乌云公开漏洞知识库搜索

2023年夏天，公开一个叫“乌云”的漏洞网站突然无法访问。很多安全圈的知识人第一反应是“又被墙了”，但很快有人发现，库搜域名解析还在，公开服务器却没了响应。漏洞这个曾经号称“中国最大漏洞报告平台”的知识地方，就这样悄无声息地消失了。库搜它留下的公开，是漏洞一个超过十万条漏洞记录的数据库，以及一个至今还在被反复讨论的知识问题：公开漏洞知识库，到底该不该存在？库搜

乌云的核心玩法很简单。白帽子提交漏洞，公开厂商确认后修复，漏洞平台公开细节。知识这套机制在2010年到2016年间运转得相当不错。我认识一个早期用户，他当时在一家电商公司做运维，每天上班第一件事就是刷乌云“最新公开”列表。他说那时候看到自家系统被挂上去，血压直接拉满，但修完漏洞后确实踏实。这种“被公开倒逼修复”的逻辑，是乌云最引以为傲的资本。

但问题也出在这里。漏洞细节一旦公开，攻击者同样能看到。2015年乌云曝出某运营商漏洞，涉及大量用户数据，修复窗口期内黑产已经拿着公开的PoC开始扫全网。厂商骂乌云“帮凶”，白帽子觉得委屈——“我们只是把问题摆到台面上”。这种矛盾在乌云关停前一年变得格外尖锐，几乎每次重大漏洞公开都会引发一轮骂战。

从技术角度看，乌云的数据库本身是个宝藏。它记录了漏洞类型、影响范围、利用方式，甚至还有厂商的修复响应时间。我翻过一些存档页面，发现2014年某开源CMS的SQL注入漏洞，从提交到公开用了47天，厂商补丁却拖了三个月。这种数据如果还在，对研究漏洞生命周期极有价值。可惜关停后，这些记录散落在各种镜像和私人备份里，完整度大打折扣。

有人拿乌云和国外的Exploit-DB、CVE做对比。CVE只给编号和描述，不公开利用代码；Exploit-DB公开PoC但偏向已修复漏洞。乌云卡在中间——它既想推动厂商修复，又想保留技术细节供研究。这种定位在理想环境下没问题，但国内厂商的安全响应水平参差不齐，很多中小公司根本没有应急团队。漏洞公开等于直接裸奔。

关停后，白帽子们去了哪里？一部分转战各大厂商自己的SRC，提交漏洞拿奖金，不再公开细节。另一部分去了国外平台，比如HackerOne。还有一小撮人，把乌云时期的漏洞整理成离线包，在私下流传。我试过找一份2016年的完整备份，最后只拿到一个压缩包，解压后缺了将近三成数据，很多页面只剩标题，内容全空。

这件事最让人别扭的地方在于：一个公开漏洞知识库的消失，并没有让漏洞变少。该爆的照样爆，该修的照样拖。乌云在的时候，至少还有个地方能查到某个系统出过什么问题。现在呢？厂商不说，平台不存，白帽子只能靠记忆和私聊。信息反而更不透明了。

当然，乌云自身也有硬伤。审核机制不严，出现过虚假漏洞和厂商公关删帖；法律边界模糊，多次被约谈。但把这些都算上，它的关停仍然是个损失。漏洞知识不该被垄断在厂商和安全公司手里，公开透明虽然有风险，但藏着掖着风险更大。至少对技术研究者来说，一个能查、能搜、能追溯的漏洞库，比十个“内部通报”有用得多。

现在偶尔还能看到有人问“乌云还会回来吗”。大概率不会了。但那些被它公开过的漏洞、被它逼着修过的系统、被它教会要看漏洞报告的人，都还在。知识库可以关，知识本身关不住。

很赞哦!（7）