内容摘要：2023年11月，一个叫“漏洞记录网”的站点在安全圈里悄悄传开了。没有发布会，没有推特热搜，就几个老哥在Telegram群里丢了个链接。我点进去的时候，页面简陋得像个个人博客——白底黑字，左边一列CV

2023年11月，漏洞一个叫“漏洞记录网”的记录站点在安全圈里悄悄传开了。没有发布会，漏洞没有推特热搜，记录就几个老哥在Telegram群里丢了个链接。漏洞我点进去的记录时候，页面简陋得像个个人博客——白底黑字，漏洞左边一列CVE编号，记录右边是漏洞简短的描述和复现步骤。但就是记录这么一个不起眼的地方，三个月内攒了四千多条漏洞记录，漏洞其中两百多条是记录未公开的0day。

它的漏洞运营者叫“老周”，没人知道真名。记录我在一次线下沙龙见过他，漏洞四十来岁，穿件洗得发白的冲锋衣，说话带着点江浙口音。他告诉我，做这个站是因为受够了那些“漏洞平台”的套路——厂商给钱就删帖，不给钱就拖着，最后漏洞要么烂在手里，要么被黑产买走。“我就想弄个地方，谁发现的谁署名，厂商想联系就联系，不想联系拉倒，记录永远留着。”

听起来挺理想主义。但老周有他的办法。站上每一条漏洞都要求附上可复现的PoC（概念验证代码），光描述不行的。这招直接筛掉了那些靠扫描器批量刷低危漏洞的脚本小子。我翻了几页，看到一个Apache Struts的RCE（远程代码执行漏洞），PoC写得干干净净，注释里还标了“在2.5.30版本测试通过”。底下评论区有人问“这玩意儿能打哪些站”，老周直接回了一句：“自己搭环境测，别问傻问题。”

真正让漏洞记录网出圈的是今年1月。某国产OA系统被曝出未授权访问，厂商当天发补丁，但没给发现者任何致谢。老周把漏洞详情和聊天记录截图全挂了出来——厂商安全对接人那句“我们内部评估不构成高危”被红框标出。三天后，厂商悄悄改了致谢名单。这事在微博上被转了八千多次，有人骂厂商不要脸，也有人问“这网站合法吗”。老周在首页加了行小字：“所有漏洞均在测试环境复现，不提供攻击工具，不接商业删帖。”

我问他怕不怕被起诉。他笑了笑，从兜里掏出个U盘晃了晃：“所有原始记录都在这里，服务器在冰岛。真要搞我，我就把这几千条漏洞全打包发GitHub。”这话听着像赌气，但仔细想想，他手里攥着的其实是厂商的软肋——那些藏着掖着的漏洞，一旦被竞争对手或者黑产先捅出来，损失更大。

不过漏洞记录网也有麻烦。上个月有人上传了某政务系统的SQL注入漏洞，老周审核时发现PoC里带了真实IP。他连夜下架，在群里骂了上传者半小时。后来他定了条规矩：所有涉及关键基础设施的漏洞，必须等厂商修复满30天才公开。有人嫌慢，他说：“你急你自个儿搭站去。”

现在站上多了个“漏洞猎人榜”，按提交数量和危害等级积分。排第一的是个ID叫“夜猫”的，提交了47条，其中11条是高危。我私信问他是干什么的，他说白天送外卖，晚上挖洞。“以前挖到漏洞不知道往哪发，现在至少有个地方能记着。”他顿了顿，又补一句，“老周这人靠谱，不卖数据。”

漏洞记录网没有融资，没有广告，服务器靠捐赠维持。首页最底下有个二维码，扫进去是支付宝，备注写着“给老周买咖啡”。我捐了五十块，老周在群里@我说“谢了，够买两杯瑞幸”。你看，这事就这么简单——有人挖，有人记，有人看。至于那些大厂的安全响应中心，他们继续发他们的致谢公告，老周继续记他的漏洞。两条平行线，偶尔交叉一下，然后各走各的。