发现一个网站有多个漏洞怎么提交

Question

发现一个网站有多个漏洞怎么提交？可以提交成通用漏洞么？还是说得写多个漏洞提交文章进行各大漏洞平台分不同的漏洞提交？

Answer 1

引自免费微信小程序：皆我百晓生

当您发现一个网站存在多个漏洞时，通常建议您将每个独立的漏洞作为一个单独的报告提交给相应的漏洞披露渠道。这样做的好处是确保每个漏洞都能得到适当的重视和及时修复。

以下是详细的步骤：

1. 确定漏洞类型：首先，对每个漏洞进行分类，例如SQL注入、XSS攻击、CSRF令牌泄露等。这有助于接收方了解漏洞的性质和严重性。

2. 记录漏洞详情：为每个漏洞创建一个详细的描述，包括：

   • 漏洞名称和类型
   • 影响的URL或功能
   • 如何复现漏洞（可能包括请求方法、参数值、预期结果与实际结果对比）
   • 可能的后果（数据泄露、权限提升等）
   • 如果可能，提供 poc（Proof of Concept）或exploit（利用脚本）

3. 查找合适的报告渠道：

   • 大多数网站都有专门的安全联系信息，通常在"联系我们"或"隐私政策"部分。
   • 若没有明确的联系方式，可考虑向公开的漏洞报告平台提交，如HackerOne 、Bugcrowd 或其他符合目标公司策略的平台。
   • 对于开源软件，可以查看其GitHub仓库或项目页面上的贡献指南，找到合适的报告途径。

4. 遵守Coordinated Vulnerability Disclosure (CVD)：遵循协调漏洞披露流程，确保不会在漏洞被修复之前公开。这保护了用户和网站免受恶意攻击。

5. 提交报告：

   • 根据所选平台的格式要求撰写报告。大多数平台会有一个在线表单或允许通过电子邮件发送报告。
   • 包含上述所有细节，并保持专业和礼貌。记住，您的目的是帮助改进安全，而不是批评或羞辱任何人。

6. 跟进：提交后，耐心等待响应。一些组织可能会有处理时间限制。如果长时间未收到反馈，可以尝试再次联系他们。

7. 修复确认：一旦漏洞被修复，确保验证修复的有效性，并根据平台规则决定是否公开漏洞详情。

8. 奖励和感谢：许多漏洞赏金计划会对发现并报告漏洞的人给予奖励。遵循平台的奖励政策，可能有机会获得经济补偿或其他认可。

请注意，如果您不是专业的安全研究员，可能需要学习如何正确地识别和报告漏洞，以免误报或引起不必要的恐慌。同时，尊重目标公司的政策和法律是非常重要的，非法入侵系统可能会导致法律后果。