提交漏洞直接给厂商还是给 CNVD？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 1733 天前的主题，其中的信息可能已经有所发展或是发生改变。

如果我找到了教务系统漏洞，是给 cnvd 还是学校还是厂商？
并不是很严重，只是泄露全部学生信息。

cnvd

漏洞

教务

厂商

33 条回复 • 2020-03-12 18:48:36 +08:00

jangit

2020-02-23 11:36:29 +08:00 via iPhone

建议不要提供
曾几何时，有个站叫乌云

just1

2020-02-23 11:37:28 +08:00 via Android

cnvd 一般是通用型漏洞吧
教务系统厂商不会鸟你
学校到还靠谱一点

Zy143L

2020-02-23 11:37:50 +08:00 via Android

本校学生就提交给本校的信息处
外校的...你还是自己留着吧

cnskis

2020-02-23 11:38:13 +08:00

@jangit 我以前就是乌云的。。

@just1 学校不知道会不会重视。。

cnskis

2020-02-23 11:39:47 +08:00

@Zy143L 自己留着可还行 0.0
@just1 通杀型的，对应理论上全部可以炸

just1

2020-02-23 11:42:32 +08:00 via Android

@jangit 说实在话，如果在当时，除非为了邀请码，否则作为本校学生最好不要提交乌云，因为学校一般不修或者联系不到，30 天之后所有人都知道可以获取你的信息了。我当时升级的动力就是提前查看漏洞。rank 也不高，学校的能有 3 就差不多了。

uxstone

2020-02-23 11:44:20 +08:00

可能你认为这是漏洞，学校认为你是在没事找事
吃力不讨好

jugelizi

2020-02-23 11:45:00 +08:00

不建议提交任何地方
前车之鉴之前有个学生也是提交了学校没处理后来被别人攻击
学校想起来就处分了这个学生

jangit

2020-02-23 11:45:30 +08:00 via iPhone

@just1 乌云现在又开了吗，看来终于升级完了

just1

2020-02-23 11:46:29 +08:00 via Android

@cnskis 通用型 cnvd 说不定还能有小证书呢
360 补天也可以考虑一下

just1

2020-02-23 11:46:37 +08:00 via Android

@jangit 没开

cnskis

2020-02-23 11:54:19 +08:00

@uxstone 我自己学校之前提了之后当天就改了
@jugelizi 就让它一直存在？这样不是隐患吗。
@just1 乌云在的时候我去补天看过，对补天没感觉。。。

jerryrib

2020-02-23 11:55:37 +08:00

开门，查水表

cnskis

2020-02-23 12:03:57 +08:00

@jerryrib 水表在外面，开不得门

b1rdb0y

2020-02-23 12:18:51 +08:00 via Android

建议 cnvd

javashell

2020-02-23 12:21:12 +08:00 via Android

这算是通用型漏洞吧，要提交也提交到 cnvd 之类的平台，
个人建议不提交，省的吃力不讨好

guog

2020-02-23 12:28:30 +08:00 via Android

@cnskis 开门，量体温😂

crella

2020-02-23 12:29:54 +08:00 via Android

临毕业前，我校教务处新闻的不显眼的栏目有几条菠菜广告，笑死

rayhy

2020-02-23 12:30:46 +08:00 via Android

🤣直接提权帮学校改了代码可能更快

zsmj1024

2020-02-23 12:35:59 +08:00 via iPhone

教育行业漏洞报告平台 https://src.sjtu.edu.cn

virusdefender

2020-02-23 12:41:31 +08:00

楼上正解，教育网 src

shansing

2020-02-23 12:57:18 +08:00

教育网 src，然而学校也并不一定修。#6 说的还是有道理。

cnskis

2020-02-23 13:25:17 +08:00

@b1rdb0y 可以考虑
@javashell 我没法做更多的验证
@guog 我自己查了-.-
@crella 还好我校没有这个，xswl
@rayhy 提不得，没敢深入了。
@zsmj1024 可以，我看看
@virusdefender 以前居然不知道，只上乌云
@shansing 有的学校还是会修的。

ic2y

2020-02-23 17:00:12 +08:00

@cnskis 提给学校吧。教务系统，一般是自研，或者付费购买的。以前 wooyun 还在的时候，看到过几个《方正教务系统，新开普教务系统》的漏洞，感觉也没有人管，还要被公开漏洞细节。

提给学校的话，直接说你拿到数据的步骤，然后提供一个泄露数据的截图警告下就好了。当初我也发现了一些校务漏洞，用匿名邮件的方式发给学校，学校还邀请我去喝茶谈谈。我没胆去，只是邮件回复保证数据我都没有保留，后来漏洞还是悄悄修了。