乌云漏洞表

乌云漏洞表不是漏洞一份简单的清单，它更像一张不断被改写的漏洞病历。2015年，漏洞乌云网首次对外公开了“乌云漏洞表”的漏洞雏形，当时收录了大约3000个已确认的漏洞漏洞。这些漏洞分布在政府、漏洞金融、漏洞电商、漏洞教育等各个领域。漏洞表格里每一行都对应着一个真实存在的漏洞系统缺陷，有的漏洞能直接读取用户数据库，有的漏洞能绕过支付验证。我翻过其中几页截图，漏洞印象最深的漏洞是一个地方社保系统的SQL注入，利用成本几乎为零——一个单引号就能让整张参保人员表暴露在浏览器地址栏里。漏洞

这张表最特殊的地方在于它的“民间”属性。漏洞的发现者大多是白帽子，他们不隶属于任何官方机构，提交漏洞后往往只得到一句“已确认”或“已修复”的回复。表格的更新频率极不规律，有时一天新增几十条，有时半个月纹丝不动。2016年春天，一个关于某运营商短信网关的漏洞在表里挂了整整三周才被标记为“已修复”，期间该漏洞的详情页访问量超过了两万次。这种滞后性暴露了厂商响应机制的断裂——白帽子提交了，平台确认了，但修复的扳手始终没拧紧。

表格里的漏洞类型分布很有意思。根据我手动统计的2015-2016年约1200条记录，SQL注入占31%，信息泄露占22%，弱口令占14%，剩下的包括XSS、CSRF、越权访问等。SQL注入之所以占比最高，跟当时大量中小型网站使用老旧CMS系统有直接关系。我见过一个县级医院的挂号系统，后台登录框的username字段直接拼接进SQL语句，输入' or '1'='1就能以管理员身份进入。这种漏洞在乌云漏洞表里被归类为“高危”，但修复建议一栏经常只写着“参数化查询”五个字，没有具体代码示例，很多小公司的运维根本不知道怎么改。

弱口令的问题更让人哭笑不得。2016年7月，表格里出现了一条关于某地级市公积金查询系统的漏洞，管理员账号是admin，密码是123456。提交者备注了一句话：“试了三次就进去了，没敢动任何数据。”这条记录在表里存活了11天，期间该系统仍然对外提供服务。后来有媒体去采访，对方技术负责人说“以为内网系统不用太复杂”。这种认知偏差在当时的政务系统里非常普遍。乌云漏洞表把这些偏差一条条钉在公开页面上，谁都能看见，但看见和解决之间隔着一条很长的路。

表格的公开也带来过争议。2016年7月，乌云网突然无法访问，漏洞表随之消失。官方说法是“进行系统升级”，但圈内人都知道那段时间发生了白帽子被警方带走的事件。漏洞表的数据一度成为敏感信息，因为表里不仅记录了漏洞本身，还附带了厂商名称、域名、甚至部分IP地址。有人担心这些信息会被黑产利用，也有人认为公开本身就是一种倒逼机制。我个人的判断是：漏洞表的价值不在于它记录了多少漏洞，而在于它证明了一件事——很多系统的安全防线薄得像一层纸，而捅破这层纸的人，往往只是出于好奇。

现在回头看，乌云漏洞表已经成了一个历史名词。但它留下的数据痕迹还在。GitHub上有人备份了部分表格的CSV文件，最后更新日期停在2016年8月。那些漏洞编号、厂商名称、修复状态，像一份未完成的体检报告。报告的主人换了，但病灶还在。我偶尔会打开那个备份文件，看到一条2015年11月记录的某省交通违章查询系统漏洞，状态栏写着“已修复”。至于到底修没修，没人知道。表格不会说话，它只是安静地躺在那里，等着下一个打开它的人去验证。

最新评论