打开浏览器，个权输入 cve.mitre.org，威漏网页你看到的洞库是一个毫无美感的表格页面。但就是个权这张表，撑起了全球网络安全的威漏网页半壁江山。CVE（Common Vulnerabilities and 洞库Exposures）不是一个“漏洞库”这么简单，它是个权一个编号系统——每个漏洞拿到一个全球唯一的ID，就像身份证号。威漏网页没有这个号，洞库安全研究员、个权厂商、威漏网页运维人员之间根本没法对话。洞库

真正让我觉得“卧槽这网站有点东西”的个权，是威漏网页NVD（National Vulnerability Database）。它在CVE的洞库基础上做了二次加工——给漏洞打上CVSS评分，附上受影响的产品版本、漏洞类型、甚至利用难度。你搜一个漏洞，能看到它从被发现到被修复的完整生命周期。这玩意儿是甲方做风险评估时的“圣经”，我见过不少安全工程师汇报时直接截NVD的图，连PPT都省了。

但NVD有个毛病——更新速度有时候慢得让人抓狂。这时候就得看Exploit-DB。这网站不跟你玩虚的，直接给你放漏洞利用代码（PoC）。我记得有一次排查一个Weblogic反序列化漏洞，NVD上只有干巴巴的描述，而Exploit-DB上已经有现成的Python脚本，下载下来改改IP就能验证。当然，这网站也经常被脚本小子光顾，但人家定位就是“渗透测试者的工具箱”，合规风险自己掂量。

还有个偏门但极其实用的——CNVD（国家信息安全漏洞共享平台）。这网站由CNCERT运营，收录的漏洞更贴合国内厂商的产品。很多国外漏洞库不收录用友、金蝶、海康威视这些国产软件的洞，但CNVD会。去年某国产摄像头爆出硬编码后门，NVD上连条目都没有，CNVD第二天就给出了详细分析报告和修复建议。你要是做等保测评或者护网行动，不盯CNVD等于瞎了一只眼。

有人可能会问，那厂商自己的漏洞库呢？比如微软的安全响应中心、Adobe的安全公告。这些当然重要，但它们是“自家院子”，只报自己的问题，缺乏横向对比。而CVE/NVD这类第三方库的价值在于——把不同厂商的漏洞放在同一把尺子下衡量。

最后提一嘴Vulners和VulDB。Vulners像个搜索引擎，聚合了几十个数据源，搜索语法强大到能把你绕晕。VulDB则商业化程度高，有些数据要付费，但它的威胁情报分析写得确实透彻，经常能挖出漏洞背后的攻击链逻辑。不过对普通人来说，免费版够用了。

我个人的习惯是：日常盯NVD和CNVD，遇到具体利用场景翻Exploit-DB，写报告时用CVE编号做索引。这几个网站各有各的脾气，没有哪个能通吃所有场景。你最好把它们都存到书签里，用多了自然知道什么时候该找谁。