《原创漏洞证明证书含金量》

一个CVE编号值多少钱？原创有人在暗网上挂过价，从几百美元到几万美元不等。漏洞量但真正让安全圈老炮儿在意的证明证书，从来不是含金编号本身，而是原创那张原创漏洞证明证书背后站着谁、验过什么、漏洞量能不能扛住同行追问。证明证书

我见过一份证书，含金某厂商签发的原创，漏洞描述栏写着“存在安全风险，漏洞量可能导致信息泄露”。证明证书就这一句。含金没有版本号，原创没有触发路径，漏洞量没有PoC片段。证明证书拿这种东西去面试，面试官扫一眼就放下了——不是不尊重，是实在没什么可问的。反过来，另一份证书上附着完整的漏洞复现步骤、影响范围界定、甚至附了修复建议的diff。哪怕签发机构名气不大，懂行的人也会多看两眼。

含金量这事，第一层看的是漏洞本身的成色。远程代码执行和反射型XSS，放在同一张证书上，分量天差地别。一个逻辑越权漏洞，如果只影响某个边缘接口，和能直接打穿支付流程的，也不是一个量级。有人喜欢拿CNVD证书数量说事，攒了十几张，全是弱口令和敏感信息泄露。这种证书摞起来，不如一张实打实的RCE。

第二层看验证机制。有些平台发证跟发传单似的，提交就过。审核员可能连复现环境都没搭，看一眼截图就盖章。这种证书在圈内基本等于废纸。真正有口碑的机构，会要求提交完整利用链，甚至安排交叉复现。我认识一个独立漏洞研究者，他提交的某份证书被退回三次，理由分别是“影响版本未穷举”“利用条件描述模糊”“修复建议不可操作”。第四次才通过。那张证书后来成了他进大厂的敲门砖。

第三层，也是最容易被忽略的——证书和人的绑定关系。同一个人，拿同一张证书去不同场合，效果完全不同。简历上写“拥有原创漏洞证明证书”，HR可能没感觉。但如果你在技术社区有ID，证书编号可查，提交记录公开，那这张纸就有了信用背书。反过来，有人拿别人的证书截图改个名字，圈内一查提交时间线和ID对不上，直接社死。

我观察到一个现象：这两年企业SRC的证书开始被重视了。某电商平台的年度漏洞报告证书，上面有具体漏洞等级、修复状态、致谢名单。这种证书在求职时比某些“野鸡”机构的更有说服力，因为企业自己就是受害者，他们认账意味着漏洞真实存在且被修复。一个做渗透测试的朋友，简历里附了三张不同厂商的SRC证书，面试时技术负责人直接跳过笔试环节，让他现场复现其中一个。他花了二十分钟搭环境，讲清楚了漏洞成因和利用手法。当场发offer。

证书本身不产生含金量，含金量是漏洞质量、验证严格度、社区认可度三者叠加出来的。有人花三个月挖一个硬核漏洞，拿一张证书，抵过别人刷一年的低危。也有人把一张证书拆成十份材料反复用，用到最后自己都不好意思提。

说到底，这行当里，证书是敲门砖，但门开了之后，人家看的是你手里有没有真东西。那张纸最大的价值，是让不认识你的人愿意花十分钟听你讲。十分钟之后，证书就退场了，剩下的全凭本事。

(责任编辑：综合)