快手漏洞提交
快手安全应急响应中心（Kuaishou Security Response Center，快手简称KSRC）的漏洞漏洞提交通道，是提交我过去半年打得最多的一个平台。不是快手因为快手的漏洞多，而是漏洞它的审核反馈速度在同类厂商里算快的——普通漏洞通常48小时内给出定级，高危漏洞有时当天就能收到确认邮件。提交这一点对白帽子来说很关键，快手你熬到凌晨三点挖出来的漏洞东西，没人愿意等一周才看到回音。提交
先说提交入口。快手KSRC的漏洞官网是 security.kuaishou.com，注册需要实名认证，提交绑定手机号和邮箱。快手注册完之后在“漏洞提交”页面填写表单，漏洞字段包括：漏洞标题、提交漏洞类型、所属业务、危害等级（自评）、漏洞详情、复现步骤、修复建议，以及最重要的——证明你确实利用了该漏洞的截图或视频。没有PoC的提交基本会被直接忽略，这一点和大部分SRC一致。
我提交的第一个漏洞是快手主站某个API接口的越权读取问题。具体来说，某个用户信息查询接口没有做充分的权限校验，通过替换请求中的 userId 参数，可以读取到其他用户的手机号前三位和后四位。这个漏洞的发现过程没什么技术含量，就是抓包之后顺手改了个参数。但提交的时候我犯了个错误：只贴了Burp的请求响应截图，没有写清楚具体的复现路径。结果审核人员回复“请补充完整的操作步骤”，来回折腾了两轮才通过。所以，复现步骤一定要写得像给完全不懂技术的人看的说明书——从登录开始，每一步点哪里、输入什么、看到什么，全部写清楚。
另一个值得说的案例是快手极速版的某个逻辑漏洞。那是在一个签到领金币的活动里，通过并发请求可以重复领取当日奖励。我用Python写了个简单的多线程脚本，同时发送20个签到请求，结果金币到账了17次。这个漏洞定级是中危，奖金不多，但审核员在回复里专门问了并发数和具体的时间窗口，说明他们确实在认真看。
关于漏洞定级和奖金，KSRC目前的标准大致是：低危漏洞以积分和荣誉为主，中危通常在500-2000元，高危5000元起步，严重漏洞可以到数万元。不过快手的奖金在行业内不算最慷慨的那一档，和字节、腾讯比有差距。但它的优势在于流程透明，每个环节都有邮件通知，不会出现“提交了三个月杳无音信”的情况。
有几个坑需要提前避开。第一，不要碰用户隐私数据。我在测试越权漏洞时，只读取了自己的两个测试账号之间的数据，绝对不去碰真实用户的敏感信息。一旦涉及大量用户数据，性质就变了。第二，不要用扫描器直接扫快手的主站域名。KSRC明确禁止大规模自动化扫描，被流量防护系统标记之后，你的IP会被封，账号也可能被冻结。第三，提交之前先搜一下漏洞是否已经被公开过。重复提交不仅没有奖励，还可能影响你在平台上的信誉分。
还有一点，快手的业务线很长，主站、极速版、电商、本地生活、海外版Kwai，每个业务的安全水位不一样。通常新业务或者边缘业务的漏洞更容易挖，因为安全投入相对少。我认识的一个白帽子专门盯着快手的各种小程序和H5活动页，一个月能交七八个中低危漏洞，积少成多，收入也还可以。
最后说下心态。挖漏洞这事，运气占很大成分。有时候你花一整天翻JS文件、测接口，什么也没找到；有时候随手试一个参数就中了。KSRC的审核人员也是人，遇到描述清晰、PoC完整的提交，处理速度会快很多。把该做的功课做足，剩下的就是耐心等回复。