2017年4月14日晚上，洞库Shadow Brokers放出了一批文件。洞库里面有个叫EternalBlue的洞库东西，三个月后它变成了WannaCry，洞库再后来是洞库NotPetya。一个漏洞，洞库从泄露到全球灾难，洞库用了不到一百天。洞库这件事让很多人第一次意识到，洞库0day漏洞库不是洞库极客圈子里的收藏品，它是洞库军火库。

所谓0day，洞库指的洞库是厂商还没补丁的漏洞。攻击者手里攥着这个漏洞，洞库就像拿着一把对方还没造出锁的洞库钥匙。而0day漏洞库，就是这些钥匙的仓库。有人叫它漏洞军火商，有人叫它数字安全的情报站。名字不重要，重要的是里面装的东西——每一个条目背后，可能是一台服务器被控、一批数据被拖、一条产线停摆。

我翻过几个公开的漏洞库，比如CVE、NVD，它们更像档案馆，记录的是已经打过补丁的漏洞。真正值钱的0day库是私有的。Zerodium这种公司明码标价收漏洞，iOS远程越狱能开到250万美元。你没看错，一个漏洞比北京一套房还贵。为什么？因为买方不是安全公司，是政府机构、情报部门，以及那些不想让你知道他们是谁的人。

这里有个细节值得琢磨。漏洞库里的条目通常不叫“漏洞”，叫“资产”。一个Android内核提权漏洞，标注的是“适用于某版本某芯片组”，附带利用成功率、稳定性评级、是否触发沙箱告警。这哪是漏洞描述，分明是武器参数表。我见过一份泄露的漏洞库截图，里面把漏洞按“作战场景”分类：远程代码执行、本地提权、信息泄露、拒绝服务。每个分类下面还有子标签，比如“无需交互”“可绕过ASLR”“支持持久化”。

维护一个0day库是件苦活。漏洞会过期。厂商一个补丁，你手里的钥匙就废了。所以库要不断更新，要有人持续挖掘，要有人验证可用性。大公司的漏洞库团队通常分三组：挖洞的、验洞的、写利用的。挖洞的像矿工，在代码里找裂缝；验洞的像质检员，确认这个裂缝能不能真的撬开门；写利用的像工匠，把裂缝打磨成一把能反复使用的工具。

但0day库最大的风险不是技术，是管理。2016年，一家叫Hacking Team的意大利公司被黑，他们囤的0day漏洞全泄露了。结果呢？那些漏洞本来只卖给政府，泄露之后全世界脚本小子都能用。Adobe Flash那几年被打成筛子，跟这次泄露脱不了干系。你囤的武器越多，被人端了老窝的后果就越严重。

还有个更隐蔽的问题：漏洞库会制造惰性。有些厂商知道某个漏洞在野被利用，但因为它只影响老版本系统，就拖着不修。反正攻击者打的是旧机器，新用户不受影响。这种算计在漏洞库的条目里看得一清二楚——标注“仅影响Windows 7及以下”的漏洞，往往比影响最新系统的漏洞便宜得多。市场用价格告诉了你，谁的生命更值钱。

我有时候想，0day漏洞库像一面镜子。它照出的是软件工业的脆弱性，也是情报机构的贪婪。一个漏洞从被发现到被武器化，中间隔着的不是技术，是利益。你写一行代码，可能三年后变成某个国家电网的定时炸弹。这不是危言耸听，震网病毒里的那几个0day，就是活生生的例子。

所以下次看到“某厂商紧急修复高危漏洞”的新闻，你可以多想一层：这个漏洞在补丁发布之前，在谁的库里躺了多久？又被谁用过？答案通常不会写在公告里。