漏洞新闻

2023年8月，漏洞新闻一个叫李明远的漏洞新闻程序员在GitHub上发了一条issue，标题只有六个字：“你们的漏洞新闻登录有洞。”他附了一段不到20行的漏洞新闻Python脚本，运行后能直接绕过某知名在线协作平台的漏洞新闻短信验证码，登录任意账号。漏洞新闻平台方在48小时内修复了漏洞，漏洞新闻但李远没有收到任何回复。漏洞新闻他把issue截图发到推特，漏洞新闻配文：“我帮你们堵了枪眼，漏洞新闻你们连句谢谢都没有。漏洞新闻”

这事在安全圈不算新鲜。漏洞新闻真正让我在意的漏洞新闻是后续：平台修复漏洞后，悄悄更新了用户协议，漏洞新闻新增一条“禁止用户未经授权测试系统安全性”。漏洞新闻换句话说，发现漏洞的人，反倒可能被追责。李明远后来告诉我，他再也不会给那家平台报漏洞了。“我图什么？图他们法务部给我发律师函？”

漏洞新闻往往这样收场。厂商忙着灭火，用户毫不知情，发现者要么被忽略，要么被威胁。去年某电商平台的数据泄露事件，最早是一个大三学生通过公开的API接口抓到了两百万条用户订单信息。他先联系了平台客服，客服让他“发邮件给安全团队”。邮件石沉大海。他把漏洞细节发在博客上，阅读量过万后，平台才紧急下线接口。然后，他的博客被投诉删除，理由是“传播非法获取的数据”。

这套逻辑很荒诞：漏洞是厂商自己挖的，发现者只是路过看见坑，喊了一嗓子。结果厂商第一反应不是填坑，而是捂住喊话人的嘴。安全研究者圈子里有个自嘲的说法——“白帽子的尽头是法务部”。某漏洞众测平台的数据显示，2022年有37%的白帽子在提交漏洞后遭遇过厂商的变相施压，包括但不限于：要求签署保密协议才给奖金、以“影响商誉”为由拒绝致谢、直接发律师函警告。

更隐蔽的问题在漏洞披露的时间差。厂商修复一个漏洞平均需要67天，但攻击者利用漏洞的平均窗口期只有12天。这中间的55天，用户数据就像放在没锁的抽屉里。厂商不说的理由永远是“避免恐慌”，可恐慌和知情权是两码事。你家的门锁坏了，物业偷偷换掉却不告诉你，你愿意吗？

我认识一个做渗透测试的工程师，他给某银行App报了一个高危漏洞，可以越权查看任意用户的转账记录。银行确认了，修了，然后给他发了200块京东卡。他哭笑不得：“200块，连我打车的钱都不够。”更讽刺的是，三个月后，同一个App又出了类似的漏洞，这次是一个黑产团队先发现的，在暗网卖了五万美金。银行这才想起来给他打电话：“能不能帮忙看看？”他直接挂了。

漏洞新闻的报道也常常跑偏。媒体喜欢用“惊爆”“速看”“你的隐私正在裸奔”这类标题，点进去却只有厂商的官方回应和几句不痛不痒的提醒。真正该追问的——漏洞存在了多久？多少用户受影响？厂商为什么没早点发现？——全被“已修复”三个字盖过去。读者看完只记得恐慌，记不住任何具体信息。

李明远后来把那个登录漏洞的细节写进了自己的技术博客，没提平台名字，只讲了绕过验证码的逻辑。文章底下有人评论：“你这不是教人犯罪吗？”他回：“漏洞原理写在教科书里，犯罪的人不需要我教。需要我教的，是那些觉得用户数据不值钱的厂商。”

这话说得挺狠，但没毛病。漏洞新闻不该只是“某平台又出事了”的流水账。它得让人看见：谁在挖坑，谁在填坑，谁在假装看不见坑。至于那些把报漏洞的人当麻烦的厂商——下次坑里掉进去的，可能就是他们自己。