我所认识的CVEBASE.COM

昨天晚上制作完成了SaltStack的命令注入漏洞CVE-2020-16846的环境，我将其提交给了国外的一家CVE数据库：cvebase.com。这块其实还得感谢腾讯云鼎实验室，因为POC是他们的分析文章《漏洞分析｜SaltStack未授权访问及命令执行漏洞分析（CVE-2020-16846/25592）》给出的。但是今天的主角是前面说到的CVEBASE。

Vulhub从2018年开始就着手开始了全球化相关的工作，最繁重的任务当然就是漏洞复现手册的翻译，直到今天也只完成了40%左右，但是实际上因为一些热门环境的原因，已经有越来越多的国际友人开始关注这个项目。CVEBASE不是Vulhub的第一家合作伙伴，但是却是Vulhub在海外的第一家长期合作伙伴与赞助商，今天CVEBASE开始对我们进行赞助，应该可以成为Vulhub发展中的一个里程碑。

我在今年11月份在推特上发现了CVEBASE这个项目和网站，因为当时他们赞助了另一个我关注的项目，jaeles。jaeles是一款灵活的POC开发框架和扫描器，它的POC格式与XRay非常像，最早推出时，我甚至一度以为XRay被“抄袭”了，实际上和作者深入交流以后我发现两个项目还是有一定的区别和各自的特色，jaeles也成为我长期关注且喜爱的一个项目。

jaeles发展的不错，也得到了不少关注，其中就包括CVEBASE。我关注CVEBASE的另一个原因是，因为这段时间一直在做主机安全方面的工作，CVE漏洞的检测也是我工作的一部分，相比于网上其他常见的CVE漏洞库，CVEBASE这几点比较吸引我：

• 突出挖掘到漏洞的白帽子（researcher），并提供了一个排行榜
• 很多漏洞有其关联的POC，通过搜索漏洞就能很快找到复现的方法
• 提供了HackerOne关联，我们可以找到在HackerOne上的报告里用到了哪些漏洞

第一个事情，其实做的事情和以前乌云很像，给予漏洞发现者一个积极地正反馈。我发现其他漏洞库很少突出显示这一方面的内容，包括官方的CVE库，很多时候其作者也只是指的这条记录的“提交者”，而非“漏洞作者”。

第二件事情就不用说了，对于测试者来说，打通了漏洞和POC之间的桥梁。当然这件事不仅仅是CVEBASE在做，国内外各大安全厂商应该类似的事情，包括我们，只不过有些厂商并没有将自己的工作公布出来。

第三件事也是一个亮点，某些CVE漏洞公开后，我们可能仅仅从代码层面了解过，从没有在实战里遇到过；也有一些老的漏洞有类似的情况，特别是对于学生和部分甲方安全从业人员，由于没有一线工作经验，所以接触真实漏洞攻防的机会较少，等自己真的被某个漏洞日穿了再来关注这些漏洞就晚了一步。学习HackerOne公开的漏洞就是一个比较好的方法，CVEBASE打通了CVE漏洞和HackerOne的报告，这一点是我没想过的。

所以在做完了SaltStack环境后我就把它提交给了CVEBASE，官方的人员也很快与我建立了联系：

聊了聊各自的想法，我们发现Vulhub和CVEBASE其实存在一些共通和互补之处。对于在CVEBASE学习漏洞的同学来说，有时候找不到漏洞复现环境也是一件特别苦恼的事情，而Vulhub其实可以解决这个问题。

所以，这篇文章主要给国内的同学们介绍一下CVEBASE，让更多国内安全研究者能用上这个不错的平台；之后我也希望能更快地进行国际化相关工作，也让Vulhub被更多国际友人知道。

喜欢这篇文章，点个在看再走吧