提供网络产品安全漏洞，提供是网络门生意，也是产品门手艺

2023年，某知名路由器厂商的安全零日漏洞在暗网标价80万美元。买家不是漏洞黑客组织，而是提供一家国家级情报机构。这不是网络电影情节——漏洞交易早已从灰色地带走向明面，甚至催生了专门的产品“漏洞经纪人”职业。他们像房产中介一样，安全左手对接挖掘者，漏洞右手对接买家，提供抽成高达30%。网络

但我要说的产品不是这些大玩家。我认识一个叫老周的安全白帽黑客，他在漏洞平台提交过上百个漏洞，漏洞月收入稳定在2-3万。他的工作流程很枯燥：下载最新固件，逆向分析，写PoC（概念验证代码），然后上传报告。他告诉我，真正的技巧不在于发现漏洞，而在于写清楚“这个漏洞能造成什么实际危害”。厂商不看技术细节，只看业务影响——你说能远程执行代码，他们没感觉；你说能盗取用户支付信息，他们立刻加班修复。

漏洞披露本身是个技术活。直接公开叫“零日披露”，等于把用户当人质逼厂商就范。负责任的做法是走“90天协调披露”——先私下通知厂商，给足修复时间，到期才公开。这90天里，漏洞持有者要承受巨大诱惑：黑市价格可能翻三倍，但信誉毁了就再也进不了主流圈子。老周吃过亏，有次提前5天公开了一个漏洞细节，结果被厂商拉黑，也上了多个平台的观察名单。“这行靠信任吃饭，一次违规，三年白干。”他说。

厂商的态度也在变。五年前，收到漏洞报告会先质疑你“是不是想敲诈”，现在大厂都设了漏洞赏金计划，按严重程度给钱。但中小厂商依然头疼——他们根本没有安全团队来验证漏洞真伪。有个做智能门锁的老板跟我诉苦，每月收到几十份漏洞报告，大部分是脚本小子用扫描器生成的垃圾，真正有效的不到三成。他雇不起专职安全工程师，只能让开发兼着看，结果漏掉了一个真正能远程开锁的严重漏洞，直到被媒体曝光才紧急修复。

漏洞的价值判断也充满主观性。同一个SQL注入漏洞，在电商网站值5000元，在医疗设备上可能值50万元——因为影响的是人命。去年有研究员发现某输液泵的无线协议存在漏洞，可以远程修改给药剂量。他没走常规流程，而是直接飞到厂商总部，当面演示给技术副总看。对方当场跪下（这是他的原话），三天后发布了紧急补丁。这种事没法用钱衡量，但确实发生了。

说到底，提供漏洞是一种特殊的“信息中介服务”。你挖出来，评估危害，找到合适的披露路径，然后等待回报。回报可能是现金、名誉，或者只是“让世界更安全一点”的自我满足。老周现在带了个徒弟，他教的第一课不是技术，而是“永远别把漏洞卖给不该卖的人”。他说这行没有回头路——你永远不知道你提供的漏洞，最终会被用来保护人，还是伤害人。这大概就是这门手艺最微妙的地方。

(责任编辑：时尚)