freebuf网络安全行业门户

FreeBuf 最狠的络安地方，是全行它把“漏洞”变成了可读的新闻。2008 年上线那会儿，业门国内安全圈的络安信息还散落在 BBS 和邮件列表里，一个 XSS 漏洞的全行 PoC 可能躺在某个人的硬盘里半年没人知道。FreeBuf 干的业门事很简单：让研究员把东西写出来，让企业安全负责人能看懂，络安让刚入行的全行人知道昨天又出了什么幺蛾子。

我翻过它早期的业门文章，排版糙，络安错别字不少，全行但信息密度高得吓人。业门2014 年心脏出血漏洞爆发那天，络安FreeBuf 的全行编辑凌晨三点在群里喊人翻译 OpenSSL 的补丁分析，早上七点文章就挂出来了。业门这种反应速度在当时的国内安全媒体里找不出第二家。后来很多乙方安全厂商的市场部养成了一个习惯：出大事先看 FreeBuf 怎么写的，再决定自己公众号跟不跟。

它的内容分几个块。漏洞预警那块最实在，CVE 编号、影响版本、临时缓解措施，三行字说清楚，不绕弯子。安全资讯偏行业动态，哪家厂商融资了，哪个政策落地了，编辑会加一句自己的判断，有时候这句话比正文还值钱。技术文章质量参差不齐，有干货也有软文，但读者不傻，评论区经常比原文精彩。有个老哥在 FreeBuf 评论区指出某篇分析里的逻辑错误，作者第二天专门发了一篇勘误，这种事在别的平台少见。

FreeBuf 的商业模式也值得说。早期靠广告和厂商投稿活着，后来搞了 FreeBuf 智库、企业会员、安全培训。2017 年被斗象科技收了，斗象本身做漏洞盒子，两边一合并，FreeBuf 从媒体变成了“媒体+社区+数据”的混合体。这个转变有争议。有老用户抱怨首页软文变多了，标题党也多了，什么“震惊”“速看”这种词开始出现在安全文章里。但另一面，FreeBuf 靠商业收入养活了编辑团队，不用像某些小站那样靠爱发电然后突然关停。

我印象最深的是一个细节。2019 年某次大型攻防演练期间，FreeBuf 的编辑在文章里放了一张微信聊天截图，打码没打干净，泄露了某安全厂商员工的真实姓名和手机号。评论区炸了，有人骂编辑不专业，有人直接打电话过去骚扰。FreeBuf 两小时内删文道歉，但截图已经被转得到处都是。这事暴露了一个问题：安全媒体自己也可能成为安全漏洞的制造者。后来他们内部加了一条规矩，所有截图必须过两遍审核。

现在 FreeBuf 的日活比不上巅峰期，但它在安全圈的位置很难被替代。知乎上有人问“安全入门看什么”，高赞回答里一定有 FreeBuf。它的 RSS 订阅数还是国内安全媒体里最高的。编辑团队换了几拨人，风格从早期的“极客直男”变成了现在的“稍微收敛的极客直男”。偶尔还能看到那种一句话新闻，比如“某国产浏览器被曝明文存储用户密码”，正文就三行，但底下评论能吵两百楼。

安全行业本身在变。以前 FreeBuf 的读者主要是技术岗，现在多了很多合规、风控、甚至法务的人来看。文章标题里“等保”“数据安全法”“关基”出现的频率越来越高。这是好事也是坏事。好事是行业盘子大了，坏事是纯粹的技术讨论容易被淹没在政策解读里。FreeBuf 试过做英文站，没做起来，老外不看中国安全媒体，就像中国人不看印度安全媒体一样，圈子壁垒比想象中厚。

最后说一句实在的。如果你刚入行安全，把 FreeBuf 过去五年的漏洞分析翻一遍，比看十本教材管用。但别全信，它也有翻车的时候。2021 年某篇关于 Log4j2 的应急指南里，推荐的临时方案后来被证明会引入新问题，文章虽然更新了，但最早那批照着做的企业已经踩了坑。安全媒体和漏洞本身一样，都有时效性，也有局限性。