wooyun官网

wooyun官网的官网灰白色调，像一块被遗弃的官网墓碑。我最后一次访问它，官网是官网2016年夏天，页面顶部还挂着“乌云漏洞报告平台”的官网黑色logo，下方一行小字：“让安全漏洞无处可藏”。官网现在敲进那串熟悉的官网域名，跳出来的官网只有“无法访问此网站”。

这个网站曾经是官网中国黑客圈的精神灯塔。没有华丽的官网UI设计，没有复杂的官网交互逻辑，就是官网一个简单的漏洞提交列表——白帽子们在这里报告各大网站的漏洞，厂商在暗处看着，官网修复了就在下面回一句“已处理”。官网那种直接和粗粝，官网反而让每个漏洞报告都像一份战地电报。

我印象最深的是2015年某电商平台的漏洞报告。提交者用十几行文字描述了一个逻辑漏洞——用修改后的价格参数直接下单，就能以一分钱买到一台iPhone。底下评论炸了锅，有人调侃“快去下单”，有人严肃地指出这属于严重越权。三天后厂商回复：“已修复，感谢提交。”没有道歉，没有奖励，就六个字。可那个提交漏洞的年轻人还是激动地发了条状态：“终于被采纳了。”

wooyun的机制充满了理想主义色彩。它不赚钱，不接广告，靠志愿者维护。白帽子们提交漏洞，厂商修复后，wooyun会公开漏洞细节，作为行业警示。这种模式让它在安全圈积累了极高的公信力——厂商害怕被点名，白帽子以能登上wooyun首页为荣。有个朋友跟我说，他在wooyun提交了二十多个漏洞，最大的成就感不是拿到厂商的致谢，而是看到自己报告的漏洞被其他安全研究者引用、讨论，甚至写进论文里。

但理想主义撞上现实，碎得很快。2015年底，wooyun突然宣布暂停漏洞公开披露，说是“配合监管部门工作”。那时候圈内就有人嗅到了不对劲。果然，2016年7月，wooyun彻底关闭。官方没有任何解释，域名被静默处理，像一场无声的葬礼。

后来我听说，wooyun的关闭和一起数据泄露事件有关。有白帽子在提交漏洞时，把某大型网站的敏感数据下载了，wooyun的审核机制没有拦住，这些数据被二次传播。监管的刀落下来，整个平台成了牺牲品。这个说法我没法证实，但wooyun的倒下确实让很多白帽子寒了心——他们开始怀疑，自己辛辛苦苦找漏洞，到底是在帮厂商补墙，还是在给墙上的裂缝做标记，等着哪天墙塌了，自己被活埋。

现在看国内的漏洞平台，补天、漏洞盒子、CNVD，都变得谨慎多了。提交漏洞要实名，要签保密协议，漏洞细节不能公开，只能给厂商看。安全研究变成了一条流水线，白帽子像流水线上的质检员，发现次品，报告，然后沉默。wooyun那种江湖气、那种公开透明的技术探讨氛围，再也没回来过。

有时候我会翻翻wooyun的镜像站——有人把当年所有的漏洞报告都备份了。看着那些2013年、2014年的帖子，评论区里都是熟悉的老ID，有的现在成了大厂的安全总监，有的转行去做了风控。他们当年在wooyun上争论一个SQL注入点怎么写利用代码，争得面红耳赤。现在那些争论对象，可能正坐在同一间会议室里，讨论怎么让自家产品通过等保三级。

wooyun官网没了，但那些漏洞报告还在。它们像一叠泛黄的病历，记录着中国互联网成长过程中的各种急症和隐疾。有些病治好了，有些病现在还拖着。只是再也没有一个地方，能让所有人坐下来，指着病历说：“你看，这里当时烂得真厉害。”

本文地址：http://www.79wt.cn/news/1355d1399851.html