前言
之前看别人都有cve编号,就很想自己搞一个来装逼。拿到之后,索然无味，还是bug bounty比较喜欢，果然得不到的永远在骚动。
从去年很早开始申请,一共提交了四次申请,今天早上醒来上厕所看了眼手机,居然拿到了官方邮件。
常规申请
详细写一下过程吧,给后面申请的师傅一些建议。
首先申请的源代码最好是开源的cms应用（最好是github有托管代码）,并且面向用户群。其次是最好用的人不小众,也可以通过关键字去搜索一下目标cms是否有人提交过。
我一共申请了四个CVE
zzzphp的注入
微信客户端的一个漏洞
某开源商城系统的sql注入
某开源系统的RCE
因为我不是很想用csrf和xss去混cve编号,那样就让本来就没有含金量的cve更雪上加霜。
首先在去年四月交了微信客户端的小漏洞,等了快9个月没有回应。[TSRC拿了点小钱]
去年八九月吧提交了zzzphp的漏洞,还是没有回应。
上个月提交了开源商城的sql注入,没有回应。
这个月提交了开源系统的RCE,没有回应。
所以你可以发现,即使前人申请过cve,现在就是不吊你。哪怕根据网上师傅写的,比如那篇五指cms 的csrf申请cve的文章原模原样,还是不吊你。
解决办法
在官方提交form表单有个选项,相信很多人没注意过。
选择other后选择question,然后去百度翻译你想表达的内容。
类似为什么我申请了这么多没有cve回复,哪怕告知一下我没有通过,这样我会没有积极性这样子。
提交后过了第二天也就是今天早上,立马回复了我。所以估计是官方有时候处理完没有及时告知,倒也不是你漏洞不能通过。
我观察过很多cve的内容,有些是通过seebug，有些通过cnvd的地址。所以我这里猜想,只要在对外界面有个漏洞披露的界面差不多可以只放上cnvd链接申请cve。但是我没有测试过,现在去测试下。
这样的话,在cnvd提交的漏洞可以通过form直接获取cve编号,也就省了很多英文编写、沟通的过程。
最后
cve并不是什么很有含金量的东西，拿到之后确实觉得索然无味，只不过简历上可以写写这些rce漏洞、sql注入漏洞获取到的cve编号也能够稍微加一点分。
也算完成了自己的心愿了，希望有一天可以拿到一个因为大型框架、大型中间价的漏洞获取到的cve编号吧！
但还是一句话，自己强比什么都重要。