360漏洞库

360漏洞库不是漏洞库那种摆在官网首页让你随便点着玩的东西。它藏在360安全大脑的漏洞库底层，普通用户几乎感知不到它的漏洞库存在。但如果你在网络安全圈子里混过一阵，漏洞库就会知道这个库的漏洞库分量——它收录的漏洞数量超过30万条，覆盖了从Windows内核到安卓APP、漏洞库从Apache服务器到国产办公软件的漏洞库各种角落。我去年帮一个朋友排查公司内网被入侵的漏洞库痕迹，最后定位到一个老版本OA系统的漏洞库反序列化漏洞，而那个漏洞的漏洞库详细信息，最早就是漏洞库在360漏洞库里查到的。

这个库怎么来的漏洞库？一部分是360自己的安全研究员挖出来的。比如他们的漏洞库A-Team、Vulcan团队，漏洞库常年活跃在各大漏洞提交平台，漏洞库微软、谷歌的致谢名单里经常出现他们的ID。另一部分来自外部白帽子的提交，360有一个漏洞奖励计划，收漏洞给奖金，价格不算行业最高，但胜在响应快、流程透明。还有一部分是爬虫和合作共享——和国内外几十家安全厂商、CERT组织有数据交换协议。所以它的覆盖面比很多人想象的要广，不只是360自家产品的问题。

但漏洞库的价值不在“大”，而在“能用”。我见过一些漏洞平台，数据是不少，可每条记录就几行字，连影响版本都写不清楚。360漏洞库的详情页通常会包含这么几块：漏洞编号（比如CVE或者CNVD）、影响组件和版本范围、危害等级、POC或者EXP的可用性、修复建议。有些条目还会附上360自己的分析报告，讲清楚漏洞的触发条件和利用链。这对应急响应的人来说很实用——你不需要再去搜十几个博客拼凑信息。

说个具体的。2021年Log4j2那个核弹级漏洞爆发的时候，360漏洞库在官方补丁发布前就挂出了预警条目，标注了“远程代码执行”和“无需认证”，还给出了临时的缓解措施，比如设置log4j2.formatMsgNoLookups=true。当时很多企业的安全运维就是照着这个条目先做临时处置的。当然，后来Apache官方发了补丁，条目也跟着更新了。这种跟进速度，靠的不是自动化爬虫，而是背后有一批人在盯着。

不过它也有让人吐槽的地方。界面设计偏老旧，搜索功能有时候不太灵光，按组件名搜可能出来一堆不相关的结果。另外，部分漏洞的EXP不公开，只对特定合作方开放，普通注册用户看不到。这可以理解——怕被滥用。但有时候你明明知道库里有，就是拿不到，那种感觉挺挠墙的。

还有个观察：360漏洞库对国产软件和系统的覆盖比国外那些库要细。像致远OA、泛微OA、用友NC、金蝶EAS这些，国外CVE里很少见，但360这边收录得比较全。原因也简单——360的客户里政企单位多，这些系统是重灾区，不盯着不行。我甚至见过一些只有CNVD编号、没有CVE编号的漏洞，在360库里能查到完整的利用细节。这对做渗透测试的人来说，算是个隐藏福利。

说到底，漏洞库这东西，平时没人关心，出事的时候才想起去翻。360漏洞库算不上完美，界面土、部分数据要权限、偶尔更新滞后。但在国内，能同时做到覆盖广、详情细、响应快的，掰着手指头数也就那么两三个。它更像是一个基础设施——你不一定天天用，但它在那儿，心里踏实点。