提交cve和cnvd的区别以及申报文档所必须的内容

      前段时间提交了几个cve和cnvd，在这里总结一下两者的区别和申报cnvd时踩的一些坑。

        先说区别。虽然这两个都是关于漏洞申报的，但是两者的申报难度差别较大。cve审核会相对宽松很多，甚至你申报时不需要准备图片，只需要用文字把必要步骤写出来，证明这个漏洞存在，基本都可以申报成功。

        当然，你需要先关注你所挖掘的漏洞之前是否已经被别人发现过。所以在申报cve之前需要在cve官网搜索你要申报漏洞的产品相应的历史漏洞。这里附上链接：CVE -Search CVE List。

        如果确认没有重复，那么可以在CVE - Common Vulnerabilities and Exposures (CVE)进行漏洞提交。具体步骤参考文章CVE提交流程（包含漏洞公开过程）-CSDN博客，这里就不过多赘述。需要注意的是，在你提交后cve会在几分钟之内回复一封邮件给你，在那里你可以修改自己先前提交内容的细节。

        关于cve审核时间的问题。网上普遍说是一个月，其实就个人体会并没有这么久，大概是15天左右，cve就会再次发一封邮件到你的邮箱，审核通过的话会在该邮件内容附上你的cve编号（重要），还有一段PGP密钥（重要），参考下图：

你可以通过这个cve编号和PGP密钥选择公开与否你的漏洞发现，公开地址可以选择你的GitHub仓库地址。

        cnvd的申报难度会比cve要大不少。以通用性漏洞的申报为例，下面会详细描述你申报文档中的必须内容。

1、Request数据包

无论你选择3个以上的互联网案例还是代码审计，数据包的内容是刚需。你需要把涉及证明漏洞过程的所有数据包内容复制下来，粘贴到文档里面（你可以对数据包进行截图，但不能仅仅是截图，需要把整个数据包内容复制下来！）

2、如果你选择代码审计

那么需要把造成这个漏洞的关键函数给找出来，输入payload，断点调试一遍，分析漏洞成因。至于调试具体可以参考我之前的博客：phpstorm + phpstudy 进行php项目调试和调试时超出连接时长500问题_phpstudy debug 500-CSDN博客

3、如果你选择互联网案例

找到3个以上的不同网站，输入payload证明你的漏洞（当然一般3个不够，而且每次都需要记录数据包）

        cnvd的审核速度并没有网上说的那么快！！！事件型漏洞的审核会快一点，大概需要3-5天。但是通用性漏洞的审核一般需要一个星期多。

cnvd的申报有三次审核，文档有一定的格式要求，具体请自行谷歌。