在无数向厂商提交漏洞的日子里， 下列的场景你是不是机缘巧合?
- 被厂商“豹子头零充”：“这压根没有一个漏洞!” 但如果你再度复诊时，发觉漏洞早已被修补。
- 被厂商的危害：“这就并不是一个洞，但你敢公布得话就试一试!”
- 被厂商误解：“你了解那样是违反规定公布漏洞吗?我能警报的!......” 随后你确实就被邀 “饮茶”了。
- 被厂商“贪便宜”：“过意不去，今日起，这类漏洞的奖励金递减!”
近些年，白帽私曝漏洞的恶性事件高发，在业内造成了很大的浪涛，在告之白帽私曝漏洞的个人行为会出现触及法律法规的风险性，号召白帽加强法制观念之时，仿佛没人去细究白帽挑选私曝漏洞的缘故，也没人问过她们，“为何要违反规定公布漏洞?”。
为了更好地一探究竟，小编访谈了四位来源于不一样精英团队、不一样情况的白帽，掌握这一人群挑选私曝漏洞身后有可能的缘故。
回答好像很一致：耍酷、法制观念不强、因为误解和厂商起了矛盾因此一气之下发布漏洞……这三点是导致白帽私曝漏洞的多见缘故，在其中第三点很可能是最首要的缘故。
“不承认漏洞即使了，她们还危害我!你敢信?”
被误解的月神：2017年，我还在提交了某一视听节目服务服务平台的漏洞后，立刻收到了厂商的电話， “你是谁啊，是不是你要进攻大家，假如你敢乱来，大家就需要警报了”，和他表述了大半天，我才发觉另一方压根并不是该厂商SRC的连接人，仅仅该网站的业务员，而且其经典对白遮阳帽这一人群的类型并不了解。
被“豹子头零充”的Balis0ng：遇到过一些厂商，对于我提交的漏洞汇报无动于衷，过去了几日我再去检验，发觉漏洞早已被修补了……我都遇到过向厂商持续提交了2个漏洞，但厂商SRC连接人表明通过开发者评定，觉得这两个漏洞是同一个漏洞的状况，我也是很无奈。
被危害的小七：2018年，在提交了某大型厂的漏洞后，我收到了厂商的拨打电话，她们不仅不承认这是一个漏洞，还危害我，“假如将漏洞公布，你之后不太好找工作吧?”，不承认漏洞即使了，她们还危害我!你敢信?
被“文化教育”的远海：在一周内提交了某教育云平台的6个系统软件漏洞后，我被应用该教育云平台的厂商运维管理工作人员“文化教育”了一顿。应该是一下子提交了很多的漏洞，耽搁运维管理工作人员下班啦，因此那时候厂商的运维管理工作人员还特意根据ID找到我，把我说了一顿。
被误解可以挑选表述、被“文化教育”可以挑选理解、但是当被“豹子头零充”和危害时，白帽也只有挑选认栽吗?“是的，没有错，碰到了也就只有自身吃完这一亏，都没有一切方法，可是好在大部分靠谱的厂商，不容易那样对大家”，Balis0ng讲到。
接纳专访的这四位白帽，在向厂商提交漏洞时，均吃过许多“哑吧”亏，即使在厂商不愿意认可她们提交的漏洞时，他们也从来没有想过要私曝漏洞，归根结底，是她们对公平正义那颗初衷的恪守，也是由于她们自知，这种做法不仅会将原本言之有理的她们引向蛮横的边沿，她们还需要担负被追责法律依据的风险性。因而，要从源头上防止白帽私曝漏洞事情的产生，除开相关法律法规的不断完善和普及化，还必须各种厂商一同勤奋。
“伴随着政策法规的不断完善和领域的完善，我坚信私曝漏洞的手段会越来越低”
《中华人民共和国网络安全法》要求，进行网络安全认证、检验、风险评价等主题活动，向社会发展信息发布系统漏洞、网络病毒、黑客攻击、互联网入侵等网络信息安全信息内容，理应遵循相关要求。伴随着《网络信息安全漏洞管理规定(征求意见)》的颁布，相关网络信息安全从业者的有关个人行为要求更为确立和优化：第三方机构或本人不能在网络营销产品、生产经营者和互联网经营者向发展或客户公布漏洞修复或预防措施以前公布有关漏洞信息内容，不可公布和给予专业用以充分利用网络商品、服务项目、系统软件漏洞从业伤害网络信息安全主题活动的方式、程序流程和专用工具。一般情形下，发觉漏洞后，第三方机构或本人可以将有关漏洞报赠给CNNVD或CNVD，CNNVD或CNVD可能在5个工作中日内给予确定回应，并通告厂商在90/10日内修补，厂商采用漏洞修复或预防措施后再给予公布。
《网络信息安全漏洞管理规定(征求意见)》的公布，是因为标准网络信息安全漏洞汇报和发布信息个人行为，与此同时催促有关厂商、第三方及经营方立即解决漏洞问题，这也是在《中华人民共和国网络安全法》的基本上，法纪管理体系进一步完善的反映。
“伴随着该要求的颁布，能有效的降低白帽由于耍酷或是法制观念较弱而私曝漏洞的个人行为。”
接纳专访的四位白帽均觉得，《网络信息安全漏洞管理规定(征求意见)》能具有标准领域个人行为和确保领域建康发展趋势的功效。
“从学校的刚性文化教育做为突破点，是一个很好的挑选。”
据远海表露，相关国家安全法专业知识的课程内容，在他的院校现阶段是以选修课网络课程的方式进行的，而一些沒有选修课该学科的学员，很有可能对什么情形会触及法律法规并不清楚，伴随着在我国网络信息安全销售市场愈发活跃性及其最新法律法规相继颁布，他觉得从学校的刚性文化教育做为突破点，是一个很好的挑选。
“创建漏洞诉讼体制，有利于降低白帽和厂商中间的‘踢皮球’事情。”
伴随着腾讯官方、百度搜索、阿里巴巴、华为公司、网御星云、滴滴打车等各种厂商安全性应急处置核心的体制日渐健全，愈来愈多的白帽更偏向于向厂商立即提交漏洞，一是由于厂商一般会首先解决在自身服务平台上提交的漏洞，二是由于立即向厂商提交漏洞，白帽能取得越来越多的收益。Balis0ng也提到：“如今各种厂商也更加高度重视白帽的奉献，例如2020年，腾讯官方初次发布了上百万奖励金池，单独漏洞额外奖励最大可达20万余元;网御星云不久前更新了奖励制度，单独漏洞税后工资最大奖赏额度有50万余元;滴滴打车于2021年提升了本年度奖赏标准中得奖金的配额，本年度排名第一的白帽可得到8万余元奖赏。”
“许多大型厂或是很有诚心的，实际上大家也体会的到，因此大家目前也较为趋向于向厂商立即提交漏洞”，Balis0ng讲到。可是立即向厂商提交漏洞，白帽有时也会遭遇一些问题，例如当厂商驳回申诉漏洞时，白帽就只有在“遵纪守法相当于吃大亏”和“暴洞相当于违法”中间挑选吗?
Balis0ng觉得，假如能在行业内创建漏洞诉讼体制，当白帽与厂商由于漏洞评定发生争吵时，第三方公司可以干预诉讼，那将能有效的降低白帽由于厂商驳回申诉漏洞而违反规定公布的个人行为。
汇总
在网络时代，假如说故意网络黑客是矛，运用系统软件或系统的漏洞，非法侵入并获得权益，那白帽便是盾，她们挑选用新技术来维护网络信息安全，她们必须比故意网络黑客跑的迅速，她们发觉的漏洞越多，网络时代也就更安全性，但对比故意网络黑客的“展现自我”，她们的感人事迹却鲜有人知，她们更好像避世大神，不张扬地对决四方。尽管有时她们会被误解，有时它们的投入没获得应该有的收益，可是它们或是恪守了自个的初心，做公平正义的事儿。
接纳专访的四位白帽均表明，伴随着领域的快速发展和标准，现阶段白帽人群碰到的一些窘境都是会获得合理的处理，与此同时她们也号召白帽从保护自己的视角考虑，依规公布漏洞，不必由于一时气恼让自身遭遇触及法律法规的隐患并携带“蛮横”的束缚。