安全漏洞网站不是安全黑客论坛。它更像一个公告栏，漏洞只不过贴的网站不是寻人启事，而是安全谁家的系统又漏了。

我第一次接触这类站点是漏洞2013年。当时帮朋友查一个CMS的网站漏洞，搜到"乌云网"。安全页面很糙，漏洞白底黑字，网站漏洞列表按时间倒序排列。安全每条记录包含厂商、漏洞漏洞类型、网站危害等级、安全提交者。漏洞点进去能看到详细描述和修复建议。网站那会儿乌云还没关站，白帽子们活跃得很，一天能冒出几十条新漏洞。有些厂商响应快，几小时就推补丁；有些装死，漏洞挂半年没人管。

这类网站的核心价值就一个字：快。

漏洞从发现到公开，中间有个时间差。厂商知道得越早，修复窗口越大。安全漏洞网站干的就是这个信息中转的活。白帽子挖到洞，先提交给平台，平台通知厂商，厂商修完确认，漏洞才对外公开。这个流程叫"负责任披露"。听着挺规范，实际操作起来经常扯皮。

我见过最离谱的案例是一家做智能门锁的公司。白帽子发现他们的APP存在越权漏洞，能远程开别人家的锁。提交给平台后，厂商第一反应不是修，是发律师函。说白帽子"非法入侵计算机系统"。这事闹了三个月，最后厂商迫于舆论压力才认怂。漏洞挂出来那天，我看评论区全是骂街的。

安全漏洞网站分几种。一种是公益性质的，比如早期的乌云、现在的CNVD（国家信息安全漏洞共享平台）。CNVD偏官方，收录的漏洞会同步给相关厂商和监管部门。另一种是商业化的，比如HackerOne、Bugcrowd。企业出钱悬赏，白帽子按漏洞等级拿奖金。还有一种是纯社区驱动的，像Exploit-DB，只存档不通知，爱修不修。

国内有个现象挺有意思。很多厂商对漏洞的态度是"你不公开我就不修"。CNVD每年收录上万条漏洞，真正被厂商主动认领并修复的比例不到四成。剩下那些，要么装看不见，要么等漏洞被利用上了新闻才着急。2021年某快递公司泄露40万条用户信息，事后查出来漏洞早在半年前就提交了，厂商没当回事。

安全漏洞网站还有个隐藏功能：打脸。

厂商发布会吹自家产品多安全，转头漏洞网站上就挂出他们上个月刚提交的未修复漏洞。这种事我见多了。有次某手机厂商宣传"金融级安全芯片"，结果当天下午就有人在漏洞平台贴出他们调试接口未鉴权的漏洞。评论区一片"金融级笑话"。

不过话说回来，漏洞网站本身也不安全。乌云关站就是因为数据太敏感，涉及太多未修复漏洞，被有关部门盯上了。后来重新开张的漏洞平台都学乖了，要么只做已修复漏洞的公示，要么把敏感细节脱敏处理。HackerOne去年也被曝出内部员工偷漏洞报告卖钱的事。挺讽刺的，管漏洞的地方自己漏了。

普通用户看这些网站有什么用？说实话，用处不大。你看了也修不了，厂商不推补丁你干瞪眼。但至少能知道自己在用的东西到底靠不靠谱。比如你发现某款路由器三个月内被爆了五个高危漏洞，厂商一个都没修，那趁早换一个。这比看评测管用。

我现在的习惯是每月刷一次CNVD的漏洞公告。不为别的，就为看看哪些厂商在认真做事，哪些在摆烂。名单很长，摆烂的永远比认真做事的多。这大概就是安全行业的常态。