内容摘要：凌晨两点十七分，我盯着屏幕上的CVE编号，手指在机械键盘上敲下最后一个回车。这是本周第三个被确认的漏洞，来自某国产路由器固件——一个堆溢出，利用链干净得像手术刀。提交完报告，我关掉终端，脑子里还在转：

凌晨两点十七分，漏洞收录我盯着屏幕上的漏洞收录CVE编号，手指在机械键盘上敲下最后一个回车。漏洞收录这是漏洞收录本周第三个被确认的漏洞，来自某国产路由器固件——一个堆溢出，漏洞收录利用链干净得像手术刀。漏洞收录提交完报告，漏洞收录我关掉终端，漏洞收录脑子里还在转：这个漏洞如果落到不该落的漏洞收录人手里，能干什么？漏洞收录

漏洞收录这件事，外行看是漏洞收录“找bug”，内行知道它是漏洞收录场信息战的前哨。每个被收录的漏洞收录漏洞背后，都有一串数字在暗处流动：CVSS评分、漏洞收录影响版本范围、漏洞收录PoC可用性、修复窗口期。这些数字决定了它会被谁盯上、以多快的速度武器化。

我入行时跟的第一个项目是某开源CMS的审计。那会儿还迷信自动化扫描器，跑了一周，报告里全是误报。后来带我的老周扔给我一份三年前的补丁diff，说：“别追新洞，看他们怎么修旧洞。”果然，补丁里藏着一个过滤函数的逻辑缺陷，绕过方式简单到可笑——用数组传参。这个洞最终被收录时，距最初提交已过去四个月。四个月里，它一直躺在某个私密仓库里，只有不到十个人知道。

收录平台的选择本身就是门学问。CNVD、CNNVD、CVE、厂商自建SRC，每个池子的规则都不一样。有些要求提供完整利用链，有些只认崩溃现场。我见过有人为了赶CVE的截止日期，把一个需要特定硬件条件的漏洞硬写成“远程可利用”，结果被评审打回来三次。也见过厂商安全响应中心用“不在支持范围”当挡箭牌，把明明存在的漏洞拒之门外——那款产品还在官网挂着“企业级安全”的标语。

真正让我对收录机制产生怀疑的，是去年那个中间件漏洞。我提交时附了完整的PoC视频，三天后收到回复：“经评估，该问题属于已知设计限制。”我翻遍他们的更新日志，发现两年前就有类似报告被同样话术驳回。直到某安全公司发布预警，他们才在48小时内推了补丁。收录状态从“拒绝”变成“已确认”，中间隔着一场舆论危机。

这事让我开始留意收录背后的时间差。一个漏洞从被发现到被公开收录，平均要经过21天——这是某研究机构去年的统计。21天里，攻击者可能已经在扫描全网。更讽刺的是，有些收录平台会要求提交者“暂缓公开”，理由是“给厂商留出修复时间”。但厂商真的在修吗？我见过某IoT厂商的修复方案是“在下一个大版本中重构”，而那个大版本要等八个月。

写漏洞报告的人都知道，最难的从来不是技术描述，是让评审相信这个洞值得被收录。CVSS评分可以争论，影响范围可以扯皮，但一个能稳定复现的PoC摆在那里，谁也没法装看不见。所以我现在的习惯是：先写利用代码，再写报告。代码跑通了，报告才有骨头。

凌晨的提交记录里，那个路由器漏洞的状态变成了“已分配CVE”。我关掉页面，想起老周退休前说的话：“漏洞收录不是终点，是起点。你交出去的那一刻，它就不属于你了。”屏幕右下角弹出新邮件提醒——又一个厂商拒绝了修复请求，理由是“该功能已停止维护”。我点开附件，把PoC又跑了一遍。这次，我打算直接发给媒体。