打开一个0day网站，首页往往简陋得让人失望。没有炫酷的动效，没有整齐的卡片布局，有时候连CSS都像是随手写的。顶部一行小字：Last Update: 2024-06-11 03:47 UTC。下面是一串文件名，密密麻麻，像超市小票。

这就是0day的日常。所谓0day，最初指软件厂商刚发布补丁、漏洞细节尚未公开的那段时间——第零天。后来这个词被泛化，用来指代那些优先于官方渠道流出的数字资源：破解软件、泄露数据库、扫描工具、盗版电子书、影视资源，甚至企业内网配置。0day网站就是这些内容的集散地。

我最早接触这类站点是2011年前后。那时候有个叫“邪恶八进制”的论坛，界面是深蓝色调，注册需要邀请码。里面有个板块叫“0day发布区”，每天更新几十条。点进去，帖子格式高度统一：标题是[软件名] [版本号] [平台]，正文只有一行网盘链接和提取码。没有介绍，没有截图，没有评测。发帖人ID大多是乱码，头像默认。回复区偶尔有人喊“楼主好人”，但多数时候是空的。这种沉默本身就是规矩——下载完就走，别废话。

这些网站的技术架构往往很原始。早期用FTP服务器，目录树直接暴露，匿名登录就能看到/incoming/和/pub/。后来换成论坛+DHT索引，再后来是Telegram频道加磁力链。有个站叫“0day.kiev.ua”，乌克兰的，存活了将近十年，页面永远停在2008年的风格，表格布局，灰色背景，但更新从没断过。它挂掉那天，Reddit上有人发帖：“F。”底下跟了一百多条同样的回复。

内容质量参差不齐。有些是真正的“0day”——比如某款商业软件刚发布三小时，破解版就出现在首页。有些则是老掉牙的打包合集，文件名写着2024最新，解压出来是2016年的东西。最离谱的是有次下载一个“Photoshop 2023 直装版”，安装完发现界面是CS6。评论区有人骂，发帖人回了一句：“你眼睛瞎？标题写的是2023，又没说是Adobe的2023。”这种狡辩在0day圈里算常规操作。

风险也真实存在。2018年有个叫“0day.today”的站，专门卖漏洞利用代码，后来被FBI查封。站长在保释期间还发推特吐槽：“他们没收了我的服务器，但没没收我的备份。”底下有人问备份在哪，他回：“你猜。”这种黑色幽默背后是实打实的法律红线。普通用户更常遇到的是挂马——下载的压缩包里藏着.scr文件，双击就中招。有个朋友中过招，桌面被换成一张图：一个卡通黑客竖中指，下面一行字：“你的比特币钱包地址已记录。”

为什么还有人用？因为有些东西确实只有0day渠道有。比如某款行业软件的加密狗破解版，官方渠道根本不卖个人授权。比如某次大规模数据泄露后的原始数据库，公开网络上早就被删干净了。再比如一些冷门老游戏，Steam下架，GOG没有，只有0day站上还留着2005年的镜像文件。这跟道德无关，纯粹是需求驱动。

现在这些站越来越难找。Cloudflare拦截、域名频繁更换、邀请码炒到几百美元一个。有些转型做付费会员，每月20美元，承诺“独家0day”。结果会员进去一看，更新的全是上周的Linux内核源码——本来就是公开的。这种割韭菜行为让老用户嗤之以鼻，但新用户还是一茬接一茬。

最近一次访问某个0day站，首页弹出一行字：“本站已停止更新，感谢18年陪伴。”底下评论区没关，最后一条留言是2023年12月31日：“新年快乐，虽然这里已经没人了。”再刷新，页面变成404。就这么没了，连个存档都没有。