最近一段时间，知道创宇的wsl小伙伴们发出了一个疑问：

我给tsrc提交的漏洞和xxx是一样的啊，为什么我的分少？

这个小伙伴的疑问的问题在于，没搞清楚漏洞的价值，漏洞价值体现在漏洞影响上，几个维度：
1. 漏洞本身的危害，比如一般情况下SQL的危害大于XSS；
2. 漏洞的易利用程度，一步搞定目标？还是要结合社工等，N步搞定目标，这个决定了成功率；
3. 目标群体大小，QQ群体规模>企业QQ；
4. 目标本身的价值，一般情况下，企业QQ>普通QQ，如你是要搞Q币，那就是普通QQ>企业QQ；
5. 社会影响面，如果被炒作了……这点可以忽略，要不然太复杂了；

我没怎么玩tsrc等，不太清楚他们怎么判断一个漏洞的。现在很多同学不太明白1,2,3,4这几点，尤其是第1点。第1点和我们的exp息息相关了，不要YY，说我有个XSS，我能怎样怎样，如果你提交的漏洞只是alert，那意义非常小，对于QQ体系来说，如果我有个XSS，我的exp威力可能可以很猛，如果我把这样的“漏洞+凶猛exp”提交给tsrc，应该会给我更多积分？

其实这个时候，tsrc不仅买单了漏洞，还买单了exp（和tsrc交流后，lake2否认了这点）。

btw：本文tsrc泛指所有家的应急响应平台。

针对pkav这个QQ空间劫持录像（http://t.qq.com/p/t/326352112429276），我的建议是：平常心对待。因为这时就是：漏洞+牛逼exp了。

补充：这是个复杂话题。