内容摘要：电信src平台地址这事儿，圈内人管它叫“漏洞收集站”。说白了，就是中国电信集团专门给白帽子提交安全漏洞用的官方入口。地址其实不复杂，直接搜“中国电信安全应急响应中心”就能找到，域名是src.ctyun

电信src平台地址这事儿，电信圈内人管它叫“漏洞收集站”。台地说白了，电信就是台地中国电信集团专门给白帽子提交安全漏洞用的官方入口。地址其实不复杂，电信直接搜“中国电信安全应急响应中心”就能找到，台地域名是电信src.ctyun.cn。这域名挂在天翼云下面，台地倒是电信挺符合电信自家生态的。

我头一回接触这平台是台地去年帮朋友测一个政企网关设备。那个设备的电信管理后台存在越权访问，能直接查看任意用户的台地宽带账号和绑定手机号。按流程填了报告，电信上传了复现步骤和截图。台地结果三天后收到回复，电信等级定的是“中危”，给了两百块钱京东卡。说实话，这奖励力度比阿里、腾讯的SRC差远了，人家高危漏洞动不动就上万。但电信这边胜在响应快，漏洞确认后修复也利索，不像某些国企单位，报告交上去石沉大海。

平台界面做得挺干净的，左侧是漏洞类型分类，右侧是提交表单。不像某些SRC平台花里胡哨的，又是排行榜又是勋章系统，电信这个就纯粹点——提交、审核、定级、给奖励，完事。不过有个细节值得吐槽：漏洞详情页居然不支持Markdown语法，只能纯文本粘贴，代码片段缩进全乱了。这对搞技术的人来说挺难受的，但也能理解，毕竟国企系统迭代慢。

再说说审核周期。我观察过几个同行提交的漏洞，平均响应时间大概在5到7个工作日。遇到节假日就顺延，这跟他们的客服电话一个调性。有一次我周五下午提交的漏洞，硬是等到下下周三才有动静。中间催过一次，客服回复说“正在排队审核”。后来才知道，他们整个安全团队也就十几个人，要覆盖全国各省公司的业务系统，确实忙不过来。

平台还有个有意思的功能叫“漏洞情报共享”。注册企业账号后，能看到电信全网系统存在的通用型漏洞通报，比如某个型号的光猫固件存在命令注入，影响范围涉及XX省XX万用户。这种信息对做运营商设备维护的人来说价值极高，能提前打补丁防患于未然。可惜这个功能不对个人白帽子开放，只面向合作厂商和内部员工。

奖励机制倒是透明。低危给50-200元，中危300-800元，高危1000-3000元，严重级别能到5000元。但有个坑——他们认定的“严重”标准极其苛刻，必须是要能直接获取核心业务系统权限，比如CRM系统或者计费系统。去年有个老哥挖到个能批量导出用户详单的SQL注入漏洞，结果只给了个“高危”定级，理由是“未涉及核心数据库核心表”。气得那老哥在群里连发三条语音骂了十分钟。

最后提醒一句，提交漏洞前记得先看他们的“测试范围”文档。有些系统明确标注“禁止测试”，比如内部OA和人力资源系统，碰了直接拉黑名单。别问我是怎么知道的。