漏洞多少钱

漏洞多少钱？漏洞在暗网市场，一个能远程控制iPhone的多少零日漏洞，标价两百万美元起。漏洞这不是多少我瞎编的，是漏洞安全公司Zerodium在官网明码标价挂着的。他们收购漏洞，多少转手卖给政府机构，漏洞中间的多少差价就是利润。

但散户市场完全是漏洞另一回事。上个月有个朋友的多少公司被勒索软件打了，黑客要价三个比特币，漏洞约合人民币二十万。多少朋友问我，漏洞能不能找人把漏洞堵上，多少省下这笔钱。漏洞我找了两个做安全的老手，报价十五万，说是不保证能完全修复，只能尽量加固。朋友犹豫半天，最后交了赎金。

你看，漏洞的价格不是由技术难度决定的，而是由使用场景决定的。同样一个SQL注入漏洞，放在一个十八线小公司的官网后台，可能只值几百块——黑产拿去挂个赌博页面，赚点流量费。但同一个漏洞如果出现在某银行的手机App里，价格直接翻几百倍，因为能转账，能薅羊毛，能洗钱。

还有个更魔幻的定价逻辑：漏洞在“黑市”和“白市”的价格能差出十倍。白市指的是各大厂商的漏洞赏金计划，微软给一个严重级别的漏洞最高奖励二十五万美元，苹果也差不多这个数。但同一个漏洞卖给中间商，转手给情报机构，价格能到一百五十万美元。中间商赚的就是信息差的钱——他们知道哪个机构急需什么样的攻击能力，而厂商往往只愿意为“修复”付钱，不愿意为“利用”付钱。

这里头有个灰色地带的悖论：漏洞的“价值”在于它没被修复。一旦你把它交给厂商，它就从“武器”变成了“废铁”。所以很多独立研究员宁可把漏洞卖给中间商，也不愿意走赏金计划——不是他们不爱国，是价差实在太大。我认识一个白帽子，去年挖到个浏览器漏洞，交给厂商拿了八万美金，后来发现同一漏洞在暗网被标价六十万。他说自己像是把彩票撕了去换了一包烟。

不过，漏洞的价格也在崩盘。随着自动化扫描工具越来越普及，一些基础漏洞的报价从五年前的几百块跌到了几十块。反而是那些需要人类智慧、逻辑推理才能发现的逻辑漏洞，价格一直坚挺。比如去年有个支付平台的活动漏洞，能无限领优惠券，被黑产以一万块的价格收购，结果黑产用这个漏洞薅了平台三百多万。

说到底，漏洞多少钱这个问题，本质上是问：你愿意为“知道别人不知道的东西”付多少钱？安全行业的人常说，漏洞是数字时代的石油。但石油有国际油价，漏洞没有。它更像古董——同一个花瓶，在乡下地摊上可能卖五十块，在苏富比拍卖行能拍出几千万。区别在于，你知不知道谁在急着买它。

现在你问我漏洞多少钱，我只能告诉你：如果它是公开的，一文不值；如果它是秘密的，那它的价格取决于——你有多害怕它被人知道。