wooyun漏洞
wooyun漏洞
2016年7月20日，乌云网首页变成了一则公告。漏洞没有倒计时，漏洞没有告别信，漏洞就一行字：“乌云及相关服务将进行升级。漏洞” 那天晚上我在一个安全群里，漏洞有人发了张截图，漏洞说“乌云没了”。漏洞群里安静了几秒，漏洞然后消息开始刷屏——有人骂，漏洞有人发蜡烛，漏洞有人翻出自己提交的漏洞第一个漏洞编号。我当时手里正开着乌云的漏洞漏洞列表页，刷新了两下，漏洞还是漏洞那个公告。
乌云之前，国内白帽子提交漏洞的地方很散。补天算一个，但补天更偏向企业侧，厂商入驻、确认、修复，流程规整得像工单系统。乌云不一样。它更像一个论坛，一个带审核机制的、公开的漏洞披露平台。你提交一个漏洞，审核通过后，厂商会收到通知，其他白帽子能看到标题和简要描述。厂商修不修、什么时候修，乌云会标状态：已确认、已修复、厂商忽略。这套机制在当年是独一份的。
我印象最深的是2014年携程那个漏洞。一个白帽子在乌云上提交了携程某处配置不当，导致用户支付信息可被读取。具体细节我记不清了，但记得携程反应很快，几小时内就修了。这件事后来被媒体报了，乌云第一次以“漏洞披露平台”的身份进入大众视野。再后来是12306，是小米，是各种你叫得上名字的互联网公司。乌云的漏洞列表像一面镜子，照出国内互联网公司安全建设的真实水位——有的公司响应快、态度好，有的公司直接回一句“忽略”，然后在评论区跟白帽子对骂。
乌云的社区氛围很特别。你提交一个漏洞，如果质量高，会收到“乌云币”和rank值。rank值高了，你在圈子里说话就有分量。那时候很多白帽子白天上班，晚上刷乌云，看到新漏洞就试着复现。有人专门盯着某家厂商，一有新业务上线就去测，测出来就提交。这种自发的、带点竞技性质的漏洞挖掘，在乌云之前没有，在乌云之后也没再出现过。
“乌云关闭那天，我把自己提交过的漏洞列表截了个图。一共37个，最低rank 2，最高rank 12。现在那些截图还在我硬盘里。”
乌云关站的原因，官方说法是“升级”，但圈内人都知道没那么简单。那几年《网络安全法》还没出台，漏洞披露的边界很模糊。厂商觉得你公开漏洞是敲诈，白帽子觉得我帮你发现问题你还不领情。乌云夹在中间，既要保护白帽子，又要给厂商交代。2016年那波关停，据说跟某次敏感漏洞披露有关，具体是什么，没人敢说，也没人说得清。
后来补天还在，各大厂商自己搞了SRC，漏洞提交渠道越来越多，但再没有一个地方像乌云那样——公开、透明、带点江湖气。你在补天提交漏洞，厂商确认了，你拿积分换礼品。在乌云提交漏洞，厂商确认了，评论区会有人喊“666”，有人追问细节，有人@厂商出来挨打。那是种完全不同的体验。
现在偶尔还能在GitHub上看到有人备份的乌云漏洞库，几万条数据，压缩包几十个G。我下载过一次，解压后翻了翻，很多漏洞的细节描述写得极其认真，有截图、有PoC、有修复建议。那些文字背后是一个个活生生的白帽子，在深夜对着屏幕，一行行敲出来的。他们可能没想到，自己写的东西有一天会变成历史档案。
乌云没了，但“wooyun漏洞”这五个字还在很多人的收藏夹里。偶尔有人发一条朋友圈，配一张乌云首页的旧截图，底下评论清一色：“爷青结。”
```(责任编辑：焦点)
