30分钟入门CNVD：我这个菜鸟居然真的做到了！（内附避坑指南）
嘿，各位小伙伴！今天咱不聊那些高大上的东西，就来点实在的——30分钟入门CNVD，说实话，我一开始也以为这是哪个大佬在吹牛，但当我亲身试过之后……哎呀妈呀，真香！所以忍不住跑来跟你们分享下我的心路历程，保证看得懂、学得会、用得上！
CNVD到底是个啥玩意儿？
咳咳，让我先摆个龙门阵，我刚开始接触的时候也是一头雾水，查了半天资料，差点被各种专业术语劝退，其实CNVD（国家信息安全漏洞共享平台）说白了就是咱们国家的一个“漏洞收集站”，你发现问题，提交漏洞，平台确认后发个证书——就这么简单！但就是这个“简单”事儿，网上资料大多是给高手看的，我这种小白看得那叫一个绝望啊，什么SQL注入、XSS跨站，各种高大上词汇扑面而来,差点把我劝退。
说真的，我当时就想，要是有个经验贴能告诉我30分钟入门CNVD的关键步骤该多好，今天我就来做这个“指路人”了,把我踩过的坑全给你们填上！
30分钟入门CNVD：我的实操三步走
第一步（前5分钟）：注册+选目标，别贪心！ 别一上来就想着搞大网站啊！我的血泪教训：第一天就瞄上了一个省级政府网站，结果连后台都摸不着，白白浪费一下午，正确做法是什么呢？选个中小企业的官网，或者小公司的OA系统，这些通常防护相对薄弱，适合练手，记住啊，入门阶段，我们是“找漏洞”，不是“黑站点”,别搞错了方向！
第二步（中间15分钟）：扫漏洞这个动作，真不是瞎搞！ 重点来了！你千万别跟我第一次一样，拿个扫描器就四处乱扫，结果啥也没扫出来，还把人家网站弄崩了（惭愧惭愧……），正确的姿势是：先用Google语法（site:xxx.cn）搜出目标域名的所有子页面，然后人工点一点、看一看，别看这方法土，但对入门来说效率极高！我当时就发现了一个企业站点有个“上传简历”的功能，随便传了个txt文件，哎呀，居然没限制格式！这不就是文件上传漏洞吗？我激动得差点从椅子上跳起来（真的，没夸张）！
第三步（最后10分钟）：写报告，这可太重要了！ 很多新手（包括我当时）觉得提交漏洞就是交个网址完事，大错特错啊！CNVD专家一天要看几百个报告，你要是把体验写得太敷衍，人家不理你你能咋办？我当时是把漏洞出现位置、利用步骤、可能的危害等级，全用图文并茂的方式写清楚了，连截图上的箭头都标注得明明白白，结果怎么样？两个工作日就收到了确认邮件！那一刻，我觉得自己简直是个天才！（好吧，其实我后来查了，他们平均处理时间也就2-3天，但那种成就感还是杠杠的！）
这几条坑，我给你们蹚平了！
掌握了上面的步骤，30分钟入门CNVD绝对不成问题,但还有几个细节还得啰嗦两句：
- 别碰未授权的大厂：尤其是金融机构、政府部门，咱们是去提交漏洞的,不是去找麻烦的。
- 能报通用软件就别报定制站：因为通用软件漏洞（比如某个CMS系统）价值更高,证书含金量也大。
- 提交时如果该漏洞已经被公开了，比如在相关安全技术文章里看到过类似的,那就换个目标吧。
入门不是终点
说实话，我这“30分钟”只是让你快速上手、明白流程，真正想成为大神，那还得继续沉淀，不过有了第一张CNVD原创漏洞证书带来的激励，我现在已经能轻松挖掘几种常见漏洞了（骄傲脸），而且我发现，当你认真分析了别人是怎么修漏洞的时候,那种进步速度简直吓人！
对了，还要多说一嘴，漏洞挖掘这件事，一定要守规矩哦！我们所有的测试都必须在法律允许的范围内进行,千万别越界哈。
好啦，今天这篇30分钟入门CNVD的掏心窝子分享就到这里，希望你们看了能少走点弯路，不像我当初那样像无头苍蝇一样乱撞，如果你们按照这个方法成功了,记得回来评论区分享下喜悦哈！
哦对了，最后如果你也对网络安全有兴趣，或者卡在入门路上想找个人聊聊，欢迎加QQ：33292918，备注“公众号来的”就行，咱们可以交流交流，毕竟网络安全这条路,有人带跟没人带真的差很多！
