漏洞公布网站

2024年3月，漏洞一名安全研究员在推特上发了条消息，公布说某款广泛使用的网站VPN客户端存在一个可以绕过认证的漏洞。他没有先联系厂商，漏洞而是公布直接把利用代码贴到了GitHub上。三小时后，网站该VPN厂商的漏洞股价跌了7%。这件事把漏洞公布网站推到了聚光灯下——它们到底在扮演什么角色？公布

漏洞公布网站不是新鲜事物。Bugtraq在1993年就出现了，网站那时候邮件列表还是漏洞主流。后来Full Disclosure、公布Exploit-DB、网站Packet Storm陆续冒出来。漏洞国内也有，公布比如乌云（已关闭）、网站Seebug、以及各种SRC平台。这些站点的共同点是：它们让漏洞信息流动起来，而不是被锁在厂商的保险柜里。

但流动的方式差别很大。有些站点走“负责任披露”路线——先通知厂商，给90天或更长时间修复，到期后再公开。Google的Project Zero就是这么干的，他们甚至把倒计时挂在官网上，谁都能看。另一些站点更激进，漏洞一拿到手就发，理由是“用户有权立刻知道风险”。这种做法争议极大，但支持者说，厂商拖延修复的代价不该由用户承担。

我观察到一个现象：漏洞公布网站上的信息质量参差不齐。Exploit-DB上的条目通常附带可运行的PoC代码，但有些代码根本跑不起来，或者只对特定版本有效。有次我照着某个CVE的PoC去测试，发现作者把目标端口写错了——这种低级错误在正经学术论文里很难想象，但在漏洞社区里大家似乎见怪不怪。有人会在评论区直接骂“垃圾PoC”，作者偶尔会回应“你自己改改不就行了”。这种粗糙的协作方式，反而让信息更新得很快。

另一个容易被忽略的点是：漏洞公布网站也是情报来源。攻击者会盯着新公布的漏洞，防御者同样会。2021年Log4j漏洞爆发时，Apache官方还没发补丁，GitHub上已经有人贴出了临时缓解措施。那些天，漏洞公布网站成了事实上的应急指挥中心。当然，攻击者也在看——有些勒索软件团伙专门写爬虫监控这些站点，一有新漏洞就自动化扫描。

法律风险一直悬在头上。美国DMCA第1201条禁止规避技术保护措施，但安全研究经常需要逆向工程。2015年，安全研究员Chris Soghoian因为公开了一个机场安检系统的漏洞，被国土安全部约谈。国内乌云关闭后，很多白帽子转到了企业SRC，但企业SRC的漏洞库不对外公开，普通用户根本看不到自己用的软件有没有问题。这其实是一种倒退——漏洞信息被私有化了。

我个人的判断是：漏洞公布网站的价值不在于“公布”本身，而在于它建立了一种压力机制。厂商知道漏洞迟早会被公开，所以不敢无限期拖延。用户知道漏洞存在，所以会主动更新。这种压力有时候会过头——比如某个小厂商的漏洞被公开后，产品直接下架，团队解散。但总体来看，没有这些网站，互联网的安全水位会低得多。

如果你现在去逛Exploit-DB，会发现最新条目里有一半是Web应用漏洞，另一半是物联网设备。物联网那块特别乱——很多设备的固件根本不提供更新，漏洞公开了也没用。这可能是漏洞公布网站下一个要面对的问题：当修复不可能时，公布还有什么意义？