内容摘要：2023年秋天，一个叫“暗流”的漏洞平台上线了。没有发布会，没有新闻稿，只有一条推特：“提交漏洞，换钱，不废话。”三天后，他们公开了某国产路由器固件的0day——厂商还没修，补丁编号都没影。这事在安全

2023年秋天，漏洞一个叫“暗流”的发布漏洞平台上线了。没有发布会，网站没有新闻稿，漏洞只有一条推特：“提交漏洞，发布换钱，网站不废话。漏洞”三天后，发布他们公开了某国产路由器固件的网站0day——厂商还没修，补丁编号都没影。漏洞这事在安全圈炸了锅，发布有人骂他们破坏规矩，网站有人默默注册了账号。漏洞

漏洞发布网站不是发布新鲜东西。早年的网站Full Disclosure邮件列表，后来的Exploit-DB，再到现在的HackerOne、漏洞盒子。但“暗流”这类平台不一样，它们不搞众测，不签保密协议，直接买卖未修复的漏洞。你提交一个能打穿Chrome的exp，他们审核完，钱打过来，然后——公开。厂商什么时候修，看心情。

我混进过一个叫“零日集市”的Telegram群。群里五百来人，一半是买家，一半是卖家。有个ID叫“灰猫”的，挂了一个WordPress插件SQL注入，标价两千美元。底下有人回：“这玩意儿上周我五十刀收的。”灰猫没理。两小时后，漏洞被公开在pastebin上，附了一段三十秒的录屏，证明能拖库。插件作者在推特上@了平台，说“你们这是勒索”。平台回了句：“你代码里连参数化查询都没用，怪谁？”

这种平台的核心逻辑就一条：漏洞是商品，不是秘密。传统SRC（安全响应中心）那套“提交-确认-修复-致谢”的流程，在他们眼里太慢。厂商拖三个月，漏洞就多活三个月。有个做金融App的朋友告诉我，他们内部有个“漏洞黑市价目表”——能绕过人脸识别的漏洞，黑市开价五万起，SRC给五百块加一件T恤。“你说白帽子选哪个？”他反问我。

但公开漏洞的代价是真实的。2022年，某医疗系统的一个未修复漏洞被平台提前披露，三天内全国两百多家医院的内网被扫。平台创始人后来在采访里说：“我们只负责披露，不负责后果。”这话听着冷血，可你翻翻他们的披露政策——厂商有72小时响应窗口，过了就默认同意公开。规则写得明明白白，你厂商自己不看邮件，怪谁？

我观察到一个细节：这些平台的漏洞审核员，大多是从传统安全公司跳槽出来的。他们懂技术，也懂厂商的拖延套路。有个审核员在博客里写：“我见过一个厂商，同一个漏洞修了两年，每次发版都说‘下个版本修复’。后来我们直接把exp挂首页，第二天补丁就出来了。”这种“以暴制暴”的逻辑，在圈子里居然有不少支持者。

当然，不是所有漏洞都适合公开。能远程打穿工控设备的，能绕过支付验证的，平台会压着等厂商修。但那种“厂商装死”的，他们下手特别狠。有个做浏览器内核的，被连挂三个0day，最后CEO在推特上骂平台是“数字恐怖分子”。平台转发了他的推文，配了张图——漏洞提交时间、厂商已读不回的时间戳、公开时间，三行数据，没配文字。

漏洞发布网站的存在，本质上是把安全行业的遮羞布扯了。厂商不想花钱修漏洞，白帽子不想白干活，平台在中间抽成。你说它合法吗？灰色地带。你说它有用吗？至少那些被公开的漏洞，后来都修了。

我最后说个真事。有个做智能门锁的厂商，被平台挂了一个“蓝牙重放开锁”的漏洞。厂商公关发声明说“这是物理接触攻击，不算漏洞”。平台没争论，直接放了一段视频：一个人拿着手机站在门外，十秒后门开了。视频底下最高赞评论是：“你家的锁，连我奶奶都能黑。”

三天后，固件更新推送了。