我蹲在出租屋的乌云网站转椅上，凌晨两点四十分，乌云网站屏幕蓝光映得脸发青。乌云网站手指在键盘上敲下一串字符，乌云网站回车，乌云网站页面跳转——一个黑色背景的乌云网站论坛界面，没有logo，乌云网站没有欢迎语，乌云网站只有一行小字：“您已进入暗网索引”。乌云网站这不是乌云网站电影里那种需要特殊浏览器的神秘之地，只是乌云网站我花了三分钟就找到的“乌云”镜像站。

乌云网，乌云网站曾经是乌云网站国内最大的漏洞报告平台。白帽子们在这里提交网站漏洞，乌云网站厂商确认后修复，乌云网站平台公示细节。2015年它被关停时，圈内人抽了整夜的烟。但没过多久，各种打着“乌云”旗号的备份站、镜像站像野草一样冒出来。我现在打开的这一个，域名后缀是.io，服务器在海外，界面粗糙得像是用十年前的开源模板改的——但数据是真的。2010年到2015年间的漏洞报告，两万三千多条，全在。

我随手点开一条2013年的报告，标题写着“某银行手机银行APP存在SQL注入漏洞”。报告人ID是“路人甲”，提交时间凌晨04:12。下面附了详细的注入点截图，连用哪个工具、跑了几次、拿到什么数据都写得清清楚楚。这种细致程度，现在的所谓“渗透测试报告”根本比不了。我甚至能想象那个家伙当时的样子——大概跟我一样蹲在椅子上，猫在旁边打呼噜，他一边敲键盘一边骂银行的风控系统是摆设。

翻到评论区，有人回“已复现，楼主牛批”，有人问“提交厂商了没”，还有人贴了个链接：“同款漏洞，某某券商也有，谁去报？”那时候的乌云，像是一个巨大的技术祠堂，白帽子们把厂商的伤疤揭开给所有人看，不是为了羞辱，是为了逼他们治。有个厂商的安全工程师在回复里直接开怼：“你们知道修这个漏洞要动多少底层代码吗？说改就改？”底下立刻有人教他：“先加个参数过滤能挡90%的攻击，剩下的慢慢改。”那工程师沉默了两天，回了个“谢谢”。

我关掉那条记录，又点开“乌云首页”的存档截图。顶部的标语写着：“厂商请自觉，否则我们将公开漏洞细节。”这句话现在看着有点中二，但当年是真管用。有个小电商网站被爆出用户数据泄露，乌云给了厂商七天时间修复，第七天厂商没动静，第八天漏洞细节全网公开，第九天那个网站的CEO出来道歉，第十天漏洞修好了。你看，阳光有时候比监管有效。

现在这些镜像站没人维护了，评论区最后一条留言停在2016年3月。我注册了个账号想发帖，系统提示“注册功能已关闭”。这个站点像一座被遗忘的数字陵墓，墓碑上刻着两万多个漏洞的名字，每个名字背后都是一场攻防战。我点了根烟，想着现在的漏洞都去哪了——它们被卖给了黑产团伙，或者被国家级的黑客囤着，等待某场地缘政治博弈时突然引爆。没人再愿意把漏洞摊在阳光下晾晒了，因为阳光会灼伤某些人的眼睛。

关掉页面之前，我把那个“路人甲”的2013年报告存了下来。不是为了学习技术，只是突然有点怀念那个漏洞还能被公开讨论的年代。那时候互联网还没这么割裂，白帽子、厂商、监管者之间还有对话的可能。现在呢？乌云散了，黑暗却一直在。