提交漏洞

提交漏洞这事儿，提交漏洞我干过三次。提交漏洞第一次是提交漏洞给某开源项目提了个SQL注入，第二次是提交漏洞给一家电商平台报了个越权，第三次是提交漏洞给一个政府网站报了个信息泄露。三次的提交漏洞结果完全不一样，但让我印象最深的提交漏洞，不是提交漏洞漏洞本身，而是提交漏洞提交之后那一连串破事儿。

先说第一次。提交漏洞那是提交漏洞个挺火的论坛软件，我半夜翻代码，提交漏洞翻到一个搜索框，提交漏洞参数没过滤直接拼进SQL。提交漏洞我试了试，提交漏洞果然能拖库。当时挺兴奋，按着官方指引去GitHub提了个issue，还附了复现步骤和截图。结果第二天，维护者回复了——不是感谢，是质疑。"你确认这不是你本地环境的问题？"我一脸懵，又跑了一遍，把抓包记录和数据库报错截图全贴上。对方这才松口，说"我们会看"。一个月后，补丁出来了，release notes里只写了"修复若干安全问题"，连个credit都没给。我当时有点不爽，但想想也就算了，毕竟人家没义务谢我。

第二次就离谱了。那家电商平台有漏洞赏金计划，我测出来一个越权——普通用户能改别人的收货地址。这玩意儿危害不小吧？我按流程提交，填了详细报告，还录了段视频。等了两周，回复来了："经确认，该问题不影响核心业务，判定为低危，不予以奖励。"我当场就想骂人。改收货地址不算核心业务？那什么算？后来我去查了查他们的SRC规则，发现"低危"判定标准里写着"需结合具体业务场景评估"。行吧，人家说了算。最气的是，三个月后我偶然发现，这漏洞被他们自己人修了，但漏洞编号和我的提交记录对不上。合着白嫖了我的报告。

第三次是给政府网站报的。那个网站有个查询接口，返回数据里带着身份证号和手机号，还是明文。我纠结了半天要不要报——怕惹麻烦。最后匿名提交了，走的那个"网络安全漏洞信息报送平台"。流程倒是正规，有编号有回执，还提示我"请勿公开传播漏洞细节"。过了大概一个月，我再去查，接口关了。但没收到任何反馈，连个"已修复"的通知都没有。我也不指望啥了，就希望别哪天查到我头上。

说真的，提交漏洞这事，技术难度往往不是最大的。难的是你要面对各种不可预测的反应——有的维护者把你当免费劳动力，有的平台用规则漏洞压你等级，有的机构干脆装死。但反过来想，如果没人报，那些漏洞可能永远躺在那里，等哪天被黑产挖出来。所以我现在还是会报，但策略变了：先看平台规则，再决定要不要匿名，最后留好所有证据。毕竟，你永远不知道对面坐着的是个讲理的程序员，还是个只想KPI的运营。

本文地址：http://www.79wt.cn/news/916c1999064.html