乌云安全漏洞报告平台

乌云网在2010年上线那会儿，安全圈子里不少人觉得这是漏洞个“找茬”的地方。白帽子把挖到的报告漏洞挂上去，厂商看见了就修，平台修完了乌云发个公告。安全听起来挺简单，漏洞但真正让它立住的报告，是平台那套“先公开、再修复、安全后披露”的漏洞节奏。2015年之前，报告国内大部分中小型网站连个像样的平台漏洞接收渠道都没有，乌云等于硬生生造了一个。安全

我印象很深的漏洞一个案例是2014年某电商平台的用户数据泄露。白帽子在乌云上提交了漏洞详情，报告涉及几百万条订单记录。厂商一开始没当回事，拖了三天没回应。乌云按规则把漏洞状态改成“已公开”，当天下午厂商的运维团队就炸了锅，连夜修复。这事后来在圈内传得很开——不是乌云有多强势，而是它把“公开”当成了谈判筹码。

但乌云的逻辑有个致命伤：漏洞详情是公开的。白帽子提交时附带复现步骤、URL、甚至PoC代码，这些内容在修复前对所有注册用户可见。2015年之后，黑产开始盯着乌云刷漏洞。有人专门写脚本监控新提交的漏洞，抢在厂商修复前利用。那段时间，不少中小网站被拖库，源头就是乌云上刚公开的漏洞。

2016年7月，乌云突然无法访问。官方说法是“升级维护”，但圈内人都知道，是监管介入了。原因不复杂：乌云上积累了大量涉及政府、国企、金融机构的漏洞细节，有些甚至标注了“已getshell”（即已获取服务器控制权）。这些信息在平台上公开，等于把敏感系统的弱点摊在了桌面上。当年8月，乌云创始人方小顿被带走调查，平台彻底停摆。

回头看，乌云的问题不是技术问题，是边界问题。它想做一个中立的漏洞披露平台，但漏洞本身不是中立的——它带着攻击属性。白帽子提交漏洞的初衷是好的，可一旦公开，谁都能看，谁都能用。厂商修复需要时间，这个时间差就是风险窗口。乌云没有能力去审核每一个看漏洞的人，也没法控制漏洞被二次利用。

另一个被忽略的细节是乌云的“rank”机制。白帽子提交漏洞能获得积分和排名，排名靠前的能接私活、拿奖金。这套激励体系催生了一批“刷漏洞”的人。有人专门找边缘业务系统下手，比如某地级市政务网站的旧版编辑器，提交一个XSS（跨站脚本攻击）就能拿分。这些漏洞危害不大，但数量惊人。乌云上最后累积了超过10万个漏洞，其中相当一部分是这种“凑数”的。

乌云停摆后，国内出现了补天、漏洞盒子等替代平台。它们改了规则：漏洞详情不公开，只对厂商和白帽子可见；厂商修复后，平台再决定是否披露。这个模式更安全，但也更封闭。白帽子的动力从“公开炫耀”变成了“私下交活”，漏洞的公共监督价值被削弱了。

我有时候会想，如果乌云当年把漏洞详情设为仅厂商可见，只公开漏洞数量和修复状态，它会不会活得更久？可能也不会。因为它的核心吸引力恰恰在于“公开”——白帽子要的是认可，厂商要的是压力。这两样东西，都建立在信息透明的基础上。透明和安全的矛盾，乌云没解开，后来的平台也没完全解开。

现在国内做漏洞披露的机构不少，但再没有一个像乌云那样，能让一个普通白帽子提交的漏洞在几小时内变成圈内热点。那种“全民找漏洞”的氛围，随着乌云的关闭一起消失了。有人说这是好事，安全本来就不该是广场式的狂欢。也有人说，没了乌云，很多中小厂商又开始对漏洞视而不见。哪种说法对，我没法判断。但有一点是确定的：乌云留下的那套“公开—修复—披露”流程，至今还在影响国内漏洞响应机制的走向。