一个补丁卖两毛五，漏洞包邮还包邮。漏洞包邮这不是漏洞包邮段子，是漏洞包邮暗网论坛里真实挂着的价目表。上周我蹲点某个漏洞交易板块，漏洞包邮看到有人把某国产路由器固件的漏洞包邮远程溢出漏洞标价0.25美元，底下备注写着“买五送一，漏洞包邮支持批量”。漏洞包邮

你没看错，漏洞包邮比菜市场收摊前的漏洞包邮白菜还便宜。卖家甚至贴心地附了演示视频——三行Python脚本，漏洞包邮连上目标IP，漏洞包邮回车，漏洞包邮路由器管理界面弹出来了。漏洞包邮评论区有人问“能刷OpenWrt吗”，漏洞包邮卖家回“随意，别用来搞诈骗就行”。

这事让我想起去年采访过的一个白帽。他叫老周，在杭州一家安全公司做渗透测试。老周说现在挖漏洞就像开盲盒，大厂SRC（安全响应中心）给钱爽快，一个高危能换台MacBook。但更多中小厂商的漏洞，要么被无视，要么被压价到几百块。“有个做智能门锁的厂家，我报了个能远程开锁的洞，他们运营回我一句‘已收到，感谢反馈’，然后就没下文了。”老周后来把漏洞细节发在个人博客，阅读量还没他晒猫的照片高。

暗网上的低价漏洞，多半来自这些被冷落的角落。厂商不修，白帽懒得跟，最后流到黑市，成了“包邮”商品。买的人也不全是黑客——我见过一个做跨境电商的卖家，花50美元买了三个Shopify插件的漏洞，自己写脚本批量扫描竞争对手的店铺。“不干别的，就给他们首页挂个弹窗，写着‘你家客服是机器人’。”他跟我说这话时，语气像在分享薅羊毛攻略。

更魔幻的是售后。有个漏洞卖家在商品描述里写“包教包会，学不会退全款”，还附了微信群二维码。群里两百多人，每天有人问“今天有新的0day吗”，卖家偶尔甩个链接出来，配文“刚挖的，热乎”。有人抱怨“上次买的那个洞，目标站已经打不开了”，卖家秒回“那你运气不好，补丁比你先到”。

这种生态背后是安全行业的畸形定价。大厂漏洞奖金动辄上万，小厂连个像样的SRC都没有。某次安全会议上，一个厂商代表说“我们产品利润薄，修漏洞要排期”，台下有人小声接话“利润薄你还敢卖联网设备”。全场笑了，笑完又沉默——因为大家都知道，那些没修的漏洞，最后都变成了暗网上的“包邮商品”。

老周上个月辞职了，转行去卖保险。临走前他跟我说：“以前觉得挖洞能改变世界，现在发现世界只关心包不包邮。”他桌上还摆着那本《Web安全深度剖析》，书脊裂了，用透明胶粘着。我翻了两页，里面夹着一张便签，写着某厂商漏洞提交编号，后面画了个问号。

那个问号大概永远不会有答案了。就像暗网上那些两毛五的漏洞，卖出去之后，谁在乎它会不会被用来干坏事？卖家只关心“包邮”，买家只关心“能用”。至于厂商——他们可能正在开会讨论下一款产品的“安全卖点”。