漏洞官方网站

“漏洞官方网站”这五个字，漏洞我第一次在搜索引擎里敲进去的官方时候，跳出来的网站结果让我愣了两秒。排在前面的漏洞不是某个安全公司的通告页，而是官方一个叫“乌云”的镜像站残骸——页面顶部还挂着2016年那行灰底白字：“感谢您陪伴乌云走过的每一天。”下面表格里躺着三万多个漏洞编号，网站最近一条更新停在2016年7月19日。漏洞点进去，官方标题写着“某省电信系统SQL注入”，网站危害等级“高”，漏洞厂商回复“已确认”。官方再往下翻，网站评论区空了，漏洞只剩头像框里默认的官方灰色人形。

这事挺有意思。网站一个漏洞平台死了快十年，它的数据还在互联网的角落里被反复搬运。有人做了离线包，有人搭了镜像，甚至GitHub上有个仓库专门用爬虫抓乌云快照，star数还不低。你说这些人图什么？我翻过那个仓库的issue区，有人留言：“当年靠看乌云入的行，现在想给孩子看看爹是怎么学的。”底下跟了十几条“+1”。

漏洞官网这玩意儿，本质上是个悖论。厂商恨它，因为漏洞被公开等于脸上挨巴掌；白帽子爱它，因为提交漏洞能换积分、换声望、换一份安全圈的工作。乌云当年最火的时候，一个高危漏洞的提交者能被厂商直接私信挖人。我认识一个老哥，2014年在乌云上扔了个某电商平台的支付逻辑漏洞，第二天就收到三家公司的面试邀约。他后来去了其中一家，现在已经是安全总监。喝酒时他说：“那时候乌云就是简历，比什么证书都好使。”

但漏洞官网的命门也在这儿——它太依赖“公开”两个字。厂商不认，平台就尴尬；平台一尴尬，白帽子就犹豫；白帽子一犹豫，漏洞就流到黑市去了。乌云关站那会儿，圈子里流传一种说法：某厂商给乌云发了律师函，因为一个未修复的漏洞被公开后，黑产连夜利用，损失七位数。真假没人证实，但乌云之后，国内再没出过同等量级的漏洞官网。补天、漏洞盒子还在，可味道变了。补天现在更像SRC（安全响应中心）的聚合页，厂商自己管自己的，平台只做对接。漏洞盒子转型做众测，官网首页挂的是“企业安全服务”，漏洞提交入口缩在二级菜单里。

我前阵子帮一个朋友查某个CMS的历史漏洞，翻到一个小众漏洞库，域名是个人备案，页面丑得像2005年的BBS。但里面每条漏洞都带POC（概念验证代码），有些还附了修复补丁的diff文件。站长发了一篇置顶帖，说“服务器自己掏钱租的，别DDoS我，谢谢”。底下有人回：“大佬收徒弟吗？”站长回了个“不收，自己看文档”。这种野生的漏洞官网，反而活得更久。没商业压力，没厂商施压，纯粹靠一帮人用爱发电。更新频率不高，但每条都扎实。

说到底，漏洞官网的兴衰跟技术没太大关系。它是个信任中介——白帽子信它不会卖漏洞，厂商信它不会乱公开，公众信它不会藏私。这三重信任缺一个，网站就塌。乌云当年塌在厂商信任上，后来的平台学乖了，把公开权交给厂商，自己退到幕后。可这么一退，漏洞官网就变成了厂商SRC的导流页，没劲了。

我现在偶尔还会去翻那些镜像站。页面加载慢，图片挂了一半，但表格里的漏洞编号还在。点开一个2015年的“某政务系统任意文件上传”，危害等级“严重”，厂商状态“已忽略”。底下有个匿名评论，时间戳是2016年3月：“这个洞我去年也交过，没人理。”现在看，这条评论比漏洞本身更刺眼。

漏洞官网死了，可漏洞没死。它们只是换了个地方待着——有的进了厂商的私密工单，有的流到了暗网论坛，还有的，就躺在这些镜像站的数据库里，等着下一个技术控半夜翻到，然后愣两秒。