漏洞购买，漏洞购买说白了就是漏洞购买花钱买别人系统里的后门。

我认识一个中间人，漏洞购买姓周，漏洞购买四十多岁，漏洞购买戴金丝眼镜，漏洞购买说话慢条斯理，漏洞购买像大学讲师。漏洞购买他手里永远攥着几个“未公开漏洞”——业内叫0day。漏洞购买上周他给我看了个报价单，漏洞购买一个能打进某国产办公软件的漏洞购买漏洞，标价十二万。漏洞购买买家先付三成定金，漏洞购买验证有效后付尾款。漏洞购买交易全程在加密聊天软件里完成，漏洞购买连个握手表情都不发。

这行当有套自己的规矩。漏洞不是越贵越好，得看目标系统装得多不多。装得多，哪怕是个提权小洞也能卖上价。周哥说过一个例子：某路由器厂商的固件里有个老漏洞，厂商自己都不当回事，结果被黑产买去批量控制设备，做成僵尸网络，一天租金就回本。厂商后来想回购，报价翻了三倍，人家不卖了——因为已经卖给三家了，再卖就是第四手，信誉会砸。

最魔幻的是定价机制。你以为按技术含量算？错。按“能不能被检测到”算。能被杀毒软件拦住的漏洞，白送都没人要。真正值钱的，是那种能安静潜伏几个月的。周哥手里最贵的一个洞，卖了三十二万，买家是某国的安全公司——不是用来攻击，是用来研究怎么防御。这就像卖刀给医生做手术，刀还是那把刀，看拿刀的人想干嘛。

也有翻车的时候。去年有个卖家，收了三十万定金，交出去的漏洞却是从公开漏洞库里抄的，买家拿自家系统一测，早就有补丁了。那人第二天就人间蒸发，但据说三个月后，他在老家的母亲接到个电话，对面只说了一句话：“你儿子欠的货，我们来收。”后来那卖家主动退了钱，还赔了五万精神损失费。圈子就这么大，名声坏了，连租服务器都没人愿意收你钱。

我现在偶尔也帮人验验货，赚点鉴定费。每次看到那些花花绿绿的代码，都会想起周哥那句话：“漏洞不是技术问题，是信任问题。你买的不只是代码，是卖家这辈子不敢报警的把柄。”这话糙，但理不糙。你花钱买的那个洞，可能正开在某个银行系统里，也可能开在一个人的良心上。

夜深了，交易群里又弹出条新消息：“收XX系统最新版漏洞，价高者得，可长期合作。”我关掉手机，心想这行当永远不缺生意——只要还有人写代码，就有人想找漏洞；只要有人想找漏洞，就有人想卖漏洞。至于买家拿它干什么，那不是卖家操心的事。

(责任编辑：时尚)