哎哟喂！我的CNVD提交OAuth漏洞踩坑记，这些坑你们千万别再踩了！
开篇碎碎念
各位师傅们,今天咱们聊点掏心窝子的话，你们知道吗？我最近在CNVD提交OAuth漏洞的时候，那叫一个心酸啊！前前后后折腾了小半个月，中间被驳回三次，差点没把我整自闭了！😭 但好在最后还是拿下了，所以赶紧来跟大伙分享下我的经验教训，省得你们再走我的弯路！
第一次提交：信心满满，结果秒被拒
说实话,一开始我特别naive，觉得不就是提交个漏洞嘛，填个表格发个报告的事，结果呢？我提交完不到48小时，那边就直接给我驳回了！理由是“复现步骤不清晰，无法验证漏洞真实性”。
哎呀妈呀,这可把我气坏了！我明明把OAuth的授权流程、token泄露点、影响范围都写得清清楚楚了好吗？后来我才明白，哎，这CNVD审核跟普通SRC真的完全不一样，人家要的是那种“严谨到头发丝”的报告格式！
第二次提交：学乖了，但还是差点意思
被拒一次后,我开始认真研究CNVD的提交规范，这里插一句题外话，如果你想系统学这块，建议先搞明白OAuth2.0的四种授权模式，不然真的会懵，第二次提交我学乖了，把：
- 漏洞的触发条件（精确到某个特定版本的依赖库）
- 攻击路径（画了完整的流程图）
- 影响范围（不仅仅说“信息泄露”，而是具体到哪些敏感字段）
- 修复建议（给出了至少两种不同的修复方案）
结果大家猜怎么着？还是被驳回了！这次理由是“漏洞等级评估过高，需要补充业务影响证明”！！
我当时就这表情：(╯°□°）╯︵ ┻━┻
关键转折：我终于悟了！
第三次提交前,我特意跑去请教了一位前辈，他一句话点醒了我：“兄弟，CNVD不是SRC，人家看的是国家层面影响，不是单个企业的修复意愿”
哦~~~~我瞬间明白了！所以我做了这几件事：
- 把漏洞归结到通用型组件或协议层面，而不仅仅是某一个特定网站的OAuth配置问题
- 找到至少3个不同行业的目标，都成功复现了同样的OAuth逻辑漏洞
- 把危害描述写成对“用户隐私数据安全”的威胁，而不是“这个公司数据库泄露了”
这招果然管用！第三次提交后，大概等了5个工作日，就直接显示通过了！🎉 申请CNVD编号成功！！！那一瞬间我真的差点跳起来！
给新手的几个避坑建议
这里我真心实意地给各位准备提交CNVD的师傅们几条建议：
第一，报告命名别随便！ 格式一定要是“厂商名称 + 产品名称 + 漏洞类型”，XX公司OA系统OAuth逻辑越权漏洞”，这样审核员一眼就知道你报告的相关性。
第二，截图一定要全流程！ 从最开始的请求包，到中间的重放测试，再到最后拿到未授权数据的界面，每一步都不能少，别怕啰嗦，审核员就是靠这个判断的！
第三，等级别乱报！ 很多新手喜欢把啥都写成高危，结果被核查后反而扣分，我这里踩过坑，OAuth漏洞如果不是直接获取管理员权限，通常定中危比较合理。
第四，一定要留联系方式！ 有时候审核员想跟你确认细节，结果发现邮箱联系不上，直接给拒了，多冤啊！
结尾的碎碎念
呢,CNVD提交OAuth这个活儿，真的不光是技术问题，更是一个“写报告的艺术”，各位师傅们，如果你们也想冲CNVD证书，千万要多看看那些已公开的漏洞报告，学学人家怎么组织语言的，千万别像我前两次那样莽撞啊！
好了,今天就唠到这儿，如果觉得有收获，记得点个赞再走哈哈！有啥问题也可以评论区一起讨论，咱们下期见！👋
📢 学习网络安全可以加QQ：3382681（备注“CNVD交流”），大家一起探讨漏洞挖掘那些事儿！
