漏洞盒子

2016年春天，漏洞盒我蹲在安全圈一个私下聚会的漏洞盒角落里，听一个ID叫“黑洞”的漏洞盒家伙讲他怎么用一份PDF就把某省级政务系统的大门撬开了。他说得眉飞色舞，漏洞盒旁边几个大厂安全负责人脸色铁青。漏洞盒那是漏洞盒我第一次听说“漏洞盒子”这个名字——不是作为平台，而是漏洞盒作为一群人交换漏洞情报的暗语。

漏洞盒子最早那批用户，漏洞盒几乎都是漏洞盒从乌云社区流亡过来的。乌云2016年7月关停那天，漏洞盒论坛里哀鸿遍野，漏洞盒有人发帖说“以后去哪交漏洞”，漏洞盒底下跟了几百条。漏洞盒两周后，漏洞盒漏洞盒子悄悄上线了测试版，漏洞盒界面简陋得像个人博客，注册还要邀请码。我当时搞到一个码，进去一看，首页挂了不到二十个漏洞，但每个都有详细的复现步骤和修复建议，比乌云后期那些灌水报告扎实得多。

这个平台最狠的一点，是把漏洞披露做成了“众包生意”。企业发布悬赏，白帽子提交漏洞，平台抽成。听起来简单，但执行起来全是坑。2017年有个电商平台挂出单个高危漏洞两万块的赏金，结果三天内收到四十多份报告，其中三十份是同一个SQL注入点的不同变种。漏洞盒子的审核团队熬了两个通宵去重，最后只认了最早提交的那份。这事在圈里吵了很久，有人说平台规则不透明，有人说白帽子内卷活该。我倒是觉得，这种混乱恰恰是真实安全生态的缩影——漏洞从来不是稀缺品，稀缺的是发现漏洞的时机和角度。

我认识一个在杭州做渗透测试的小伙子，ID叫“韭菜”。他2018年全年在漏洞盒子上提交了217个有效漏洞，赚了大概十八万。但他跟我说，最值钱的不是钱，是平台给他积累的“信用分”。有家银行招安全工程师，HR直接问他漏洞盒子ID是什么，一看排名前五十，面试都没怎么问技术细节就发了offer。这种信用体系比什么CISP证书管用多了，因为每个漏洞都有时间戳、有复现记录、有厂商确认，造不了假。

不过漏洞盒子也有它尴尬的地方。2020年之后，大厂纷纷自建SRC，赏金给得比平台高，很多顶级白帽子被挖走了。漏洞盒子上剩下的，要么是刚入门的新人，要么是专门盯着中小企业的“游击队”。我去年在上面看到一个漏洞，某地级市医院的挂号系统，数据库直接暴露在公网，三万多条患者信息随便下载。提交者是个职高学生，他说自己只是用手机浏览器乱点发现的。厂商修复后给了五百块赏金，学生还挺高兴。我看着那个漏洞详情页，心里说不清是什么滋味——这么严重的问题，在平台上的标价还不如一顿火锅。

平台后来搞了个“公益SRC”专区，专门收那些没有赏金、但影响公共利益的漏洞。比如学校官网、社区管理系统、小企业的OA。这个专区没什么流量，但我觉得才是漏洞盒子最该坚持的方向。商业赏金养活了平台，可真正暴露社会数字化底座的裂缝的，往往是这些没人愿意掏钱修的地方。

上个月我登进去看了一眼，首页推荐位挂着一个“某新能源车企车联网漏洞”的悬赏，标价五万。底下评论区有人问“能不能远程开车门”，楼主回了个“自己试”。我关掉页面，想起2016年那个叫“黑洞”的家伙说的话：“漏洞盒子就是个菜市场，有人卖白菜，有人卖军火，但至少大家都在同一个屋檐下讨价还价。”六年过去了，菜市场还在，只是摊主换了一茬又一茬。