漏洞提交平台有哪些-力不从心网

漏洞提交平台有哪些

时间：2026-10-17 05:10:06 来源：力不从心网

漏洞提交平台，漏洞说白了就是提交给黑客和厂商之间递纸条的中间人。国内用得最多的平台，还是漏洞补天、漏洞盒子、提交CNVD和eduSRC这几个。平台补天和漏洞盒子属于商业SRC聚合平台，漏洞厂商把自家的提交系统挂上去悬赏，白帽子挖到洞提交，平台平台审核后给钱。漏洞CNVD是提交国家互联网应急中心运营的，更侧重收录国家级漏洞，平台不直接给钱，漏洞但给荣誉和积分，提交对想混圈子的平台新人来说，一份CNVD证书比几百块现金更有说服力。

补天的界面做得挺糙，但架不住厂商多。奇安信、深信服这些安全厂商，还有不少政务系统都在上面挂着。有一次我在补天提交了一个某省教育厅的SQL注入，平台审核花了三天，最后给了500块，厂商修复倒是挺快，隔天就发了致谢公告。漏洞盒子流程更规范些，但审核慢是出了名的，我有朋友提交一个中危漏洞，等了快俩月才确认，差点以为平台跑路了。

eduSRC比较特殊，只收高校和教育机构的漏洞。别小看学校系统，里面漏洞多得像筛子。某985高校的选课系统，随便测测就能找到越权，改个学号就能查别人成绩。教育网的漏洞单价低，但胜在量大，很多学生白帽子靠这个攒零花钱，一个月搞几千块不难。

国际上的HackerOne和Bugcrowd则是另一种玩法。HackerOne上全是跨国公司，苹果、谷歌、微软都在上面悬赏，单个高危漏洞能拿几万美金。但门槛也高，你得能读懂英文报告模板，还得适应他们那套严格的漏洞评级体系。我在HackerOne上提交过一个谷歌的XSS，结果被标记为“重复”，白忙活一场，那种挫败感比不通过还难受。

还有个容易被忽略的渠道是各厂商自己的SRC。阿里云、腾讯安全、字节跳动都有独立漏洞平台，奖励比聚合平台高一截。字节的SRC给钱特别痛快，高危漏洞直接五位数，而且审核流程简洁，不像某些平台来回打太极。不过自建SRC的厂商通常对漏洞质量要求更高，光会跑扫描器可不行，得真懂业务逻辑。

选平台这事，得看你手里有什么货。如果是刷CNVD编号，直接去CNVD官网提交，别走弯路。想赚快钱，优先选补天和厂商自建SRC。新手练手，eduSRC最友好——教育系统没人管，漏洞又多，练手还能赚点奶茶钱。但有一点得提醒你：别为了凑数提交低质量漏洞，平台后台都记着你的信誉分，提交垃圾多了，以后连审核排队都得靠后。

最后说个冷门的——GitHub Security Lab。微软收购GitHub后搞的漏洞赏金计划，专门针对开源项目。如果你对某个开源框架熟，去那挖洞性价比极高，因为竞争者少，而且漏洞确认后直接修进代码库，那种成就感是商业平台给不了的。我有个朋友在开源邮件系统里挖到个命令执行漏洞，微软奖励了8000美元，还把他的名字写进了致谢页。

平台归平台，真正决定你收获的还是技术底子。别指望靠撞大运，多读源码、多琢磨业务逻辑，比天天盯着平台公告有用得多。

上一篇：整改回执
下一篇：vmware虚拟机怎么使用