发现漏洞应该怎么处理

去年秋天，发现一个做后端的漏洞朋友凌晨两点给我发消息，说他在公司核心支付系统里发现了一个逻辑漏洞——只要构造特定参数，应该就能用1分钱买到价值500元的处理会员套餐。他问我：我该装作没看见，发现还是漏洞直接报上去？

这个问题没有标准答案，但有一个原则：漏洞本身不是应该问题，漏洞被错误的处理人先利用才是问题。你发现了它，发现就已经站在了责任的漏洞分岔口上。

先确认一件事：这不是应该误报

很多人一激动就上报，结果安全团队查了半天，处理发现只是发现前端显示错误，或者需要管理员权限才能触发，漏洞根本不算漏洞。应该我见过一个实习生，发现登录页面输入超长字符串会报错，就写了份报告说“存在缓冲区溢出风险”，结果被安全组打回来——那只是后端没做长度校验，返回了一个500错误页面而已。

所以第一步：复现。换账号、换设备、换网络环境，确认漏洞稳定存在。记录下每一步操作，截图或录屏。别嫌麻烦，这些证据后面能省你很多口舌。

判断漏洞的严重程度

不是所有漏洞都值得半夜打电话。一个XSS漏洞能盗取用户cookie，和一个页面标题显示错误，处理优先级天差地别。我习惯用三个维度快速判断：能影响多少用户？攻击者需要什么条件？能造成什么直接损失？

能越权访问其他用户订单的漏洞，比一个需要物理接触服务器才能触发的漏洞严重得多。如果漏洞能直接导致资金损失或大量数据泄露，别犹豫，立刻走紧急通道。

找对人，比写多长的报告都重要

很多公司没有公开的漏洞提交入口。你发到客服邮箱，可能三天都没人理。我一般会这样做：先查公司官网的“安全响应中心”页面，没有的话，找IT部门或安全团队负责人的领英，直接发消息。如果实在找不到，公司内部通讯录里搜“安全”“运维”“后端负责人”这些关键词。

别在公开群里发。别在社交媒体上@官方账号。更别把漏洞细节发到技术论坛上求验证——那等于把刀递给别人。

报告怎么写才有效

我见过最糟糕的报告是一封邮件写着“你们网站有漏洞，请尽快修复”，附件是一个模糊的手机截图。这种报告基本会被忽略。

有效的报告长这样：

• 标题：一句话说清漏洞类型和影响范围，比如“订单查询接口越权可查看他人收货地址”。
• 复现步骤：编号列出，从登录开始，每一步写清楚点击哪里、输入什么。别跳步。
• 实际影响：用一句话说明攻击者能做什么，比如“任意登录用户可获取全站用户的手机号和地址”。
• 修复建议：不用写代码，但可以指出问题出在哪个接口或哪个参数没做校验。

附件放录屏，比截图直观十倍。录屏里把时间、账号、操作过程都拍进去，安全团队一看就懂。

然后呢？等，但别干等

提交之后，给厂商一个合理的修复窗口。一般中危漏洞给7到14天，高危给3到7天。如果超过时间没回应，可以再发一封邮件跟进，语气客气但明确：如果你们不处理，我可能会考虑公开披露。

但公开披露是最后的手段。我认识一个白帽子，发现某电商平台漏洞后等了两个月没回复，直接把细节发到了博客上。结果第二天就被平台法务联系，虽然最后没起诉，但折腾了半年。除非厂商态度恶劣或漏洞极其严重，否则别走这条路。

如果厂商不认呢？

有时候他们会说“这不是漏洞，是设计如此”。这时候别急着吵架。把你复现的录屏再发一遍，附上同行业其他产品的处理方式作为参考。如果对方仍然不认，你可以选择向CNVD（国家信息安全漏洞共享平台）提交，或者找第三方漏洞平台协调。但记住：你的目的是让漏洞被修复，不是证明自己是对的。

最后说一句：发现漏洞是运气，正确处理是本事。别因为一时兴奋把好事办成坏事。