1. 项目概述从“挖洞”到“报备”的合规之路最近和几个刚入行的朋友聊天发现他们对“SRC漏洞挖掘”的理解还停留在“找个网站用工具扫一扫找到漏洞就提交”的初级阶段。尤其是当提到“CNVD国家信息安全漏洞共享平台”时很多人会把它和普通的厂商SRC安全应急响应中心混为一谈甚至觉得这是“官方认证”的漏洞提交渠道挖到了就能“名利双收”。这种认知偏差在实际操作中很容易踩坑轻则漏洞报告石沉大海重则可能触及合规红线。今天我就结合自己这些年摸爬滚打的经验把“SRC漏洞挖掘”与“CNVD平台”之间的关系、区别以及正确的操作路径掰开揉碎了讲清楚。这不仅仅是技术活更是一门需要理解规则、流程和责任的“手艺”。简单来说我们常说的“SRC漏洞挖掘”其核心目标是向具体的软件厂商、互联网公司或机构所属的安全应急响应中心提交漏洞并获取相应的奖金、积分或荣誉。而CNVD国家信息安全漏洞共享平台是一个由国家计算机网络应急技术处理协调中心CNCERT联合国内重要信息系统单位、安全厂商等共同建立的非营利性合作平台它的主要职能是收集、核实、收录和发布国内通用的软硬件漏洞信息并协调相关厂商进行修复其核心是漏洞信息的共享与协同处置而非面向个人的漏洞奖励。你可以把它理解为一个国家级的“漏洞信息备案与协调中心”。对于挖掘者而言CNVD更多时候是漏洞流程中的一个“下游”或“平行”节点而不是直接的“投递信箱”。理解这一点是避免你白费功夫甚至惹上麻烦的第一步。2. 核心概念辨析SRC、CNVD与漏洞生态在深入实操之前我们必须把几个关键概念和它们之间的关系理清。这就像打游戏前先看懂地图和规则否则只会原地打转。2.1 什么是SRC安全应急响应中心SRC全称Security Response Center是由企业或组织自行建立的用于接收外部安全研究人员报告其产品、服务、网站或系统安全漏洞的官方平台。它的运作模式通常是“众测”“奖励”。目标明确每个SRC都有明确的资产范围比如腾讯安全应急响应中心TSRC只接收腾讯旗下业务和产品的漏洞阿里安全响应中心ASRC对应阿里系资产。流程标准化通常包括漏洞提交、审核、评级、修复、复测、发放奖励奖金、礼品、积分、证书等等一系列环节。利益驱动对于白帽子 ethical hacker 而言向SRC提交漏洞是获取经济收益、提升个人声誉、积累实战经验的重要途径。各大互联网公司的SRC奖金池相当可观是很多安全从业者重要的收入补充。我的一个实操心得是不要只盯着头部大厂的SRC。很多中型企业、新兴领域如智能汽车、物联网、区块链的SRC由于竞争相对较小漏洞更容易被发现奖金性价比可能更高。同时仔细阅读每个SRC的“漏洞评级标准”和“行为规范”里面会详细说明哪些测试手法是被禁止的比如禁止对业务造成影响的测试、禁止拖库、禁止社工等这是你的安全边界。2.2 CNVD平台的角色与定位CNVDChina National Vulnerability Database国家信息安全漏洞共享平台其性质和目标与商业SRC有本质不同。公益性CNVD是一个非营利的、服务于国家网络安全整体工作的平台。它旨在建立国家层面的漏洞信息收集、共享和应急处置机制。收录范围主要收录的是在我国境内广泛使用的通用型软硬件产品的漏洞例如操作系统、数据库、中间件、办公软件、网络设备、工业控制设备等。一个典型的例子是你发现了某款国产办公软件WPS的一个远程代码执行漏洞这个漏洞就非常适合提交给CNVD。流程与产出向CNVD提交漏洞经过审核和验证后平台会分配一个唯一的CNVD-ID如CNVD-2024-xxxxx。平台会协调漏洞涉及的厂商进行修复并视情况向公众发布漏洞公告。对于提交者CNVD会出具原创漏洞证明这对于在校学生、求职者或参与某些评优评先活动是一份非常有公信力的官方认可材料但其本身通常不提供直接的经济奖励。这里有一个关键区别如果你在“腾讯云服务器”上发现了一个Apache Struts2的漏洞这个漏洞本身属于Struts2这个通用组件。你应该向Apache Struts官方或CNVD报告这个通用组件漏洞而不是向腾讯云SRC报告。腾讯云SRC关心的是其自身云平台产品、控制台的安全问题。分不清“载体”和“漏洞本体”是新手常犯的错误。2.3 CVE、CNNVD与CNVD的关系经常有人混淆CVE、CNNVD和CNVD。CVE国际通用的漏洞字典由美国MITRE公司维护分配CVE-ID。它是全球漏洞管理的“通用语言”。CNNVD中国国家信息安全漏洞库由中国信息安全测评中心运营主要对漏洞进行国产化分类、评级和管理也会分配CNNVD-ID。CNVD如前所述侧重于漏洞信息的共享和应急处置协调。一个漏洞可能同时拥有CVE-ID、CNVD-ID和CNNVD-ID。通常一个影响广泛的漏洞白帽子或厂商可能会先申请CVE同时向CNVD报送。CNVD在审核时也可能为其同步申请CVE编号。对于挖掘者而言如果你通过CNVD提交的漏洞获得了CNVD-ID可以尝试进一步推动其获得CVE编号这能极大提升漏洞的国际影响力和个人声誉。3. SRC漏洞挖掘的核心思路与实战准备明确了平台区别我们回到“挖洞”本身。漏洞挖掘不是盲目扫描而是一场有计划的“狩猎”。3.1 目标选取与信息收集这是决定你效率的第一步。不要一上来就打开扫描器乱扫。确定SRC范围你想挖哪个公司的漏洞去其官方网站底部或安全频道找到其SRC的入口。仔细阅读“漏洞收集范围”明确哪些域名、IP、APP、小程序在范围内哪些是明确排除的如子公司、已收购但未整合的业务等。子域名枚举使用工具如subfinder,amass,OneForAll等收集目标的所有子域名。别忘了从JS文件、跨域策略文件、历史快照中挖掘隐藏的域名。端口与服务探测对收集到的IP进行端口扫描nmap,masscan识别开放的服务Web、数据库、中间件、特殊协议等。一个开放的非常规端口如8080,8443,9000背后可能是一个未经验证的管理后台。目录与路径爆破针对Web应用使用dirsearch,ffuf,gobuster等工具进行目录和敏感文件如/admin,/backup,/config.json,/phpinfo.php的爆破。字典的质量至关重要推荐使用SecLists项目中的字典并根据目标特性进行自定义。指纹识别识别Web框架Spring Boot, Django, ThinkPHP、前端库Vue, React、中间件Nginx, Apache, IIS、第三方组件Shiro, Fastjson, Log4j2的版本信息。工具如Wappalyzer浏览器插件、EHole、FingerprintHub。知道目标用了什么你才能知道该用什么姿势去测试。例如识别出Shiro立刻想到反序列化识别出Fastjson立刻想到各种绕过。注意信息收集阶段要控制扫描频率和并发避免对目标业务造成压力触发对方的防护告警甚至封禁IP。这是体现“白帽子”素养的地方。3.2 漏洞挖掘的常见切入点与思维模型有了目标资产地图接下来就是选择攻击面。我习惯将漏洞挖掘分为几个思维层面3.2.1 黑盒测试外部观察与交互这是最常用的方式把自己当成一个普通用户或稍懂技术的用户。输入点挖掘所有用户能控制数据的地方都是入口。包括URL参数、表单字段、HTTP头如Cookie, User-Agent, X-Forwarded-For、文件上传点、API请求参数。常见漏洞类型SQL注入参数后加单引号‘、and 11、and sleep(5)观察响应时间或内容差异。使用sqlmap进行自动化检测但务必理解其原理手动验证往往更精准。跨站脚本XSS在输入框提交scriptalert(1)/script或构造URL参数?qimg srcx onerroralert(1)。关注反射型、存储型和DOM型。现代前端框架如Vue、React在一定程度上缓解了XSS但不当的v-html或dangerouslySetInnerHTML使用以及服务端拼接输出仍是风险点。跨站请求伪造CSRF检查关键操作修改密码、转账、发表评论的请求是否缺少不可预测的Token验证是否仅依赖Cookie。服务端请求伪造SSRF寻找有URL加载、图片处理、文件导入导出、远程API调用功能的地方。尝试使用file:///etc/passwd、http://169.254.169.254/云元数据、http://localhost:8080/admin等作为参数。文件上传漏洞尝试上传特殊文件如.jsp,.php5,.phtml配合解析漏洞、.htaccess配置、路径穿越../../../shell.php获取Webshell。逻辑漏洞这是奖金的高产区也是最考验思维的地方。包括但不限于越权访问水平越权修改用户ID访问他人数据、垂直越权普通用户访问管理员功能。业务逻辑绕过验证码可重复使用、订单金额可篡改、优惠券可无限领取、抽奖次数无限制。流程缺陷跳过关键步骤如短信验证直接进入下一步。3.2.2 白盒/灰盒测试结合代码与架构如果你有目标系统的部分代码如开源组件、前端JS或者通过信息泄露获取了部分信息可以进入更深层的分析。前端代码审计分析前端JavaScript代码寻找硬编码的API密钥、接口地址、敏感逻辑。网络热词中提到的“vue 中img src路径 如何加token”就是一个典型场景如果前端在拼接资源路径时将Token以明文参数形式附加如/api/image?tokenxxx可能通过Referer泄露或导致Token被截获。接口分析与未授权访问通过浏览器开发者工具Network面板抓取所有API请求。重点关注返回数据量巨大的接口可能泄露敏感信息。无需认证或认证脆弱的接口如仅验证一个简单的数字ID。方法不当的接口本应使用POST的用了GET导致参数暴露在日志。GraphQL接口功能强大但若未做深度限制可能导致信息过度暴露甚至拒绝服务。3.2.3 特定组件与框架漏洞时刻关注主流组件爆出的高危漏洞如Log4j2、Fastjson、Shiro反序列化。一旦有新的漏洞利用方式PoC公开立即用指纹识别结果匹配你的目标资产进行批量验证。这往往是“捡漏”的黄金时间窗口。4. 漏洞验证、报告撰写与提交策略找到可疑点只是开始严谨的验证和清晰的报告才是价值所在。4.1 漏洞验证的“度”与原则验证漏洞的目的是证明其存在和危害但绝不能对业务造成实际损害。最小化影响原则证明漏洞存在即可。例如SQL注入用sleep(5)证明时间盲注或用union select null,null...获取无关信息如数据库版本version严禁拖取用户表数据。XSS弹出自己的警告框alert(document.domain)严禁窃取Cookie或进行钓鱼。文件上传上传一个仅包含?php phpinfo();?的文本文件并重命名为.php验证能否执行严禁上传webshell或连接后门。越权访问他人的订单号截图证明能看到他人信息严禁修改或删除他人数据。保留证据使用浏览器开发者工具、Burp Suite、Charles等代理工具完整截取HTTP请求和响应包。截图要清晰包含URL、请求头、请求体、响应状态码和关键响应内容。视频录屏也是很好的辅助证据。4.2 高质量漏洞报告撰写指南一份糟糕的报告可能让一个高危漏洞被定为“低危”甚至“无效”。报告的核心是让完全不了解背景的审核人员能快速复现并理解危害。报告必备要素漏洞标题简明扼要如“【XX系统】后台管理接口未授权访问导致敏感信息泄露”。所属厂商/产品明确指向。漏洞类型SQL注入、未授权访问、逻辑漏洞等。风险等级根据厂商标准自评高危、中危、低危但最终以厂商评级为准。漏洞详情漏洞URL完整的请求地址。请求方法GET/POST/PUT等。请求参数详细的参数名和值。复现步骤分步骤、傻瓜式地描述操作过程。例如“1. 打开浏览器未登录状态2. 访问URLhttps://target.com/api/admin/users3. 观察到返回所有用户列表的JSON数据。”请求/响应数据附上完整的Burp Suite数据包截图或文本。对关键部分进行高亮标注。漏洞证明截图或录屏展示漏洞触发的效果如弹出alert、返回敏感数据。修复建议给出建设性意见如“增加用户身份认证和权限校验”、“对用户输入进行严格的过滤和参数化查询”等。这体现了你的专业性。4.3 提交策略SRC、CNVD还是CVE这是本文的核心问题之一。如何选择提交渠道渠道适用漏洞类型主要收益流程与周期策略建议厂商SRC该厂商自有产品、网站、APP、业务系统的漏洞。经济奖励奖金、积分、荣誉证书、礼品、实习/工作机会。提交→审核→评级→修复→发放奖励。周期从几天到数月不等取决于漏洞复杂度和厂商效率。首选。收益直接反馈相对及时。务必遵守该SRC的规则。CNVD平台在我国广泛使用的通用型软硬件产品的漏洞。例如国产办公软件、中间件、工业软件、物联网设备固件等。官方原创漏洞证明CNVD-ID。对升学、求职、评优有公信力。无直接经济奖励。提交→初审→复现审核→分配CNVD-ID→协调厂商修复→发布公告。周期较长通常数周至数月。如果漏洞属于通用型产品且厂商无活跃SRC或响应不佳可提交CNVD。可与SRC提交并行不悖。CVE通过MITRE或上游厂商影响广泛的国际通用开源或商业软件漏洞。国际认可的漏洞编号CVE-ID极大提升个人在国际安全社区的声誉。通过CNACVE编号机构如GitHub、红帽、甲骨文等或直接向MITRE申请。流程严谨周期长。对于影响深远的开源组件漏洞在向厂商报告的同时可以尝试推动CVE编号申请。一个实战案例你发现某国内知名企业级软件“智慧办公系统v2.1”存在一个SQL注入漏洞。该软件被众多政府和企事业单位使用。第一步查找该软件开发商是否有SRC。如果有优先提交至其SRC。第二步由于该软件属于通用型产品影响范围广你同时可以将漏洞详情整理后提交至CNVD平台。在提交时可以注明“已同步报告给厂商SRCSRC编号为XXX”。第三步如果该漏洞非常经典且影响广泛你甚至可以研究其是否源于某个开源组件如某个数据库驱动进而尝试向该组件社区申请CVE。这样做既通过SRC获得了可能的奖金又通过CNVD获得了国家级的漏洞证明一举两得。但切记在向CNVD提交时如果已与厂商SRC签订保密协议NDA需遵守协议条款避免违约。5. 常见问题、踩坑实录与进阶技巧这条路我踩过不少坑也总结了一些“野路子”之外的系统化方法。5.1 新手常犯的十大错误盲目扫描触发风控使用默认配置的扫描器高强度扫描IP很快被ban一无所获。忽略规则测试越界在SRC规定范围外的资产进行测试或使用禁止的测试方法如DDoS测试、社工导致漏洞被拒甚至被追责。漏洞描述不清报告里只有一句“这里有个SQL注入”没有步骤、没有数据包、没有截图审核人员无法复现定为“信息不足”。危害证明过度为了证明漏洞危害真的去下载了用户数据或篡改了业务数据从“白帽子”变成了“黑客行为”。分不清漏洞归属把在阿里云上发现的WordPress漏洞报告给阿里云SRC结果被告知应报告给WordPress或插件作者。重复提交同一个漏洞点换不同参数或描述重复提交会被视为刷分影响信誉。忽视逻辑漏洞只盯着SQL注入、XSS这些传统漏洞对业务逻辑层面的缺陷视而不见而后者往往是高价值漏洞的富矿。不关注补丁与更新对一个已经打了最新补丁的系统还在用旧的EXP测试浪费时间。缺乏耐心提交漏洞后隔几个小时就去催问进度引起反感。安全审核需要时间。闭门造车不与其他安全研究者交流不关注最新的漏洞情报、攻击技术和工具更新进步缓慢。5.2 我的独家避坑与提效技巧搭建本地靶场在本地用Docker搭建诸如DVWA、WebGoat、PentesterLab等靶场或者直接部署一些开源项目如OA系统、CMS。这是你练习技巧、测试Payload而无需承担任何法律风险的绝佳环境。所有猜想和攻击手法先在靶场验证。深度使用Burp Suite别只把它当个抓包工具。学习使用Intruder进行爆破和模糊测试使用Repeater进行手动测试使用Scanner进行被动扫描使用Extensions插件扩展功能。Burp是你的“瑞士军刀”。培养“攻击者思维”每看到一个功能就问自己“如果我是坏人我会怎么滥用它” 比如一个“忘记密码”功能能否通过枚举手机号导致短信轰炸验证码是否可被绕过关注“非主流”入口移动端APP抓包分析API、微信小程序反编译小程序的.wxapkg包、PC客户端可能内嵌Webview、API文档Swagger UI可能暴露未授权接口、第三方集成OAuth回调地址是否可被利用。善用Google Dorking使用高级搜索语法如site:target.com inurl:adminfiletype:pdf site:target.comintitle:index of parent directory site:target.com 往往能发现意外之喜。保持学习与复盘定期阅读其他白帽子在公开平台如知乎、安全客、Seebug Paper写的漏洞分析文章。复盘自己提交的每一个漏洞无论是否被收录思考为什么成功或为什么失败。5.3 当漏洞涉及CNVD流程时如果你提交的漏洞被CNVD收录并分配了ID后续可能会遇到漏洞细节保密期在厂商修复前CNVD和你有责任对漏洞细节保密不得公开披露。协调沟通CNVD可能会联系你向你核实漏洞细节或向你同步厂商的修复进展。证书获取漏洞处理完毕后你可以在CNVD平台上下载电子版的“原创漏洞证明”。妥善保管这是你能力的官方背书。漏洞挖掘是一场技术与耐心、规则与创意的博弈。从漫无目的地扫描到有策略地信息收集从只会用工具到深入理解业务逻辑从盲目提交报告到精通SRC与CNVD的规则差异每一步成长都源于实战中的思考和总结。这条路没有捷径唯手熟尔。最后分享一点个人体会真正的安全专家价值不在于他找到了多少个漏洞而在于他能否体系化地帮助一个系统变得更安全。把每一次漏洞挖掘和报告都当作一次帮助他人加固城墙的机会你的视角和收获会完全不同。
