wooyun镜像站还活着，镜像这件事本身就够魔幻的镜像。

我昨天凌晨三点点开那个熟悉的镜像域名，页面加载得有点慢，镜像但确实弹出来了。镜像漏洞列表还停在2016年，镜像像被冻住的镜像时间胶囊。有个提交者叫“路人甲”，镜像报告的镜像是某电商平台的越权漏洞，细节写得比产品文档还清楚——URL参数怎么改，镜像返回包长什么样，镜像影响范围多大。镜像底下管理员回复：“已确认，镜像正在修复。镜像”然后就再也没有然后了。镜像

这网站死了七年，又活了。准确说，是被人用爬虫抓了全站数据，重新搭了个静态镜像。没有登录功能，没有提交入口，只有几万条漏洞报告安安静静躺在那里，像一座数字坟场。

我翻到一条2015年的SQL注入报告，目标是一家银行。提交者备注：“测试时只用了sleep(0.1)，没造成实际影响。”语气平淡得不像在说一次可能泄露几百万用户数据的攻击。那时候的wooyun，聚集了一群把“挖洞”当解谜游戏的人。他们不卖漏洞，不黑产，就为了在厂商后台留一句“已证明，请修复”。有个ID叫“黑猫”的，专门挖路由器漏洞，报告里附了手绘的报文流程图，字迹潦草但逻辑清晰。这种人在今天的SRC平台里几乎绝迹了——现在谁还免费给厂商报漏洞？一个高危能换几千块，拿去众测平台挂单更划算。

镜像站里最扎眼的是那些“厂商已忽略”的标签。某政务网站的命令执行漏洞，挂了两年没人理，提交者最后更新：“已过厂商默认修复期，建议公开。”这条报告下方没有管理员回复，只有后来者留言：“来考古了，2023年这个站居然还能查。”

我试着搜了一个2014年的老漏洞——某CMS的任意文件上传。点开详情页，PoC代码还在，用的是php一句话木马。放到今天，这种漏洞连新手练习靶场都不屑于收录。但当年wooyun正是靠这类“基础操作”逼着无数小厂商补上了第一道安全防线。那时候很多公司的安全负责人，上班第一件事就是刷wooyun，看有没有自家产品被挂出来。

镜像站没有搜索框，只能靠浏览器Ctrl+F硬翻。我花了半小时找到了那个著名的“香蕉皮”事件——某厂商在漏洞公开后反咬白帽子，说“这是恶意攻击”。当时wooyun的社区板块吵了几百楼，最后是创始人出来表态：“安全研究者的价值在于发现，而非隐瞒。”那条帖子的链接现在点进去是404，但镜像站里存了快照，连当时的骂战都原封不动保存着。

你问这镜像站有什么意义？它不产生新内容，没有活跃用户，连服务器都是靠捐赠维持的。但每次打开它，我都能想起互联网安全圈那个野蛮生长的年代——没有那么多合规流程，没有漏洞赏金排名，一群技术爱好者用最原始的方式，把“安全”两个字从厂商的PPT里拽到了现实世界。现在的大厂SRC平台界面精美，流程规范，但漏洞报告里全是“建议加强输入校验”这种废话。wooyun镜像站里的报告，字里行间透着一股“老子就是找着了你能咋地”的劲儿。

凌晨四点，我关掉页面。屏幕上最后一行字是某条漏洞的修复时间：“2016-03-12”。那天是植树节。这镜像站大概也算一棵树，种在互联网安全史的荒原上，没人浇水，但根扎得比谁都深。

(责任编辑：休闲)