漏洞买卖

凌晨三点，漏洞买卖某安全论坛的漏洞买卖私信列表里躺着一串十六进制字符串。发信人没留名字，漏洞买卖只附了句“Apache 0day，漏洞买卖现货，漏洞买卖五万刀，漏洞买卖先验货后付款”。漏洞买卖我盯着屏幕抽了半根烟，漏洞买卖最后把聊天记录截图存进加密文件夹。漏洞买卖这不是漏洞买卖我第一次撞见漏洞买卖，但每次撞见，漏洞买卖后背都会发凉。漏洞买卖

漏洞这东西，漏洞买卖黑市里的漏洞买卖定价比菜市场还讲究。远程代码执行最贵，漏洞买卖能直接拿服务器权限的，单子能开到六位数美元。权限提升和敏感信息泄露次之，但也够在二三线城市付个首付。真正让我头皮发麻的不是价格，是交易流程——买家先付三成定金，卖家发漏洞详情，买家验证通过后付尾款。整个过程像极了二手房交易，只不过交割的不是房产证，是一串能让整个互联网裸奔的代码。

有个朋友在安全公司做渗透测试，上个月接了个私活。甲方是家做智能门锁的厂商，产品被曝出能用手机蓝牙直接开锁。朋友花了三天复现漏洞，发现是加密协议里用了固定密钥。他本来想走正规渠道提交给厂商，结果厂商的SRC平台挂了两个月，漏洞报告石沉大海。后来有人通过第三方联系他，说愿意出八千块买这个漏洞细节，用途是“研究”。朋友犹豫了一晚上，最后还是没卖。“八千块够我换台新电脑，但要是这漏洞被拿去批量开锁，我后半辈子睡觉都得睁只眼。”

漏洞买卖最魔幻的地方在于，卖的人未必缺钱，买的人未必缺技术。去年有个高中生，在GitHub上发现某开源框架的SQL注入漏洞，本来想写篇技术博客赚点名气。结果私信里突然冒出好几个“安全研究员”，开口就是“兄弟，漏洞详情出不出？价格好商量”。那孩子后来跟我说，他第一次意识到，自己花两周写出来的代码审计报告，在别人眼里就是印钞机。

更讽刺的是监管的灰色地带。国内《网络安全法》明文规定，未经授权出售漏洞属于违法，但跨境交易几乎处于真空状态。有个专门做漏洞经纪的中间人跟我聊过，他的客户一半是各国的“网络部队”，另一半是搞黑产的团伙。两边都付美元，都要求匿名，唯一的区别是前者会问一句“有没有附带利用工具”，后者直接甩钱包年。

我见过最离谱的一单，是个卖家用友ERP系统漏洞的。那个漏洞能直接拖出企业财务数据库，开价三十万。买家验货后要求加个“后门”，说以后想随时查看数据。卖家拒绝了，理由不是道德感，而是“加后门容易被查出来，影响我下一单生意”。你看，在黑市里，连作恶都讲究长期主义。

说到底，漏洞买卖是场零和博弈。你卖掉的每一个0day，都可能变成某个医院系统被勒索的入场券，或者某个城市电网被切断的导火索。但真正让我觉得无力的，是很多人把这事看得太轻——觉得“我又没直接攻击谁，只是卖个信息”。可你永远不知道，买家拿到漏洞后，会把它用在哪个无辜的人身上。

写这篇文章前，我又看了眼那个加密文件夹。十六进制字符串还在，发信人再没上线。我把它彻底删了，然后给一个做漏洞挖掘的朋友发了条微信：“最近手头有没提交的漏洞？走正规渠道吧，别嫌流程慢。”他回了个“嗯”，隔了五分钟又补了句：“其实我也知道，但有时候，正规渠道比黑市还让人寒心。”

这话我接不上。毕竟在这个行业里，最贵的从来不是漏洞本身，而是你面对诱惑时，还能不能守住那条看不见的线。