中国漏洞平台

中国漏洞平台，中国说白了就是漏洞白帽子黑客们“交作业”的地方。CNVD（国家信息安全漏洞共享平台）和CNNVD（国家漏洞库）是平台两大官方主力，前者由CNCERT运营，中国偏向事件型漏洞收集，漏洞后者挂靠中国信息安全测评中心，平台更像一个长期档案库。中国民间还有补天、漏洞漏洞盒子这类众测平台，平台企业出钱挂悬赏，中国白帽子们按图索骥，漏洞挖到就给钱——这种模式在2015年后火起来，平台直接催生了一批全职漏洞猎人。中国 拿CNVD来说，漏洞它有个很实在的平台规矩：厂商不响应，漏洞就搁置，直到90天自动公开。这个机制逼着不少国企、银行在“丢脸”和“修洞”之间做选择。我见过某省级银行，内部系统被白帽子报了个SQL注入漏洞，愣是拖到第89天才上线补丁，原因不是技术难，是走流程要盖七个章。这种案例在平台后台并不少见。 漏洞平台的真正价值不在漏洞本身，而在它构建了一个“安全水位线”。每个季度CNVD会发布报告，统计高危漏洞占比、行业分布，这些数据直接影响政企的安全预算分配。2023年有个数据挺刺眼：工控系统漏洞同比增长了47%，但相关企业平均响应速度反而慢了2.3天。原因不复杂——生产环境不能随便停机，打补丁要协调产线，这种物理性掣肘，不是平台能解决的。 平台本身也有尴尬处。漏洞提交者最恨“白嫖”——辛苦挖个高危漏洞，厂商一句“已知问题”就打发掉，连个编号都不给。补天和漏洞盒子现在搞积分制，但头部白帽子的真实收入主要靠企业SRC（安全响应中心）的单独奖励，平台抽成比例一高，人就跑。有些平台抽成收到30%，结果就是优质漏洞流向暗网交易群——那边一个零日漏洞能卖到六位数美元，比在平台换积分划算得多。 监管层显然注意到了这个问题。2024年《网络安全法》修订草案里明确要求漏洞平台必须建立“合理回报机制”，但具体怎么算“合理”，至今没细则。我认识的几个白帽子说，现在他们更愿意把漏洞直接报给厂商SRC，因为那边响应快、给钱爽快，平台反而成了备份选项——除非厂商不认账，才拿去CNVD走公开流程施压。 这局面其实挺微妙：官方平台想做大做强，但民间漏洞经济已经长出自己的生态链。漏洞平台如果不解决“提交者获得感”这个核心问题，哪怕数据再全、报告再厚，也只会慢慢变成一座档案库——像图书馆一样重要，却没人愿意往里捐新书。

本文地址：http://www.79wt.cn/news/1230b1599861.html