补天漏洞响应平台

补天漏洞响应平台助力安全从业者提交漏洞

网站截图

补天漏洞响应平台使用手记

官方网址：https://www.butian.net

我做安全相关工作，碰到过不少漏洞提交的麻烦，要么找不到正规渠道，要么提交后没音讯，要么因为格式不对被驳回，后来接触到补天，才觉得是个实用的平台。

新手刚接触平台容易踩的坑，身边好多人都中过：

• 上来就乱提交漏洞，不管是不是目标厂商，也不管漏洞有没有被公开披露，以为随便提交都有奖，结果大多没反馈
• 不会找对应的SRC入口，平台本身对接了大量厂商，但有人分不清板块，点错入口导致提交失败
• 不知道看提交规则，直接复制网上的POC就发，不符合要求的内容很容易被打回

补天的核心实用价值，不用看官方介绍就能体会到。最实在的是对接的厂商覆盖广，不用自己一个个搜官网找安全入口，输入站点域名就能匹配到对应的SRC，省了很多麻烦。还有，平台的审核反馈比其他平台快很多，提交后能实时看进度，不会出现石沉大海的情况，这对急着确认漏洞状态的人来说太重要了。

我常用的细分功能主要是两块：漏洞提交和SRC对接专区。漏洞提交页面里，有自动匹配厂商的按钮，输入目标域名就能跳出可能的对接厂商，还会显示该厂商的漏洞等级要求、POC格式，新手不用猜。SRC对接专区里，每个厂商的奖励规则、保密要求都写得清清楚楚，有的需要复现截图，有的需要详细的影响评估，这些细节不用自己去查，直接在平台里就能看到，避免了好多沟通成本。

对比国内其他漏洞响应平台，补天的优势挺突出。审核效率高，我提交过几个高危漏洞，基本一周内就能收到回复，要么是确认漏洞，要么是指出需要补充的信息。奖励方面也比较透明，到账速度快，不会出现拖很久的情况，而且对接的厂商里，互联网企业占比高，适合做民间测试的白帽子。有些平台侧重政府或教育机构的漏洞收集，对于想赚点外快或者提升技术的爱好者来说，补天更对口，能接触到更多商业化的测试目标。

用这个平台的避坑技巧，都是我自己踩过的或者身边朋友总结的，要注意：

• 不要提交已公开的漏洞，如果漏洞在公共漏洞库、安全论坛上能搜到，提交后会直接被驳回，还可能影响账号信用，严重的会被限制提交权限
• 确认对应的SRC入口，平台的自动匹配偶尔会出错，比如厂商被收购后，SRC入口会变更，得手动核对该厂商的最新对接方式
• 提交后绝对不能外传，不管有没有拿到奖励，提交的漏洞都要保密，要是被厂商提前发现泄露，不仅拿不到奖励，还可能被拉入厂商的黑名单，影响以后的提交
• 完善POC和复现步骤，新手提交漏洞别只发个简单的POC，要写清楚影响范围、怎么复现，最好附上截图，这样能提高提交的通过率，也能让审核更快确认

适合用这个平台的人也很明确：一是刚入行的白帽子，想有正规渠道提交漏洞拿奖励，平台的新手教程能帮你少走很多弯路；二是企业的安全人员，想收集外部站点的漏洞，平台的对接板块能省不少事；三是安全测试从业者，需要稳定的反馈渠道，补天的厂商覆盖和审核速度能满足需求；四是对安全感兴趣的爱好者，想参与白帽技术活动，平台的专项漏洞奖励能提升自己的技术能力。

另外，平台的新手专区做得不错，里面有前辈分享的提交经验，还有POC的撰写教程，我刚用的时候就靠这些内容，少踩了好几个坑。