漏洞盒子的漏洞漏洞提交入口藏得不算深，但第一次用的盒提人很容易在“提交漏洞”页面卡住——因为它要求你先把漏洞类型、危害等级、交漏修复建议全填清楚，洞教才让你上传证明截图。漏洞我见过有人直接把扫描器报告粘贴上去，盒提结果审核没过，交漏理由是洞教“缺乏可复现步骤”。

先注册账号，漏洞完成实名认证。盒提没实名只能看别人的交漏漏洞，不能提交。洞教认证一般半小时内通过，漏洞周末会慢一点。盒提登录后点顶部导航的交漏“提交漏洞”，会弹出一个表单。这里注意：不要选“其他”类型，除非你真的找不到对应分类。选错类型会被直接打回，浪费一次提交机会。

表单第一项是“漏洞标题”。别写“某网站存在SQL注入”这种废话。正确的写法是：【SQL注入】xxx.com/search.php 参数id未过滤导致数据库泄露。带上域名、文件、参数、漏洞类型。审核人员一天看几百个标题，你写得越具体，他点开越快。

接着选“漏洞等级”。低危、中危、高危、严重。别把反射型XSS报成高危，也别把命令执行报成中危。漏洞盒子有内部评分标准，乱报等级会被扣信用分。信用分低于60，提交的漏洞会进入人工慢审通道，等一周都正常。

“漏洞详情”是重头戏。很多人在这里写一大段废话，什么“经过测试发现存在漏洞”。审核员要的是三步：
1. 复现环境（比如：Chrome 120，未登录状态）
2. 复现步骤（用1. 2. 3. 列出来，每一步写清楚点击哪里、输入什么）
3. 实际结果与预期结果（比如：输入单引号后页面返回MySQL错误，预期应显示“参数错误”）
把Burp Suite的请求包和响应包粘贴进去，不要只截一张图。截图要带完整URL和时间戳，否则可能被判定为“无法确认漏洞存在”。

“修复建议”别写“请修复”三个字。写具体点：对id参数使用预编译语句，或对输入做intval强制转换。哪怕你只是猜的，也比空着强。审核员会看这条判断你是否真的理解漏洞原理。

上传附件时，视频比截图管用。录屏从打开浏览器到触发漏洞，全程不剪辑。我试过用GIF，结果超过10MB上传失败，后来改用MP4，控制在20MB以内，秒过。如果漏洞需要登录才能触发，在附件里附上一个测试账号，别让审核员自己注册。

提交后状态会变成“审核中”。一般24小时内出结果。如果被标记为“忽略”，点进去看理由。常见理由有：“无法复现”“危害过低”“厂商已忽略”。如果是“无法复现”，检查你的步骤是否漏了某个前置条件，比如需要特定Cookie或User-Agent。改完可以重新提交，但同一个漏洞重复提交超过三次，账号会被临时禁言。

最后说个细节：漏洞盒子的厂商响应时间差别很大。有的厂商两小时就确认，有的拖到第七天自动确认。别每天去催客服，催了也没用。你可以在漏洞详情里@厂商的安全应急响应中心账号，但别刷屏。我见过有人连发二十条“在吗”，结果被管理员封了提交权限。

提交完漏洞别急着关页面。等状态变成“已确认”后，去“我的漏洞”里下载电子证书。有些SRC（安全响应中心）会额外给积分或礼物，但需要你主动在漏洞评论里留联系方式。不留言，人家想发奖都找不到你。