去年十一月，系统我帮一个做外贸的漏洞朋友查他的独立站为什么被谷歌降权。翻完服务器日志，网站发现一个诡异的系统规律：每天凌晨三点左右，总有几十个来自不同IP的漏洞请求，精准地访问他网站后台的网站登录接口，而且每次都在尝试不同的系统用户名组合。这不是漏洞普通爬虫，是网站有人在用自动化工具扫他的后台。

他听完愣了一下，系统说：“我这破站也有人盯？漏洞”

有。而且盯上他的网站那套工具，大概率就来自某个“系统漏洞网站”。系统

这些网站到底在干什么

系统漏洞网站，漏洞说白了就是网站专门收集、整理、发布各类软件和系统安全漏洞的平台。国外的像Exploit-DB、Packet Storm，国内的像乌云（已关闭）、漏洞盒子，还有一些小众的论坛和Telegram频道。它们的存在本身不违法——安全研究者需要这些信息来修补漏洞，企业安全团队也靠它们做威胁情报。

问题出在“谁在看”和“看了之后干什么”。

我那个朋友的网站用的是某款开源CMS，版本号停留在两年前。而Exploit-DB上，关于这个版本的一个SQL注入漏洞，早在一年半前就公开了，附带完整的利用代码。任何人都能下载那段代码，改个目标URL，跑起来就能尝试拖库。扫他后台的那些请求，特征和这段代码的默认行为几乎一模一样。

换句话说，有人从漏洞网站上拿到了“钥匙”，然后挨个试锁。我朋友的站只是被随机扫到的其中一个。

漏洞公开的时间差才是真正的杀伤力

这里有个很多人忽略的细节：从漏洞被发现到被公开，中间通常有一段“负责任披露”期。发现者会先通知厂商，给厂商留出修复时间，然后再公开细节。这个周期一般是90天，谷歌的Project Zero就是这么干的。

但现实是，很多中小厂商根本跟不上这个节奏。90天到了，补丁没出，漏洞细节照样公开。攻击者拿到信息，而大量用户还蒙在鼓里。我朋友那个CMS的开发商是个三人小团队，最后一个版本更新停在2022年夏天。他们大概连漏洞报告都没看过。

更麻烦的是，漏洞网站上的信息是“永久存档”的。一个2019年的漏洞，到2024年依然有人拿来扫站。因为总有人不升级，总有人用旧版本。攻击成本几乎为零，收益却可能不小——哪怕只是拿到一批用户邮箱，也能在黑市上卖钱。

我看到的另一个侧面

接触多了之后，我发现系统漏洞网站其实分两种气质。一种偏学术，漏洞描述写得像论文，附带着CVSS评分和修复建议，读者主要是安全从业者。另一种偏实战，标题直接写“XX系统前台RCE”，内容就是一段能直接跑的Python脚本，评论区里有人问“实测可用吗”，有人回“刚试了，稳”。

后一种网站，流量往往更大。

有个做安全运维的朋友跟我说过一句话：“我们每天的工作，就是在漏洞网站上看别人怎么打我们。”他所在的公司有一套内部系统，用的框架比较冷门，结果某天在某个漏洞论坛上看到了针对这个框架的分析帖。发帖人是个白帽，但帖子下面跟了几十条回复，有人在问“有没有批量利用工具”。他当天晚上就拉着开发团队连夜打了补丁。

这事让我意识到，漏洞网站更像一面镜子。它照出的是整个软件生态的参差不齐——有人认真修，有人懒得修，有人根本不知道要修。而攻击者只需要找到那个“不知道要修”的节点，就能撬开一个口子。

至于我那个朋友，后来我帮他把CMS换成了维护活跃的版本，后台登录加了双因素认证，服务器日志也接入了告警。凌晨三点的那些请求，慢慢就消失了。但我知道，它们只是转移到了下一个目标。