模板化得像自动回复。初创公司最分裂：有的CEO亲自加你微信发红包，有的直接威胁“再提交就封号”。有次我报了个越权访问，厂商修完后在致谢页把我ID拼错了，我发邮件提醒，对方回了句“已记录，下个版本更新”。那个版本至今没发布。

法律红线得时刻绷着。测试时不能碰真实用户数据，不能影响业务运行，不能下载超过必要量的信息。我习惯在报告里加一句“所有测试均在授权范围内进行，未留存任何敏感数据”，虽然真出了事这句话屁用没有。有个哥们儿测试某政务系统时多点了两下，被请去喝茶，最后写了保证书才出来。他后来只挖国外厂商的洞，说时差正好，半夜干活没人管。

奖金到账那一刻确实爽。但更多时候，你面对的是“已读不回”、是“无法复现”、是“感谢提交，但无奖金”。我电脑里有个文件夹叫“漏洞坟场”，存着十七份被拒的报告，最老那份日期是2021年3月。偶尔翻出来看看，有些确实是我判断失误，有些到现在我依然觉得该给钱。

这行当没有标准答案。同一个漏洞，A厂商给五千，B厂商说“设计如此”，C厂商反手把你号封了。唯一能做的就是多挖、多写、多留证据。至于那些被埋没的报告——就当给互联网安全事业做慈善了。虽然这慈善，做得人心里堵得慌。