📚 课程目录第4章漏洞报告接收

4、漏洞报告接收：建立安全邮箱、使用PGP加密、设置报告模板、确认收件机制

报告接收，是整个漏洞披露流程的「入口」。入口没守好，后面全是乱账。

我见过不少公司，直接把漏洞提交入口挂在 GitHub Issues 上，或者用个公共表单就完事了。结果呢？报告被淹没在垃圾邮件里，或者被竞争对手拿去搞事情。说白了，接收环节的核心就四个字：安全、可溯。

4.1 建立安全邮箱：别用个人邮箱

首先，你得有一个专用的安全邮箱。别用个人邮箱，也别用通用的 support@。我建议用 security@ 或 vulnerability@ 这种一眼就能认出来的地址。

安全邮箱的配置要点：

独立域名：最好挂在公司主域名下，比如 security@example.com，别用第三方免费邮箱。
自动转发：设置自动转发到安全团队的核心成员，但别转发到个人手机邮箱——万一泄露了呢？
归档策略：所有邮件必须归档，保留至少 3 年。合规审计时这就是铁证。
访问控制：只有安全团队的核心成员有权限登录，别让 HR 或行政碰这个邮箱。

我的经验：我曾经帮一家金融科技公司搭建接收流程，他们之前用 Gmail 收漏洞报告。结果有一次，一个白帽子发来的 0day 被 Gmail 自动归类到了「垃圾邮件」，三天后才被发现。从那以后，我坚持用自建邮件服务器 + 独立域名，并且每天人工检查一次垃圾邮件箱。

4.2 使用 PGP 加密：保护敏感信息

漏洞报告里经常包含 PoC 代码、敏感数据截图，甚至还有内部系统的 IP 地址。这些信息如果明文传输，被中间人截获了怎么办？

所以，PGP 加密是必须的。你想想看，一个白帽子愿意花时间挖漏洞，结果提交报告时发现你的邮箱不支持加密，他敢发吗？

PGP 部署步骤：

生成密钥对：用 gpg --full-generate-key 生成，密钥长度至少 4096 位。
公开公钥：把公钥上传到公司的安全页面、Keybase、以及公共密钥服务器。
配置邮件客户端：在安全邮箱的邮件客户端（如 Thunderbird 或 Outlook 插件）中导入私钥。
发布指纹：在安全页面上公布公钥指纹，方便白帽子验证。

注意：私钥一定要离线存储！别放在云盘里，也别放在邮件服务器上。我见过有人把私钥存在 Dropbox 里，结果账号被盗，整个加密体系直接报废。建议用硬件密钥（如 YubiKey）存储私钥。

下面是一个标准的 PGP 公钥发布格式，你可以在安全页面上这样展示：

-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v2.3.4

mQINBGF...（省略中间内容）
-----END PGP PUBLIC KEY BLOCK-----

指纹：A1B2 C3D4 E5F6 7890 1234 5678 9ABC DEF0 1234 5678

4.3 设置报告模板：别让白帽子猜你要什么

白帽子提交报告时，最烦的就是「信息不全」。漏洞类型、影响版本、复现步骤、PoC……缺一个，你就得来回发邮件追问，浪费时间不说，还容易把白帽子惹毛。

所以，我建议你提供一个标准化的报告模板。模板不用太复杂，但关键字段一个都不能少。

推荐模板字段：

字段	说明	是否必填
漏洞标题	简要描述，如「SQL 注入 - 登录接口」	是
漏洞类型	如 SQL 注入、XSS、SSRF 等	是
影响版本	具体到版本号，如 v2.3.1	是
复现步骤	分步骤描述，最好附带截图	是
PoC 代码	可执行的漏洞验证代码	推荐
影响评估	你认为漏洞的危害等级	推荐
联系方式	用于后续沟通，可选匿名	否

我的习惯：我会在模板末尾加一句「如果你不确定某些字段，可以留空，我们会主动联系你确认」。这样既保证了信息完整性，又不会给白帽子太大压力。

4.4 确认收件机制：让白帽子知道「我们收到了」

白帽子提交报告后，最焦虑的是什么？是「到底发没发出去？」「他们看没看到？」

所以，确认收件机制是必须的。我建议分两步走：

自动回复：邮件系统自动回复，告知「已收到，我们会在 X 个工作日内回复」。自动回复里要包含一个唯一的报告编号，方便后续追踪。
人工确认：安全团队在 24 小时内人工回复一次，确认报告已进入处理流程。这一步很重要，因为自动回复可能被当成垃圾邮件。

自动回复模板示例：

主题：Re: 漏洞报告 - [报告编号: VULN-2025-0042]

您好，

感谢您向 Example Corp 提交安全漏洞报告。
您的报告编号为：VULN-2025-0042
请保留此编号，以便后续查询。

我们会在 3 个工作日内完成初步评估，并主动与您联系。
如果您的报告包含敏感信息，请确保已使用我们的 PGP 公钥加密。

安全团队
Example Corp

我曾经踩过的坑：有一次，自动回复的邮件服务器配置错了，白帽子收到的回复里包含了一个「退订」链接。结果他点了退订，后续所有沟通邮件都被拦截了。后来我学乖了——自动回复邮件里不要放任何营销类链接，只保留必要信息。

4.5 整体接收流程：一张图看懂

下面这张图，把整个接收环节串起来了。你可以把它贴在安全页面上，让白帽子一目了然。

你看，整个流程其实不复杂。但每一个环节都藏着细节。安全邮箱、PGP 加密、报告模板、确认收件——这四个点，缺一个，你的漏洞接收流程就不完整。