漏洞利用数据库

2017年4月，漏洞利用一个叫Shadow Brokers的数据组织把NSA的“永恒之蓝”漏洞利用工具丢到了网上。几周后，漏洞利用WannaCry勒索病毒横扫150个国家，数据英国NHS的漏洞利用医院系统瘫痪，手术取消，数据病人被拒之门外。漏洞利用这件事暴露了一个冷冰冰的数据现实：漏洞利用代码一旦流出，破坏力不亚于武器。漏洞利用

《漏洞利用数据库》（Exploit Database，数据简称Exploit-DB）就是漏洞利用在这种背景下被更多人注意到的。它由Offensive Security维护——对，数据就是漏洞利用做Kali Linux那帮人。这个数据库从2004年开始运行，数据到2024年已经收录了超过四万条漏洞利用条目。漏洞利用每条记录包含漏洞编号（CVE或OSVDB）、受影响的软件版本、利用代码，有时还有验证截图。

说白了，它就是个公开的漏洞武器库。任何注册用户都能下载利用脚本。有人觉得这太危险，但安全研究员不这么看。渗透测试人员需要它来验证客户系统是否存在已知漏洞——你总不能跟客户说“理论上你这里有个洞”就收钱吧？

我翻过一些Exploit-DB上的条目，质量参差不齐。有些是精心编写的Python脚本，带参数解析和错误处理；有些就是一段粗糙的Perl代码，注释里还留着作者调试时的抱怨。有个针对某款国产路由器的利用脚本，作者在注释里写了句“这破固件居然不检查长度”，挺真实的。

数据库的搜索功能做得不算精致。按CVE编号搜最准，按软件名搜经常出来一堆不相关的东西。有次我想找Apache Struts2的某个RCE利用，搜“struts”出来两百多条，得手动翻。但它的筛选条件还算实用——可以按平台（Windows/Linux/Web）、按类型（远程/本地/DoS）、按年份过滤。

真正让Exploit-DB有价值的，是它和NVD（美国国家漏洞数据库）的互补关系。NVD告诉你漏洞长什么样、影响范围多大，但不给你利用代码。Exploit-DB反过来——它不关心漏洞的CVSS评分，只关心怎么打进去。做应急响应的人常干一件事：拿到一个CVE编号，先去Exploit-DB搜有没有现成利用，有的话就按那个复现攻击路径，看日志里该找什么特征。

不过它也有明显的局限。很多0day不会出现在上面——人家留着卖钱或者自用。商业漏洞平台Zerodium、Pwn2Own的参赛作品，更不可能公开。所以Exploit-DB更像是个“已披露漏洞的利用存档”，而不是实时威胁情报源。

还有个问题：老旧的利用代码在新版本系统上经常跑不起来。一个2010年的Windows本地提权exp，放到Windows 11上编译都过不了。但这不意味着没用——攻击者会拿它改，安全研究员会拿它学思路。漏洞利用这件事，核心逻辑往往比具体代码更持久。

我认识一个做红队的朋友，他电脑里存了Exploit-DB的离线镜像。有次客户内网完全隔离，他硬是靠翻这个库找到了一个针对旧版JBoss的利用，拿下了第一台跳板机。他说了句话我印象很深：“这玩意儿就像一本旧地图，路可能改了，但地形的大致走向还在。”

Offensive Security每年会从数据库里挑一些利用代码，打包进Kali Linux的“exploitdb”工具包。你可以在终端里敲“searchsploit 关键词”直接搜，不用开浏览器。这个设计挺聪明——渗透测试时你本来就在命令行里，切来切去反而分心。

数据库本身也出过争议。2018年，有人上传了一个针对某款医疗设备的利用代码，厂商抗议说这会危及患者安全。Offensive Security的回应是：漏洞已经公开披露了，我们只是收录利用方式。这个立场在安全社区里一直有争论，但至今没变。

说到底，Exploit-DB是个工具。工具本身没有善恶，看谁用、怎么用。它让漏洞利用知识不再被少数人垄断，这既是好事也是风险。WannaCry的教训不是“不该公开利用代码”，而是“该打补丁的时候别拖”。