很多人第一次接触漏洞提交平台，提交台是漏洞因为手里攥着一个自己挖出来的漏洞，却不知道该发给谁。提交台发到厂商客服邮箱？漏洞大概率石沉大海。发到公开论坛？提交台可能被骂“你这是在害人”。于是漏洞他们开始找平台——一个能把漏洞变成积分、声望甚至现金的提交台地方。

我最早用的漏洞是乌云。那会儿乌云还是提交台国内漏洞披露的核心阵地，注册要邀请码，漏洞提交漏洞要写详细的提交台复现步骤，连截图都得打码。漏洞印象很深的提交台一次，我提交了一个某电商平台的漏洞越权漏洞，半小时后审核通过，提交台Rank值涨了5点。那种被认可的感觉，比后来拿到现金奖励还强烈。乌云关停之后，很多人转到了补天、漏洞盒子、CNVD。补天的流程更商业化，厂商入驻多，审核速度也快。漏洞盒子则偏向众测，有时候一个项目几十个人同时挖，拼的是手速和思路。

国外平台里，HackerOne和Bugcrowd是绕不开的。HackerOne的界面干净，漏洞报告模板化程度高，但审核周期有时拖到两周。Bugcrowd的赏金范围更宽，从50美元到上万美元都有。我认识一个做安全研究的朋友，他在HackerOne上给某家区块链公司报了一个智能合约漏洞，拿了8000美元。他说那笔钱到账的时候，他盯着屏幕看了五分钟，不是激动，是觉得“原来这玩意儿真能换钱”。

平台之间的差异挺大。CNVD更偏官方，提交的漏洞会同步给厂商，但反馈周期长，有时候三个月才更新状态。补天和漏洞盒子的审核员相对活跃，会在评论区跟你讨论细节。HackerOne的Triager（分类员）专业度参差不齐，有的能一眼看出漏洞等级，有的会把高危降成中危，你得写申诉信去争。我遇到过最离谱的一次，一个SSRF漏洞被标成“信息泄露”，理由是“没有直接拿到shell”。我在报告里补了一段内网探测的证明，才把等级改回来。

选平台不能只看赏金。有些平台对漏洞披露有严格限制，比如禁止公开细节，直到厂商修复。有些平台允许你在修复后写博客分析，这对安全研究者来说是积累声望的重要途径。还有的平台会抽成，HackerOne默认抽20%，Bugcrowd抽15%到20%不等。国内平台抽成比例低一些，但赏金本身也低。一个中危漏洞在补天可能给200块，在HackerOne能到500美元。差距就在厂商的预算和平台的议价能力上。

提交漏洞时，最忌讳的是“一稿多投”。同一个漏洞同时发给三个平台，被发现后账号可能被封。平台之间会共享黑名单，尤其是那些提交虚假漏洞或重复提交的人。我见过一个哥们儿，把同一个XSS漏洞改了改参数，连报五次，结果被补天永久封号。他后来在群里抱怨，没人同情他。

漏洞提交平台本质上是一个中介。它连接了发现漏洞的人和需要修漏洞的人，但两边都不好伺候。研究者嫌审核慢、赏金低，厂商嫌漏洞质量差、报告看不懂。平台夹在中间，只能靠规则和信誉维持。对新手来说，先在一个平台把流程跑通，比同时注册五个平台更有用。我建议从补天或漏洞盒子开始，因为中文界面友好，审核反馈也快。等你手里攒了十几个有效漏洞，再去HackerOne上试试水。

最后说一个细节。很多平台都有“漏洞等级争议”的申诉通道，但大部分人不知道怎么用。申诉不是吵架，是摆证据。你需要在报告里附上完整的请求响应、影响范围证明、以及为什么这个漏洞应该被定级为高危。我写过最长的一次申诉，足足三页，最后审核员回了句“已调整，感谢补充”。那一刻我觉得，比拿赏金还爽。