老王盯着屏幕上的漏洞上传进度条，99%卡了整整三分钟。漏洞上传他骂了句脏话，漏洞上传把刚写好的漏洞上传漏洞利用脚本拖进论坛附件框，点击上传。漏洞上传下一秒，漏洞上传弹窗跳出：“文件大小超出限制，漏洞上传请压缩后重试。漏洞上传”

这事发生在去年七月，漏洞上传某个安全论坛的漏洞上传深夜。老王手里那个0day，漏洞上传能直接打穿某国产OA系统的漏洞上传权限验证。他本想换个论坛币，漏洞上传结果连上传都过不去。漏洞上传后来他把脚本拆成三段，漏洞上传分别起名“会议纪要1”“会议纪要2”“会议纪要3”，才勉强传上去。第二天帖子被删，理由是“附件格式不规范”。

漏洞上传这件事，表面看是技术活，实际是个体力活加心理战。你以为写个PoC就完了？不，你得先过平台审核那一关。有些平台自动扫描恶意代码，看到shellcode就拦；有些平台人工审核，但审核员可能连curl和wget都分不清。老王试过把漏洞代码伪装成Python爬虫脚本，注释里写“用于抓取天气数据”，居然过了。

更麻烦的是厂商那边。你传了漏洞，平台转给厂商，厂商安全响应中心（PSRC）先回你一封模板邮件：“感谢提交，我们将在5个工作日内确认。”然后第6天告诉你“无法复现”。你补上录屏，他再说“需要更多细节”。来回拉扯两周，最后给你个“低危”评级，奖金500块。老王有次气不过，直接把漏洞细节发到推特上，厂商两小时后就联系他，态度好得像是换了家公司。

我见过最离谱的一次，是某个物联网设备漏洞。研究者把PoC上传到某众测平台，平台审核通过，厂商也确认了。结果修复补丁发布那天，研究者发现自己的PoC被原封不动贴在了厂商的致谢公告里，连变量名都没改。他去找平台理论，平台说“这是厂商行为，我们只负责中转”。后来那研究者把所有漏洞都改走邮件直发，再也没碰过那个平台。

漏洞上传的通道选择，其实比漏洞本身更影响结果。CNVD、CNNVD、厂商SRC、众测平台、私下交易，每条路都有各自的坑。CNVD流程正规但慢，一个中危漏洞能走两个月。厂商SRC快，但有些厂商会跟你玩文字游戏，把“命令执行”降级成“信息泄露”。众测平台最魔幻，你永远不知道审核你漏洞的人，是不是昨天刚培训完的实习生。

老王后来学聪明了。他不再纠结上传，而是先建个加密压缩包，密码设成“123456”，上传到网盘，再把链接和密码分两个渠道发给厂商。厂商问为什么这么麻烦，他说：“你们上次把我提交的漏洞报告原文泄露了，里面有我邮箱和手机号。”对方沉默十秒，回了句“抱歉”。

漏洞上传本质上是个信任问题。研究者信任平台不会吞漏洞，平台信任厂商不会赖账，厂商信任研究者不会乱公开。这条链上任何一环断了，整个流程就变成互相提防的闹剧。我认识的一个独立研究者，现在只接国外厂商的活，因为“至少他们给钱痛快，不跟你扯皮”。

凌晨两点，老王终于把压缩包传上去了。他关掉电脑，点了根烟。窗外没什么人，只有路灯亮着。他想，明天厂商那边不知道又要出什么幺蛾子。但至少，漏洞传上去了。剩下的，看运气吧。